Workplace från Facebook (med azure functions)-anslutningsprogram för Microsoft Sentinel
Workplace-dataanslutningsappen ger möjlighet att mata in vanliga Workplace-händelser i Microsoft Sentinel via Webhooks. Webhooks gör det möjligt för anpassade integrationsappar att prenumerera på händelser i Workplace och ta emot uppdateringar i realtid. När en ändring sker i Workplace skickas en HTTPS POST-begäran med händelseinformation till en url för anslutningsappen för motringningsdata. Mer information finns i Webhooks-dokumentationen. Anslutningsappen ger möjlighet att hämta händelser som hjälper till att undersöka potentiella säkerhetsrisker, analysera ditt teams användning av samarbete, diagnostisera konfigurationsproblem med mera.
Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.
Anslut ellerattribut
| Anslut ellerattribut | beskrivning |
|---|---|
| Log Analytics-tabeller | Workplace_Facebook_CL |
| Stöd för regler för datainsamling | Stöds för närvarande inte |
| Stöds av | Microsoft Corporation |
Exempel på frågor
Arbetsplatshändelser – alla aktiviteter.
Workplace_Facebook_CL
| sort by TimeGenerated desc
Förutsättningar
Om du vill integrera med Workplace från Facebook (med Hjälp av Azure Functions) kontrollerar du att du har:
- Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
- Webhooks Autentiseringsuppgifter/behörigheter: WorkplaceAppSecret, WorkplaceVerifyToken, Återanrops-URL krävs för att arbeta med webhooks. Mer information om hur du konfigurerar Webhooks, konfigurerar behörigheter finns i dokumentationen.
Installationsanvisningar för leverantör
Kommentar
Den här dataanslutningen använder Azure Functions baserat på HTTP-utlösare för väntande POST-begäranden med loggar för att hämta loggarna till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.
(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure Functions-app.
Kommentar
Den här dataanslutningsappen är beroende av en parser som baseras på en Kusto-funktion för att fungera som förväntat och som distribueras som en del av lösningen. Om du vill visa funktionskoden i Log Analytics öppnar du Log Analytics-/Microsoft Sentinel-loggbladet, klickar på Funktioner och söker efter aliaset WorkplaceFacebook och läser in funktionskoden eller klickar här på den andra raden i frågan, anger värdnamnen för din Workplace Facebook-enhet och andra unika identifierare för loggströmmen. Funktionen tar vanligtvis 10–15 minuter att aktivera efter installationen/uppdateringen av lösningen.
STEG 1 – Konfigurationssteg för arbetsplatsen
Följ anvisningarna för att konfigurera Webhooks.
- Logga in på Arbetsplatsen med autentiseringsuppgifter för administratörsanvändare.
- I panelen Administratör klickar du på Integreringar.
- I vyn Alla integreringar klickar du på Skapa anpassad integrering
- Ange namn och beskrivning och klicka på Skapa.
- I panelen Integreringsinformation visas apphemlighet och kopiering.
- I pannel för integreringsbehörigheter anger du alla läsbehörigheter. Mer information finns på behörighetssidan.
- Fortsätt nu till STEG 2 för att följa stegen (visas i alternativ 1 eller 2) för att distribuera Azure-funktionen.
- Ange de begärda parametrarna och ange även en valfri token. Kopiera denna token/Anteckna den för det kommande steget.
- När distributionen av Azure Functions har slutförts öppnar du sidan Funktionsapp, väljer din app, går till Functions, klickar på Hämta funktions-URL och kopierar den/Notera den för det kommande steget.
- Gå tillbaka till Workplace från Facebook. I panelen Konfigurera webhooks på varje flik anger du Återanrops-URL som samma värde som du kopierade i punkt 9 ovan och Verifiera token som samma värde som du kopierade i punkt 8 ovan som hämtades under STEG 2 i Azure Functions-distributionen.
- Klicka på Spara.
STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och tillhörande Azure Functions
VIKTIGT: Innan du distribuerar workplace-dataanslutningen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande).
Nästa steg
Mer information finns i den relaterade lösningen på Azure Marketplace.