[Rekommenderas] Illumio Core via AMA-anslutningsprogram för Microsoft Sentinel
Illumio Core-dataanslutningsappen ger möjlighet att mata in Illumio Core-loggar i Microsoft Sentinel.
Anslut ellerattribut
Anslut ellerattribut | beskrivning |
---|---|
Log Analytics-tabeller | CommonSecurityLog (IllumioCore) |
Stöd för regler för datainsamling | Azure Monitor Agent DCR |
Stöds av | Microsoft |
Exempel på frågor
De 10 främsta händelsetyperna
IllumioCoreEvent
| where isnotempty(EventType)
| summarize count() by EventType
| top 10 by count_
Förutsättningar
Om du vill integrera med [Recommended] Illumio Core via AMA kontrollerar du att du har:
- : Om du vill samla in data från virtuella datorer som inte kommer från Azure måste de ha Azure Arc installerat och aktiverat. Läs mer
- : Common Event Format (CEF) via AMA och Syslog via AMA-dataanslutningar måste installeras Läs mer
Installationsanvisningar för leverantör
Obs! Den här dataanslutningen är beroende av en parser baserat på en Kusto-funktion för att fungera som förväntat som distribueras som en del av lösningen. Om du vill visa funktionskoden i Log Analytics öppnar du bladet Log Analytics/Microsoft Sentinel-loggar, klickar på Funktioner och söker efter aliaset IllumioCoreEvent och läser in funktionskoden eller klickar här. Funktionen tar vanligtvis 10–15 minuter att aktivera efter installationen/uppdateringen av lösningen och mappar Illumio Core-händelser till Microsoft Sentinel Information Model (ASIM).
- Skydda datorn
Se till att konfigurera datorns säkerhet enligt organisationens säkerhetsprincip
Nästa steg
Mer information finns i den relaterade lösningen på Azure Marketplace.