Microsoft Sentinel için Google Workspace (G Suite) (Azure İşlevleri kullanarak) bağlayıcısı

  • Makale

Google Workspace veri bağlayıcısı, REST API aracılığıyla Google Workspace Etkinlik olaylarını Microsoft Sentinel'e alma olanağı sağlar. Bağlayıcı, olası güvenlik risklerini incelemeye, ekibinizin işbirliği kullanımını analiz etmeye, yapılandırma sorunlarını tanılamaya, kimlerin oturum açtığını ve ne zaman oturum açtığını izlemeye, yönetici etkinliğini analiz etmeye, kullanıcıların içeriği nasıl oluşturup paylaştığını anlamaya ve kuruluşunuzdaki diğer olayları incelemeye yardımcı olan olaylar alma olanağı sağlar.

Bağlan or öznitelikleri

Bağlan or özniteliği Açıklama
Azure işlev uygulaması kodu https://aka.ms/sentinel-GWorkspaceReportsAPI-functionapp
Log Analytics tabloları GWorkspace_ReportsAPI_admin_CL
GWorkspace_ReportsAPI_calendar_CL
GWorkspace_ReportsAPI_drive_CL
GWorkspace_ReportsAPI_login_CL
GWorkspace_ReportsAPI_mobile_CL
GWorkspace_ReportsAPI_token_CL
GWorkspace_ReportsAPI_user_accounts_CL
Veri toplama kuralları desteği Şu anda desteklenmiyor
Destekleyen: Microsoft Corporation

Sorgu örnekleri

Google Çalışma Alanı Etkinlikleri - Tüm Etkinlikler

GWorkspaceActivityReports

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Yönetici Etkinliği

GWorkspace_ReportsAPI_admin_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Takvim Etkinliği

GWorkspace_ReportsAPI_calendar_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Sürücü Etkinliği

GWorkspace_ReportsAPI_drive_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Oturum Açma Etkinliği

GWorkspace_ReportsAPI_login_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Mobil Etkinlik

GWorkspace_ReportsAPI_mobile_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Belirteç Etkinliği

GWorkspace_ReportsAPI_token_CL

| sort by TimeGenerated desc

Google Çalışma Alanı Etkinlikleri - Kullanıcı Hesapları Etkinliği

GWorkspace_ReportsAPI_user_accounts_CL

| sort by TimeGenerated desc

Önkoşullar

Google Workspace (G Suite) ile tümleştirmek için (Azure İşlevleri kullanarak) aşağıdakilere sahip olduğunuzdan emin olun:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Azure İşlevleri hakkında daha fazla bilgi edinmek için belgelere bakın.
  • REST API Kimlik Bilgileri/izinleri: REST API için GooglePickleString gereklidir. API hakkında daha fazla bilgi edinmek için belgelere bakın. Kimlik bilgilerini alma yönergelerini aşağıdaki yapılandırma bölümünde bulabilirsiniz. Tüm gereksinimleri kontrol edebilir ve yönergeleri buradan da izleyebilirsiniz.

Satıcı yükleme yönergeleri

Not

Bu bağlayıcı, günlüklerini Microsoft Sentinel'e çekmek üzere Google Reports API'sine bağlanmak için Azure İşlevleri kullanır. Bu ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Azure Key Vault'ta çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure Key Vault'u bir Azure İşlev Uygulaması ile kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. İşlev kodunu Log Analytics'te görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve GWorkspaceReports diğer adını arayın ve işlev kodunu yükleyin veya buraya tıklayın; sorgunun ikinci satırında GWorkspaceReports cihazlarınızın ana bilgisayar adlarını ve günlük akışının diğer benzersiz tanımlayıcılarını girin. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

ADIM 1 - Google Pickel Dizesini almak için önkoşullardan emin olun

  1. Python 3 veya üzeri yüklüdür.
  2. Pip paketi yönetim aracı kullanılabilir.
  3. API erişimi etkinleştirilmiş bir Google Workspace etki alanı.
  4. Bu etki alanında yönetici ayrıcalıklarına sahip bir Google hesabı.

ADIM 2 - Google Raporlar API'sine yönelik yapılandırma adımları

  1. Çalışma Alanı Yönetici kimlik bilgilerinizle Google bulut konsolunda https://console.cloud.google.comoturum açın.
  2. Arama seçeneğini kullanarak (üst ortadaki kullanılabilir), API'leri ve Hizmetleri arayın
  3. API'ler ve Hizmetler Özellikli> API'ler ve Hizmetler'den bu proje için Yönetici SDK API'sini etkinleştirin.
  4. API'ler ve Hizmetler ->OAuth Onayı Ekranı'na gidin. Henüz yapılandırılmadıysa, aşağıdaki adımları içeren bir OAuth Onayı Ekranı oluşturun:
    1. Uygulama Adı ve diğer zorunlu bilgileri sağlayın.
    2. API Erişimi Etkin olarak yetkili etki alanları ekleyin.
    3. Kapsamlar bölümünde Yönetici SDK API kapsamı ekleyin.
    4. Kullanıcıları Test Et bölümünde etki alanı yönetici hesabının eklendiğinden emin olun.
  5. API'ler ve Hizmetler ->Kimlik Bilgileri'ne gidin ve OAuth 2.0 İstemci Kimliği oluşturun
    1. Üstteki Kimlik Bilgileri Oluştur'a tıklayın ve Oauth istemci kimliği'ni seçin.
    2. Uygulama Türü açılan listesinden Web Uygulaması'nı seçin.
    3. Web Uygulamasına uygun bir ad sağlayın ve Yetkili yeniden yönlendirme URI'lerinden biri olarak ekleyin http://localhost:8081/ .
    4. Oluştur'a tıkladığınızda, görüntülenen açılır menüden JSON'u indirin. Bu dosyayı "credentials.json" olarak yeniden adlandırın.
  6. Google Pickel Dizesini getirmek için python betiğini credentials.json kaydedildiği klasörden çalıştırın.
    1. Oturum açmak için açıldığında oturum açmak için etki alanı yönetici hesabı kimlik bilgilerini kullanın.

Not: Bu betik yalnızca Windows işletim sisteminde desteklenir. 7. Önceki adımın çıktısından Google Pickle String'i kopyalayın (tek tırnak içinde bulunur) ve kullanışlı tutun. İşlev Uygulaması dağıtım adımında gerekli olacaktır.

ADIM 3 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden birini seçin

ÖNEMLİ: Çalışma Alanı veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'na (aşağıdakilerden kopyalanabilir) ve GooglePickleString Çalışma Alanı'na hazır olarak sahip olun.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Google Workspace veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure'a Dağıt düğmesine tıklayın.

    Deploy To Azure

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, GooglePickleString girin ve dağıtın.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Google Workspace veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code’u başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Azure'da oturum aç'ı seçin. Zaten oturum açtıysanız sonraki adıma gidin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren bir klasöre göz atın.

    b. Abonelik: Kullanılacak aboneliği seçin.

    c. Azure'da yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. GWorkspaceXXXXXX).

    e. Çalışma zamanı seçin: Python 3.8'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve daha düşük maliyetler için Microsoft Sentinel'in bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan sonra bir bildirim görüntülenir ve dağıtım paketi uygulanır.

  7. İşlev Uygulaması yapılandırması için Azure Portal'a gidin.

2. İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  2. Uygulama ayarları sekmesinde** Yeni uygulama ayarı**'nı seçin.

  3. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: GooglePickleString WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  4. (İsteğe bağlı) Gerekirse varsayılan gecikmeleri değiştirin.

    NOT: Google belgelerine göre Google Çalışma Alanı'ndan farklı günlükler için alım gecikmeleri için aşağıdaki varsayılan değerler eklenmiştir. Bunlar çevresel gereksinimlere göre değiştirilebilir. Getirme Gecikmesi - 10 dakika Takvim Getirme Gecikmesi - 6 saat Sohbet Getirme Gecikmesi - 1 günlük Kullanıcı Hesapları Getirme Gecikmesi - 3 saat Oturum Açma Getirme Gecikmesi - 6 saat

  5. Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.

  6. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

Sonraki adımlar

Daha fazla bilgi için Azure Market ilgili çözüme gidin.