Microsoft Sentinel için Lookout Cloud Security (Azure İşlevleri kullanarak) bağlayıcısı
Bu bağlayıcı, Verileri Microsoft Sentinel Log Analytics'e göndermek için Agari REST API bağlantısı kullanır.
Bağlan or öznitelikleri
| Bağlan or özniteliği | Açıklama |
|---|---|
| Azure işlevleri uygulama kodu | https://aka.ms/sentinel-Lookout-functionapp |
| Log Analytics tabloları | LookoutCloudSecurity_CL |
| Veri toplama kuralları desteği | Şu anda desteklenmiyor |
| Destekleyen: | Uyanık |
Sorgu örnekleri
Tüm Lookout Cloud Security günlükleri
LookoutCloudSecurity_CL
| sort by TimeGenerated desc
Önkoşullar
Microsoft Sentinel için Lookout Cloud Security ile tümleştirmek için (Azure İşlevleri kullanarak) aşağıdakilere sahip olduğunuzdan emin olun:
- Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Azure İşlevleri hakkında daha fazla bilgi edinmek için belgelere bakın.
Satıcı yükleme yönergeleri
Dekont
Bu bağlayıcı, günlükleri Microsoft Sentinel'e çekmek üzere Agari REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.
(İsteğe Bağlı Adım) Azure Key Vault'ta çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure Key Vault'u bir Azure İşlev Uygulaması ile kullanmak için bu yönergeleri izleyin.
Adım Adım Yönergeler
Bu tümleştirmenin önkoşulu olarak, öncelikle Lookout'un Yönetim Konsolu'nda bir API istemcisi yapılandırmanız gerekir. Yönetim Konsolu'ndan bir veya daha fazla istemci ekleyebilir ve her biri için uygun izinleri ve eylemleri yapılandırabilirsiniz.
Name - Bu istemciye verilen ad.
İstemci Kimliği - bu istemci için sağlanan benzersiz kimlik.
İzinler - Bu istemci için etkinleştirilen izinler. Denetlediğiniz izinler, istemcinin erişmesine izin verilecek izinlerdir. Listelenen seçenekler Şunlardır: Etkinlik, İhlal, Anomali, Analizler ve Profil
Hizmet URL'si - Bu istemciye erişmek için kullanılan URL. https:// ile başlamalıdır
Yetkili IP'ler - Bu istemci için geçerli ip adresi veya adresler.
Eylemler - Bu istemci için gerçekleştirebileceğiniz eylemler. Gerçekleştirmek istediğiniz eylemin simgesine tıklayın. İstemci bilgilerini düzenleme, gizli diziyi görüntüleme veya istemciyi silme.
Yeni bir API istemcisi eklemek için:
Yönetici istration > Enterprise Integration > API İstemcileri'ne gidin ve Yeni'ye tıklayın.
Ad (gerekli) ve Açıklama (isteğe bağlı) girin.
Size sağlanan İstemci Kimliğini girin.
Açılan listeden bir veya daha fazla İzin seçin.
Bu istemci için bir veya daha fazla Yetkili IP adresi girin. Her adresi virgülle ayırın.
Kaydet'e tıklayın.
İstendiğinde, istemcinin gizli dizisinin dizesini kopyalayın. API ağ geçidinde kimlik doğrulaması yapmak için bu bilgilere (istemci kimliğiyle birlikte) ihtiyacınız olacaktır.
ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden birini seçin
ÖNEMLİ: Veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'na (aşağıdakilerden kopyalanabilir) ve Azure Blob Depolama bağlantı dizesi ve kapsayıcı adına sahip olun.
Seçenek 1 - Azure Resource Manager (ARM) Şablonu
ARM Tempate kullanarak veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.
Aşağıdaki Azure'a Dağıt düğmesine tıklayın.
Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.
Lookout İstemci Kimliği, Lookout İstemci Gizli Anahtarı, Lookout Temel url'si, Microsoft Sentinel Çalışma Alanı Kimliği, Microsoft Sentinel Paylaşılan Anahtarı girin
Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
Dağıtmak için Satın Al'a tıklayın.
Seçenek 2 - Azure İşlevleri El ile Dağıtımı
Veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.
1. İşlev Uygulaması Dağıtma
NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.
Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
VS Code’u başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.
Ayıklanan dosyalardan en üst düzey klasörü seçin.
Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Azure'da oturum aç'ı seçin. Zaten oturum açtıysanız sonraki adıma gidin.
İstemlerde aşağıdaki bilgileri sağlayın:
a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren bir klasöre göz atın.
b. Abonelik: Kullanılacak aboneliği seçin.
c. Azure'da yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)
d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır.
e. Çalışma zamanı seçin: Python 3.8'i seçin.
f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve daha düşük maliyetler için Microsoft Sentinel'in bulunduğu bölgeyi seçin.
Dağıtım başlar. İşlev uygulamanız oluşturulduktan sonra bir bildirim görüntülenir ve dağıtım paketi uygulanır.
İşlev Uygulaması yapılandırması için Azure Portal'a gidin.
2. İşlev Uygulamasını Yapılandırma
- İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
- Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
- Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: LookoutClientId LookoutApiSecret Baseurl WorkspaceID WorkspaceKey logAnalyticsUri (İsteğe bağlı)
- Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin:
https://WORKSPACE_ID.ods.opinsights.azure.us.
- Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.
Sonraki adımlar
Daha fazla bilgi için Azure Market ilgili çözüme gidin.