Microsoft Sentinel için İsteğe Bağlı ProofPoint Email Güvenliği (Azure İşlevleri kullanarak) bağlayıcısı

  • Makale

Proofpoint İsteğe Bağlı Email Güvenlik veri bağlayıcısı, İsteğe Bağlı ProofPoint Email Koruması verilerini alma olanağı sağlar, kullanıcıların ileti izlenebilirliğini denetlemesine, e-posta etkinliğini, tehditleri ve saldırganlar ve kötü amaçlı insider'lar tarafından veri sızdırmasını izlemesine olanak tanır. Bağlayıcı, kuruluşunuzdaki olayları hızlandırılmış olarak gözden geçirme, son etkinlikler için saatlik artışlarla olay günlüğü dosyalarını alma olanağı sağlar.

Bağlayıcı öznitelikleri

Bağlayıcı özniteliği Açıklama
Azure işlev uygulaması kodu https://aka.ms/sentinel-proofpointpod-functionapp
Kusto işlev diğer adı ProofpointPOD
Kusto işlev url'si https://aka.ms/sentinel-proofpointpod-parser
Log Analytics tabloları ProofpointPOD_message_CL
ProofpointPOD_maillog_CL
Veri toplama kuralları desteği Şu anda desteklenmiyor
Destekleyen: Microsoft Corporation

Sorgu örnekleri

Son ProofpointPOD iletisi Olayları

ProofpointPOD

| where EventType == 'message'

| sort by TimeGenerated desc

Son ProofpointPOD posta günlüğü Olayları

ProofpointPOD

| where EventType == 'maillog'

| sort by TimeGenerated desc

Önkoşullar

Proofpoint İsteğe Bağlı Güvenlik Email Ile tümleştirmek için (Azure İşlevleri kullanarak) aşağıdakilere sahip olduğunuzdan emin olun:

Satıcı yükleme yönergeleri

Not

Bu bağlayıcı, günlüklerini Microsoft Sentinel'e çekmek üzere Proofpoint Websocket API'sine bağlanmak için Azure İşlevleri kullanır. Bu ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Azure Key Vault'da çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure Key Vault bir Azure İşlev Uygulaması ile kullanmak için bu yönergeleri izleyin.

Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlevleri diğer adı proofpointPOD'u oluşturmak için bu adımları izleyin

1. ADIM - Proofpoint Websocket API'sinin yapılandırma adımları

  1. Proofpoint Websocket API hizmeti, Uzak Syslog İletme lisansı gerektirir. PoD Günlük API'sini etkinleştirme ve denetleme ile ilgili belgelere bakın.
  2. Küme kimliğinizi ve güvenlik belirtecinizi sağlamanız gerekir.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden birini seçin

ÖNEMLİ: Proofpoint İsteğe Bağlı Email Güvenlik veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Proofpoint POD Günlük API'si kimlik bilgilerine sahip olun.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Proofpoint İsteğe Bağlı Email Güvenlik veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure'a Dağıt düğmesine tıklayın.

    Azure'a dağıtma

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'u seçin.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, ProofpointClusterID, ProofpointToken girin ve dağıtın.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

proofpoint on Demand Email Security veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. İşlev Uygulaması Dağıtma

NOT:VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'u başlatın. Ana menüden Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Azure'da oturum aç'ı seçin. Zaten oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'da yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. ProofpointXXXXX).

    e. Çalışma zamanı seçin: Python 3.8'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel'in bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan sonra bir bildirim görüntülenir ve dağıtım paketi uygulanır.

  7. İşlev Uygulaması yapılandırması için Azure Portal'a gidin.

2. İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  3. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: ProofpointClusterID ProofpointToken WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

Sonraki adımlar

Daha fazla bilgi için Azure Market ilgili çözüme gidin.