你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

适用于 Microsoft Sentinel 的 Cisco Stealthwatch 连接器

  • 项目

Cisco Stealthwatch 数据连接器提供将 Cisco Stealthwatch 事件引入 Microsoft Sentinel 的功能。

连接器属性

连接器属性 说明
Log Analytics 表 Syslog (StealthwatchEvent)
数据收集规则支持 工作区转换 DCR
支持的服务 Microsoft Corporation

查询示例

排名前 10 的源

StealthwatchEvent

| summarize count() by tostring(DvcHostname)

| top 10 by count_

供应商安装说明

注意

此数据连接器依赖基于 Kusto 函数的分析程序，作为使用 Microsoft Sentinel 解决方案进行部署的预期 StealthwatchEvent 运行。

注意

此数据连接器是使用 Cisco Stealthwatch 版本 7.3.2 开发的

  1. 安装并加入适用于 Linux 或 Windows 的代理

在转发 Cisco Stealthwatch 日志的服务器上安装此代理。

Linux 或 Windows 代理收集 Linux 或 Windows 服务器上部署的 Cisco Stealthwatch Server 中的日志。

  1. 配置 Cisco Stealthwatch 事件转发

按照以下配置步骤将 Stealthwatch 日志引入 Microsoft Sentinel。

  1. 以管理员身份登录到 Stealthwatch 管理控制台 (SMC)。

  2. 在菜单栏中，单击“配置”>“响应管理”。

  3. 从“响应管理”菜单中的“操作”部分单击“添加”>“Syslog 消息”。

  4. 在“添加 Syslog 消息操作”窗口中，配置参数。

  5. 输入以下自定义格式：|Lancope|Stealthwatch|7.3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}

  6. 从列表中选择自定义格式，然后单击“确定”

  7. 单击“响应管理”>“规则”。

  8. 单击“添加”并选择“主机警报”。

  9. 在“名称”字段中提供规则名称。

  10. 通过从“类型”和“选项”菜单中选择值来创建规则。 若要添加更多规则，请单击省略号图标。 对于“主机警报”，请在语句中组合尽可能多的类型。

后续步骤

有关详细信息，请转到 Azure 市场中的相关解决方案。