適用於 Microsoft Sentinel 的 Armis 警示 (使用 Azure Functions) 連接器
Armis 警示連接器可讓您透過 Armis REST API 將 Armis 警示內嵌至 Microsoft Sentinel。 如需詳細資訊, https://<YourArmisInstance>.armis.com/api/v1/docs
請參閱 API 檔。 連接器可讓您從 Armis 平臺取得警示資訊,並識別並排定環境中威脅的優先順序。 Armis 會使用現有的基礎結構來探索和識別裝置,而不需要部署任何代理程式。
這是自動產生的內容。 如需變更,請連絡解決方案提供者。
連線 or 屬性
連線 or 屬性 | 描述 |
---|---|
Azure 函式應用程式程式代碼 | https://aka.ms/sentinel-ArmisAlertsAPI-functionapp |
Kusto 函式別名 | ArmisAlerts |
Kusto 函式 URL | https://aka.ms/sentinel-ArmisAlertsAPI-parser |
Log Analytics 數據表(s) | Armis_Alerts_CL |
數據收集規則支援 | 目前不支援 |
支援者: | Armis Corporation |
查詢範例
Armis 警示事件 - 所有警示活動。
Armis_Alerts_CL
| sort by TimeGenerated desc
必要條件
若要與 Armis 警示整合(使用 Azure Functions),請確定您有:
- Microsoft.Web/sites 許可權:需要 Azure Functions 的讀取和寫入許可權,才能建立函式應用程式。 請參閱檔以深入瞭解 Azure Functions。
- REST API 認證/許可權: 需要 Armis 秘密金鑰 。 若要深入瞭解 API,請參閱檔
https://<YourArmisInstance>.armis.com/api/v1/doc
廠商安裝指示
注意
此連接器會使用 Azure Functions 連線到 Armis API,將其記錄提取至 Microsoft Sentinel。 這可能會導致額外的數據擷取成本。 如需詳細資訊, 請參閱 Azure Functions 定價頁面 。
(選擇性步驟)在 Azure 金鑰保存庫 中安全地儲存工作區和 API 授權密鑰或令牌。 Azure 金鑰保存庫 提供安全的機制來儲存和擷取密鑰值。 請遵循這些指示,搭配 Azure 函式應用程式使用 Azure 金鑰保存庫。
注意
此數據連接器取決於以 Kusto 函式為基礎的剖析器,才能如預期般運作。 請遵循下列步驟 來建立 Kusto 函式別名 ArmisAlerts
步驟 1 - Armis API 的設定步驟
請遵循這些指示來建立 Armis API 秘密金鑰。
- 登入您的 Armis 實例
- 流覽至 [設定 -> API 管理
- 如果尚未建立秘密金鑰,請按 [建立] 按鈕以建立秘密金鑰
- 若要存取秘密金鑰,請按 [顯示] 按鈕
- 秘密金鑰現在可以在 Armis 警示連接器設定期間複製及使用
步驟 2 - 從下列兩個部署選項中選擇一個,以部署連接器和相關聯的 Azure 函式
重要事項: 在部署 Armis 警示資料連接器之前,請讓工作區標識碼和工作區主要金鑰 (可複製自下列專案)可供使用。以及 Armis API 授權金鑰(s)
選項 1 - Azure Resource Manager (ARM) 範本
使用此方法來自動部署 Armis 連接器。
按兩下下方的 [ 部署至 Azure ] 按鈕。
選取慣用 的訂用帳戶、 資源群組 和 位置。
輸入下列資訊:
- 函數名稱
- 工作區識別碼
- 工作區金鑰
- Armis 秘密金鑰
- Armis URL
https://<armis-instance>.armis.com/api/v1/
- Armis 警示數據表名稱
- Armis 排程
- 避免重複項目 (預設值:true)
標示為 [我同意上述條款及條件] 的複選框。
按兩下 [ 購買 ] 以部署。
選項 2 - 手動部署 Azure Functions
使用下列逐步指示,透過 Azure Functions 手動部署 Armis 警示數據連接器(透過 Visual Studio Code 進行部署)。
1.部署函式應用程式
注意: 您必須 準備 VS 程式代碼 以進行 Azure 函式開發。
下載 Azure 函式應用程式檔案。 將封存解壓縮到本機開發計算機。
啟動 VS Code。 在主功能表中選擇 [檔案],然後選取 [開啟資料夾]。
從擷取的檔案中選取最上層資料夾。
選擇 [活動] 列中的 Azure 圖示,然後在 [Azure: Functions ] 區域中,選擇 [ 部署至函式應用程式 ] 按鈕。 如果您尚未登入,請選擇 [活動] 列中的 Azure 圖示,然後在 [Azure: Functions ] 區域中,選擇 [登入 Azure 如果您已經登入],請移至下一個步驟。
提示中會提供下列資訊:
a. 選取資料夾:從您的工作區選擇一個資料夾,或瀏覽至其中一個包含您函數應用程式的資料夾。
b. 選取 [訂用帳戶: 選擇要使用的訂用帳戶]。
c. 在 Azure 中選取 [建立新的函式應用程式] (不要選擇 [進階] 選項)
d. 輸入函數應用程式的全域唯一名稱:鍵入 URL 路徑中的有效名稱。 您輸入的名稱會進行驗證,以確定該名稱在 Azure Functions 中是唯一的。 (例如 ARMISXXXXX)。
e. 選取運行時間: 選擇 Python 3.8 或更新版本。
f. 選取新資源的位置。 為了獲得更好的效能和較低的成本,請選擇 Microsoft Sentinel 所在的相同 區域 。
部署將會開始。 建立函式應用程式並套用部署套件之後,即會顯示通知。
移至 Azure 入口網站以取得函式應用程式設定。
2.設定函式應用程式
- 在函式應用程式中,選取 [函式應用程式名稱],然後選取 [ 設定]。
- 在 [ 應用程式設定] 索引標籤中,選取 [+ 新增應用程式設定]。
- 個別新增下列每個應用程式設定,其各自的值(區分大小寫):
- 工作區識別碼
- 工作區金鑰
- Armis 秘密金鑰
- Armis URL
https://<armis-instance>.armis.com/api/v1/
- Armis 警示數據表名稱
- Armis 排程
- 避免重複項目 (預設值:true)
- logAnalyticsUri (選擇性)
- 使用 logAnalyticsUri 覆寫專用雲端的記錄分析 API 端點。 例如,針對公用雲端,將值保留空白;針對 Azure GovUS 雲端環境,請以下列格式指定值:
https://<CustomerId>.ods.opinsights.azure.us
。
- 輸入所有應用程式設定之後,按兩下 [ 儲存]。
下一步
如需詳細資訊,請移至 Azure Marketplace 中的相關解決方案 。