適用於 Microsoft Sentinel 的 Netskope （使用 Azure Functions） 連接器

  • 發行項

Netskope Cloud Security Platform 連接器提供將 Netskope 記錄和事件內嵌至 Microsoft Sentinel 的功能。 連接器提供 Microsoft Sentinel 中 Netskope 平臺事件和警示的可見度，以改善監視和調查功能。

這是自動產生的內容。 如需變更，請連絡解決方案提供者。

連線 or 屬性

連線 or 屬性 描述
應用程式設定 apikey
workspaceID
workspaceKey
uri
timeInterval
logTypes
logAnalyticsUri （選擇性）
Azure 函式應用程式程式代碼 https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/Netskope/Data%20Connectors/Netskope/AzureFunctionNetskope/run.ps1
Log Analytics 數據表（s） Netskope_CL
數據收集規則支援 目前不支援
支援者： Netskope

查詢範例

前10位使用者

Netskope

| summarize count() by SrcUserName 

| top 10 by count_

前10個警示

Netskope

| where isnotempty(AlertName) 

| summarize count() by AlertName 

| top 10 by count_

必要條件

若要與 Netskope 整合 （使用 Azure Functions） 請確定您有：

廠商安裝指示

注意

此連接器會使用 Azure Functions 連線到 Netskope，將記錄提取至 Microsoft Sentinel。 這可能會導致額外的數據擷取成本。 如需詳細資訊， 請參閱 Azure Functions 定價頁面 。

注意

此數據連接器取決於以 Kusto 函式為基礎的剖析器，以如預期般運作，這會部署為解決方案的一部分。 若要在 Log Analytics 中檢視函式程式代碼，請開啟 Log Analytics/Microsoft Sentinel Logs 刀鋒視窗，按兩下 [函式]，然後搜尋別名 Netskope 並載入函式程式代碼，或按兩下 這裡，在查詢的第二行輸入 Netskope 裝置的主機名（s），以及記錄數據流的任何其他唯一標識符。 在解決方案安裝/更新之後，函式通常需要 10-15 分鐘才能啟動。

（選擇性步驟）安全地將工作區和 API 授權金鑰或令牌儲存在 Azure 金鑰保存庫 中。 Azure 金鑰保存庫 提供安全的機制來儲存和擷取密鑰值。 請遵循這些指示，搭配 Azure 函式應用程式使用 Azure 金鑰保存庫。

步驟 1 - Netskope API 的設定步驟

請遵循 Netskope 所提供的這些指示 來取得 API 令牌。 注意： 需要 Netskope 帳戶

步驟 2 - 從下列兩個部署選項中選擇一個，以部署連接器和相關聯的 Azure 函式

重要事項： 部署 Netskope 連接器之前，請具有工作區標識碼和工作區主鍵（可從下列內容複製），以及可供使用 Netskope API 授權令牌。

選項 1 - Azure Resource Manager （ARM） 範本

此方法會使用ARM Tempate提供Netskope連接器的自動化部署。

  1. 按兩下下方的 [ 部署至 Azure ] 按鈕。

    部署至 Azure

  2. 選取慣用 的訂用帳戶、 資源群組 和 位置。

  3. 輸入工作區標識碼、工作區密鑰、API 金鑰和 URI。

  • 針對值使用下列架構 uri ： https://<Tenant Name>.goskope.com 以您的網域取代 <Tenant Name> 。
  • 默認 的時間間隔 設定為提取最後五分鐘的數據。 如果需要修改時間間隔，建議您據以變更函式應用程式定時器觸發程式（在function.json檔案中，部署后）以防止重疊的數據擷取。
  • 默認 的記錄類型 設定為提取所有 6 個可用的記錄類型 （alert, page, application, audit, infrastructure, network），移除任何不需要。
  • 注意：如果使用上述任何值的 Azure 金鑰保存庫 秘密，請使用@Microsoft.KeyVault(SecretUri={Security Identifier})架構取代字串值。 如需詳細資訊，請參閱 金鑰保存庫 參考檔。
  1. 標示為 [我同意上述條款及條件] 的複選框。
  2. 按兩下 [ 購買 ] 以部署。
  3. 成功部署連接器之後，請下載 Kusto 函式將數據欄位正規化。 請依照步驟 使用 Kusto 函式別名 Netskope。

選項 2 - 手動部署 Azure Functions

此方法提供使用 Azure Function 手動部署 Netskope 連接器的逐步指示。

1.建立函式應用程式

  1. 從 Azure 入口網站流覽至 [函式應用程式]，然後選取 [ + 新增]。
  2. 在 [ 基本] 索引 標籤中，確定運行時間堆疊已設定為 Powershell Core。
  3. 在 [ 裝載] 索引標籤中，確定已選取 [ 取用][無伺服器] 方案類型。
  4. 視需要進行其他偏好的組態變更，然後按兩下 [ 建立]。

2.匯入函式應用程式程式代碼

  1. 在新建立的 [函式應用程式] 中，選取 左窗格中的 [函式 ]，然後按兩下 [ + 新增]。
  2. 選取 [ 定時器觸發程式]。
  3. 視需要輸入唯一的函式 名稱 並修改cron排程。 預設值設定為每隔 5 分鐘執行函式應用程式一次。 （注意：定時器觸發程序應該符合 timeInterval 下列值，以避免重迭的數據），按兩下 建立。
  4. 按兩下左窗格上的 [ 程序代碼+ 測試 ]。
  5. 複製函 式應用程式程式代碼 並貼到函式應用程式 run.ps1 編輯器中。
  6. 按一下 [檔案] 。

3.設定函式應用程式

  1. 在函式應用程式中，選取 [函式應用程式名稱]，然後選取 [ 設定]。
  2. 在 [ 應用程式設定] 索引標籤中，選取 [+ 新增應用程式設定]。
  3. 個別新增下列七個 （7） 個應用程式設定，其個別字串值（區分大小寫）：apikey workspaceID workspaceKey uri timeInterval logTypes logAnalyticsUri （選擇性）
  • 輸入對應至您區域的 URI。 值 uri 必須遵循下列架構： https://<Tenant Name>.goskope.com - 不需要將子參數新增至 Uri，函式應用程式會以適當的格式動態附加參數。
  • 將 timeInterval （以分鐘為單位） 設定為 的預設值 5 ，以對應至每 5 分鐘的預設定時器觸發程式。 如果需要修改時間間隔，建議您據以變更函數應用程式定時器觸發程式，以防止重疊的數據擷取。
  • logTypes將 設定為 alert, page, application, audit, infrastructure, network - 此清單代表所有 avaliable 記錄類型。 根據記錄需求選取記錄類型，以單一逗號分隔每個記錄類型。
  • 注意：如果使用 Azure 金鑰保存庫，請使用@Microsoft.KeyVault(SecretUri={Security Identifier})架構取代字串值。 如需詳細資訊，請參閱 金鑰保存庫 參考檔。
  • 使用 logAnalyticsUri 覆寫專用雲端的記錄分析 API 端點。 例如，針對公用雲端，將值保留空白;針對 Azure GovUS 雲端環境，請以下列格式指定值： https://<CustomerId>.ods.opinsights.azure.us。 4.輸入所有應用程式設定後，按兩下 [ 儲存]。 5.成功部署連接器之後，請下載 Kusto 函式來正規化數據欄位。 請依照步驟 使用 Kusto 函式別名 Netskope。

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案 。