استخدام Azure Functions لتوصيل Microsoft Sentinel بمصدر البيانات

هذا الأسلوب يوفر توزيعًا تلقائيًا للموصل المستند إلى Azure Function باستخدام قالب ARM.

1. من مدخل Microsoft Sentinel، حدد Data connectors. حدد الموصل المستند إلى Azure Functions من القائمة، ثم افتح صفحة موصل.

2. ضمن التكوين، انسخ معرف مساحة عمل Microsoft Sentinel والمفتاح الأساسي والصقهما جانبا.

3. حدد Deploy to Azure. (قد تحتاج إلى التمرير لأسفل للعثور على الزر.)

4. ستظهر شاشة التوزيع المخصص.

   • حدد اشتراكا ومجموعة موارد ومنطقة لتوزيع Function App الخاص بك.

   • أدخل بيانات اعتماد واجهة برمجة التطبيقات/ مفاتيح التفويض/ الرموز المميزة التي حفظتها في الخطوة 1 أعلاه.

   • أدخل معرف مساحة عمل Microsoft Sentinel ومفتاح مساحة العمل (المفتاح الأساسي) الذي قمت بنسخه ووضعه جانبا.

     إشعار

     إذا كنت تستخدم أسرار Azure Key Vault لأي من القيم أعلاه، فاستخدم المخطط @Microsoft.KeyVault(SecretUri={Security Identifier}) بدلا من قيم السلسلة. راجع وثائق مراجع Key Vault للحصول على مزيد من التفاصيل.

   • أكمل أي حقول أخرى في النموذج على شاشة التوزيع المخصص. راجع صفحة موصل البيانات في المدخل، أو قسم خدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel.

   • حدد "Review + create". عند اكتمال التحقق من الصحة، حدد Create.

استخدم الإرشادات التالية خطوة بخطوة لتوزيع الموصلات المستندة إلى Azure Functions يدويا التي تستخدم وظائف PowerShell.

1. من مدخل Microsoft Sentinel، حدد Data connectors. حدد الموصل المستند إلى Azure Functions من القائمة، ثم افتح صفحة موصل.

2. ضمن التكوين، انسخ معرف مساحة عمل Microsoft Sentinel والمفتاح الأساسي والصقهما جانبا.

3. إنشاء Function App

   1. من ⁩مدخل Microsoft Azure⁧، ابحث عن Function Appوحدده.

   2. في صفحة Function App، حدد Create. سيتم فتح معالج Create Function App.

   3. في علامة التبويب Basics:

      • حدد اشتراك ومجموعة موارد.
      • امنح تطبيق الدالات اسمًا.
      • قم بتعيين مكدس وقت التشغيل إلى PowerShell Core.
      • حدد رقم الإصدار المناسب.
      • حدد المنطقة التي تريد التوزيع فيها، ثم حدد التالي : الاستضافة.

   4. في علامة التبويب Hosting:

      • اختر حساب التخزين الذي تريد استخدامه، أو أنشئ حساب جديد.
      • حدد Consumption (Serverless) ليكون نوع الخطة.

   5. قم بإجراء أي تغييرات تكوين أخرى تحتاج إليها، ثم حدد Review + create.

   6. انتظر رسالة "Validation passed"، ثم حدد Create.

   7. بمجرد اكتمال النشر، حدد الانتقال إلى المورد.

4. استيراد Function App Code

   1. في Function App الذي تم إنشاؤه حديثا، حدد Functions من قائمة التنقل.

   2. في صفحة Functions، حدد + Add.

   3. في لوحة Add function، حدد مشغل المؤقت.

   4. أدخل اسما فريدًا للدالة، وأدخل تعبير cron لتحديد الجدول. الفاصل الزمني الافتراضي كل 5 دقائق.

   5. عند إنشاء الدالة، حدد Code + Test في الجزء الأيمن.

   6. قم بتنزيل Function App Code الذي يوفره مورد النظام المصدر الخاص بك وانسخه والصقه في محرر Function Apprun.ps1 ، واستبدل ما هو موجود بشكل افتراضي. يمكنك العثور على ارتباط التنزيل على صفحة الموصل أو في قسم الخدمة في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel.

   7. حدد حفظ.

5. تكوين Function App

   1. في صفحة Function App، حدد Configuration ضمن Settings في قائمة التنقل.

   2. في علامة التبويب إعدادات التطبيق، حدد + إعداد التطبيق الجديد.

   3. أضف إعدادات التطبيق المحددة لمنتجك بشكل فردي، مع قيم السلسلة الحساسة لحالة الأحرف الخاصة بها. راجع صفحة موصل البيانات في قسم المنتج الخاص بك للقسم في خدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel.

      تلميح

      إذا كان ذلك ممكنا، استخدم إعداد تطبيق logAnalyticsUri لتجاوز نقطة نهاية واجهة برمجة تطبيقات تحليلات السجل، إذا كنت تستخدم سحابة مخصصة. لذلك، على سبيل المثال، إذا كنت تستخدم السحابة العامة، اترك القيمة فارغة. بالنسبة لبيئة سحابة Azure GovUS، حدد القيمة بالتنسيق التالي: https://<CustomerId>.ods.opinsights.azure.us.

استخدم الإرشادات التالية خطوة بخطوة لتوزيع الموصلات المستندة إلى Azure Functions يدويا التي تستخدم وظائف Python. هذا النوع من التوزيع يتطلب Visual Studio Code.

1. من مدخل Microsoft Sentinel، حدد Data connectors. حدد الموصل المستند إلى Azure Functions من القائمة، ثم افتح صفحة موصل.

2. ضمن التكوين، انسخ معرف مساحة عمل Microsoft Sentinel والمفتاح الأساسي والصقهما جانبا.

3. توزيع Function App

   إشعار

   لتطوير Azure Function، ستحتاج إلى إعداد Visual Studio Code (VS Code).

   1. قم بتنزيل ملف Azure Function App باستخدام الارتباط المتوفر في صفحة موصل البيانات وفي قسم خدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel. استخرج الأرشيف إلى كمبيوتر التطوير المحلي الخاص بك.

   2. ابدأ تشغيل رمز VS. من شريط القائمة، حدد File > Open Folder....

   3. حدد مجلد المستوى الأعلى من الملفات المستخرجة من الأرشيف.

   4. اختر رمز Azure في شريط نشاط VS Code (على اليسار). ثم، في منطقة Azure: Functions، اختر زر Deploy to function app.

      إشعار

      إذا لم تُسجل الدخول بالفعل، فاختر رمز Azure في شريط "النشاط". ثم في منطقة Azure: Functions، اختر تسجيل الدخول إلى Azure....
      إذا قمت بتسجيل الدخول بالفعل، فانتقل إلى الخطوة التالية.

   5. قدِّم المعلومات التالية في المطالبات:

      • تحديد المجلد: حدد مجلد من مساحة عملك أو استعرض إلى مجلد يتضمن تطبيق الدوال.
      • تحديد الاشتراك: اختر اشتراك للاستخدام.
      • حدد Create new Function App in Azure. (لا تحدد الخيار خيارات متقدمة.)
      • إدخال اسمًا فريدًا عالميًا لتطبيق الدوال: امنح تطبيق الدوال اسمًا صحيحًا في مسار عنوان موقع الويب. سيتم التحقق من صحة الاسم الذي تختاره للتأكد من أنه فريد في جميع دوال Azure.
      • تحديد وقت التشغيل: اختر Python 3.8.

   6. ستبدأ عملية التوزيع. يعرض تنبيه بعد إنشاء تطبيق الوظيفة وتطبيق حزمة التوزيع.

   7. ارجع إلى صفحة Function App للتكوين.

4. تكوين Function App

   1. في صفحة Function App، حدد Configuration ضمن Settings في قائمة التنقل.

   2. في علامة التبويب إعدادات التطبيق، حدد + إعداد التطبيق الجديد.

   3. أضف إعدادات التطبيق المحددة لمنتجك بشكل فردي، مع قيم السلسلة الحساسة لحالة الأحرف الخاصة بها. راجع صفحة موصل البيانات في القسم في خدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel لإعدادات التطبيق لإضافتها.

      • إذا كان ذلك ممكنا، استخدم إعداد تطبيق logAnalyticsUri لتجاوز نقطة نهاية واجهة برمجة تطبيقات تحليلات السجل، إذا كنت تستخدم سحابة مخصصة. لذلك، على سبيل المثال، إذا كنت تستخدم السحابة العامة، اترك القيمة فارغة. بالنسبة لبيئة سحابة Azure GovUS، حدد القيمة بالتنسيق التالي: https://<CustomerId>.ods.opinsights.azure.us.