[Elavult] Régi kód nélküli összekötő létrehozása a Microsoft Sentinelhez

Erre a dokumentumra akkor hivatkozhat, ha egy adatösszekötőt kell karbantartania vagy frissítenie a központi szerződő fél régebbi, régi verziója alapján.

A központi szerződő fél lehetővé teszi a partnerek, a fejlett felhasználók és a fejlesztők számára, hogy egyéni összekötőket hozzanak létre, csatlakoztatják őket, és adatokat vegyenek fel a Microsoft Sentinelbe. A CCP-n keresztül létrehozott összekötők üzembe helyezhetők API-n, ARM-sablonon vagy megoldásként a Microsoft Sentinel tartalomközpontban.

A CCP használatával létrehozott összekötők teljes mértékben SaaS-nek számítanak, a szolgáltatástelepítésekre vonatkozó követelmények nélkül, valamint az állapotfigyelést és a Microsoft Sentinel teljes támogatását is magukban foglalják.

Hozza létre az adatösszekötőt JSON-konfigurációk definiálásával, a Microsoft Sentinel adatösszekötő lapjának beállításaival, valamint a kapcsolat működését meghatározó lekérdezési beállításokkal.

A következő lépésekkel hozza létre a CCP-összekötőt, és csatlakozzon az adatforráshoz a Microsoft Sentinelből:

Ez a cikk a CCP JSON-konfigurációkban és az összekötő API-n, ARM-sablonon vagy Microsoft Sentinel-megoldáson keresztüli üzembe helyezésének eljárásaiban használt szintaxist ismerteti.

Előfeltételek

Az összekötő létrehozása előtt azt javasoljuk, hogy tisztában legyen az adatforrás viselkedésével és a Microsoft Sentinel kapcsolódási módjával.

Ismernie kell például a sikeres kapcsolatokhoz szükséges hitelesítési, lapozási és API-végpontokat.

Összekötő JSON-konfigurációs fájljának létrehozása

Az egyéni CCP-összekötő két elsődleges JSON-szakaszt tartalmaz az üzembe helyezéshez. Ezeket a területeket kitöltve meghatározhatja, hogyan jelenik meg az összekötő az Azure Portalon, és hogyan csatlakoztatja a Microsoft Sentinelt az adatforráshoz.

• connectorUiConfig. Meghatározza a Microsoft Sentinel adatösszekötő oldalán megjelenő vizuális elemeket és szöveget. További információ: Az összekötő felhasználói felületének konfigurálása.

• pollingConfig. Meghatározza, hogy a Microsoft Sentinel hogyan gyűjt adatokat az adatforrásból. További információ: Az összekötő lekérdezési beállításainak konfigurálása.

Ezután, ha a kód nélküli összekötőt ARM-en keresztül helyezi üzembe, ezeket a szakaszokat az adatösszekötők ARM-sablonjában fogja becsomagolni.

Tekintse át példaként a többi CCP-adatösszekötőt , vagy töltse le a példasablont, DataConnector_API_CCP_template.json (előzetes verzió).

Az összekötő felhasználói felületének konfigurálása

Ez a szakasz az adatösszekötő oldal felhasználói felületének testreszabásához elérhető konfigurációs beállításokat ismerteti.

Az alábbi képen egy adatösszekötő-mintalap látható, amely a felhasználói felület jelentős területeinek megfelelő számokkal van kiemelve:

1. Cím. Az adatösszekötőhöz megjelenített cím.
2. Embléma. Az adatösszekötő ikonja. Ennek testreszabása csak a megoldás részeként történő üzembe helyezéskor lehetséges.
3. Állapot. Azt jelzi, hogy az adatösszekötő csatlakozik-e a Microsoft Sentinelhez.
4. Adatdiagramok. Megjeleníti a releváns lekérdezéseket és az elmúlt két hétben betöltött adatok mennyiségét.
5. Utasítások lap. Tartalmaz egy Előfeltételek szakaszt, amely tartalmazza a minimális érvényesítések listáját, mielőtt a felhasználó engedélyezheti az összekötőt, és útmutatást ad az összekötő felhasználói engedélyezéséhez. Ez a szakasz tartalmazhat szöveget, gombokat, űrlapokat, táblázatokat és egyéb gyakori widgeteket a folyamat egyszerűsítése érdekében.
6. Következő lépések lap. Hasznos információkat tartalmaz az eseménynaplókban található adatok, például a minta lekérdezések megismeréséhez.

A connectorUiConfig felhasználói felület konfigurálásához szükséges szakaszok és szintaxis:

Bonyolult összehozni ezeket a darabokat. Az összekötőoldal felhasználói élményének érvényesítő eszközével tesztelheti az ön által összeállított összetevőket.

dataTypes

graphQueries

Olyan lekérdezést határoz meg, amely az adatbetöltést mutatja be az Adatdiagramok panelen az elmúlt két hétben.

Adjon meg egy lekérdezést az adatösszekötő összes adattípusához, vagy adjon meg egy másik lekérdezést minden adattípushoz.

instructionSteps

Ez a szakasz olyan paramétereket tartalmaz, amelyek meghatározzák a Microsoft Sentinel adatösszekötő oldalán megjelenő utasításokat.

útmutató

Utasítások egy csoportját jeleníti meg paraméterekként különböző beállításokkal, valamint további utasítások csoportokba való beágyazásának lehetőségével.

APIKey

Érdemes lehet létrehozni egy JSON-konfigurációs fájlsablont helyőrző paraméterekkel, hogy több összekötő között is újra felhasználható legyen, vagy akár olyan összekötőt is létrehozhat, amely jelenleg nem rendelkezik adatokkal.

Helyőrző paraméterek létrehozásához adjon meg egy további tömböt userRequestPlaceHoldersInput a CCP JSON-konfigurációs fájl Utasítások szakaszában a következő szintaxis használatával:

"instructions": [
                {
                  "parameters": {
                    "enable": "true",
                    "userRequestPlaceHoldersInput": [
                      {
                        "displayText": "Organization Name",
                        "requestObjectKey": "apiEndpoint",
                        "placeHolderName": "{{placeHolder}}"
                      }
                    ]
                  },
                  "type": "APIKey"
                }
              ]

A userRequestPlaceHoldersInput paraméter a következő attribútumokat tartalmazza:

CopyableLabel

Példa:

Mintakód:

{
    "parameters": {
        "fillWith": [
            "WorkspaceId",
            "PrimaryKey"
            ],
        "label": "Here are some values you'll need to proceed.",
        "value": "Workspace is {0} and PrimaryKey is {1}"
    },
    "type": "CopyableLabel"
}

InfoMessage

Íme egy példa egy beágyazott információs üzenetre:

Ezzel szemben az alábbi képen egy nem beágyazott információs üzenet látható:

InstructionStepsGroup

Íme egy példa egy bővíthető utasításcsoportra:

Részletes példa: A Windows DNS-összekötő konfigurációs JSON-ja.

InstallAgent

Egyes InstallAgent-típusok gombként jelennek meg, mások hivatkozásként jelennek meg. Íme néhány példa mindkettőre:

metaadatok

Ez a szakasz metaadatokat biztosít az adatösszekötő felhasználói felületén a Leírás területen.

engedélyek

resourceProvider

sampleQueries

Egyéb hivatkozásbeállítások konfigurálása

Ha a markdown használatával szeretne beágyazott hivatkozást definiálni, használja az alábbi példát. Itt egy hivatkozás található egy utasítás leírásában:

{
   "title": "",
   "description": "Make sure to configure the machine's security according to your organization's security policy\n\n\n[Learn more >](https://aka.ms/SecureCEF)"
}

A hivatkozás ARM-sablonként való definiálásához használja az alábbi példát útmutatóként:

{
   "title": "Azure Resource Manager (ARM) template",
   "description": "1. Click the **Deploy to Azure** button below.\n\n\t[![Deploy To Azure](https://aka.ms/deploytoazurebutton)]({URL to custom ARM template})"
}

Az adatösszekötő lap felhasználói élményének ellenőrzése

Kövesse az alábbi lépéseket az összekötő felhasználói élményének megjelenítéséhez és ellenőrzéséhez.

1. A teszt segédprogram ezen AZ URL-címen érhető el : https://aka.ms/sentineldataconnectorvalidateurl
2. Ugrás a Microsoft Sentinel –> Adatösszekötők szolgáltatásra
3. Kattintson az "importálás" gombra, és válasszon ki egy json-fájlt, amely csak az connectorUiConfig adatösszekötő szakaszát tartalmazza.

Az érvényesítési eszközről további információt a GitHub buildelési útmutatójában, az összekötők összeállítására vonatkozó útmutatóban talál.

Az összekötő lekérdezési beállításainak konfigurálása

Ez a szakasz azt ismerteti, hogyan történik az adatok lekérdezése az adatforrásból egy kód nélküli adatösszekötőhöz.

Az alábbi kód a CCP konfigurációs fájl szakaszának szintaxisát pollingConfig mutatja be.

"pollingConfig": {
    "auth": {
    },
    "request": {
    },
    "response": {
    },
    "paging": {
    }
 }

A pollingConfig szakasz a következő tulajdonságokat tartalmazza:

További információ: PollingConfig-mintakód.

hitelesítés konfigurálása

A auth pollingConfig konfiguráció szakasza az authType elemben definiált típustól függően a következő paramétereket tartalmazza:

Alapszintű authType-paraméterek

APIKey authType paraméterek

OAuth2 authType paraméterek

A Kód nélküli összekötő platform támogatja az OAuth 2.0 engedélyezési kód megadását.

Az engedélyezési kód megadásának típusát a bizalmas és nyilvános ügyfelek használják egy hozzáférési jogkivonat engedélyezési kódjának cseréjére.

Miután a felhasználó az átirányítási URL-címen keresztül visszatér az ügyfélhez, az alkalmazás lekéri az engedélyezési kódot az URL-címről, és ezzel hozzáférési jogkivonatot kér.

Íme egy példa egy OAuth2-konfiguráció megjelenésére:

"pollingConfig": {
    "auth": {
        "authType": "OAuth2",
        "authorizationEndpoint": "https://accounts.google.com/o/oauth2/v2/auth?access_type=offline&prompt=consent",
        "redirectionEndpoint": "https://portal.azure.com/TokenAuthorize",
        "tokenEndpoint": "https://oauth2.googleapis.com/token",
        "authorizationEndpointQueryParameters": {},
        "tokenEndpointHeaders": {
            "Accept": "application/json"
        },
        "TokenEndpointQueryParameters": {},
        "isClientSecretInHeader": false,
        "scope": "https://www.googleapis.com/auth/admin.reports.audit.readonly",
        "grantType": "authorization_code",
        "contentType": "application/x-www-form-urlencoded",
        "FlowName": "AuthCode"
    },

Munkamenet-authType paraméterek

Konfiguráció kérése

A request pollingConfig konfiguráció szakasza a következő paramétereket tartalmazza:

Válaszkonfiguráció

A response pollingConfig konfiguráció szakasza a következő paramétereket tartalmazza:

Az alábbi kód egy felső szintű üzenet eventsJsonPaths értékére mutat példát:

"eventsJsonPaths": [
              "$"
            ]

Lapozási konfiguráció

A paging pollingConfig konfiguráció szakasza a következő paramétereket tartalmazza:

Minta pollingConfig-kód

Az alábbi kód a központi szerződő fél konfigurációs fájljának egy szakaszát pollingConfig mutatja be:

"pollingConfig": {
    "auth": {
        "authType": "APIKey",
        "APIKeyIdentifier": "token",
        "APIKeyName": "Authorization"
     },
     "request": {
        "apiEndpoint": "https://api.github.com/../{{placeHolder1}}/audit-log",
        "rateLimitQPS": 50,
        "queryWindowInMin": 15,
        "httpMethod": "Get",
        "queryTimeFormat": "yyyy-MM-ddTHH:mm:ssZ",
        "retryCount": 2,
        "timeoutInSeconds": 60,
        "headers": {
           "Accept": "application/json",
           "User-Agent": "Scuba"
        },
        "queryParameters": {
           "phrase": "created:{_QueryWindowStartTime}..{_QueryWindowEndTime}"
        }
     },
     "paging": {
        "pagingType": "LinkHeader",
        "pageSizeParaName": "per_page"
     },
     "response": {
        "eventsJsonPaths": [
          "$"
        ]
     }
}

Az összekötő üzembe helyezése a Microsoft Sentinelben és az adatok betöltése

Miután létrehozta a JSON-konfigurációs fájlt, beleértve a felhasználói felületet és a lekérdezési konfigurációt is, helyezze üzembe az összekötőt a Microsoft Sentinel-munkaterületen.

1. Az adatösszekötő üzembe helyezéséhez használja az alábbi lehetőségek egyikét.

   Tipp.

   Az Azure Resource Manager-sablonon (ARM) keresztül történő üzembe helyezés előnye, hogy több érték is beépített a sablonba, és nem kell manuálisan definiálnia őket egy API-hívásban.

   • Üzembe helyezés ARM-sablonon keresztül
   • Üzembe helyezés API-val

   Csomagolja be a JSON-konfigurációs gyűjteményeket egy ARM-sablonba az összekötő üzembe helyezéséhez. Annak biztosításához, hogy az adatösszekötő a megfelelő munkaterületre legyen üzembe helyezve, adja meg a munkaterületet az ARM-sablonban, vagy válassza ki a munkaterületet az ARM-sablon üzembe helyezésekor.

   1. Készítse elő az ARM-sablon JSON-fájlját az összekötőhöz. Lásd például a következő ARM-sablon JSON-fájljait:

      • Adatösszekötő a Slack-megoldásban
      • Adatösszekötő a GitHub-megoldásban

   2. Az Azure Portalon keressen egy egyéni sablon üzembe helyezésére.

   3. Az Egyéni üzembe helyezés lapon válassza a Saját sablon létrehozása a szerkesztőBetöltés>fájlban lehetőséget. Keresse meg és jelölje ki a helyi ARM-sablont, majd mentse a módosításokat.

   4. Válassza ki az előfizetést és az erőforráscsoportot, majd adja meg azt a Log Analytics-munkaterületet, ahol üzembe szeretné helyezni az egyéni összekötőt.

   5. Válassza a Véleményezés + létrehozás lehetőséget az egyéni összekötő Microsoft Sentinelben való üzembe helyezéséhez.

   6. A Microsoft Sentinelben nyissa meg az Adatösszekötők lapot, és keresse meg az új összekötőt. Konfigurálja az adatok betöltésének megkezdéséhez.

   További információ: Helyi sablon üzembe helyezése az Azure Resource Manager dokumentációjában.

2. Konfigurálja az adatösszekötőt az adatforrás csatlakoztatásához és az adatok Microsoft Sentinelbe való betöltéséhez. Az adatforráshoz a portálon, a beépített adatösszekötőkhöz hasonlóan, vagy az API-val is csatlakozhat.

   Amikor az Azure Portalon csatlakozik, a rendszer automatikusan elküldi a felhasználói adatokat. Amikor API-val csatlakozik, el kell küldenie a megfelelő hitelesítési paramétereket az API-hívásban.

   • Csatlakozás az Azure Portalon keresztül
   • Csatlakozás API-val

   A Microsoft Sentinel adatösszekötő oldalán kövesse az adatösszekötőhöz való csatlakozáshoz megadott utasításokat.

   A Microsoft Sentinel adatösszekötő lapját a CCP JSON-konfigurációs fájl elemében található connectorUiConfig InstructionSteps-konfiguráció vezérli. Ha problémákat tapasztal a felhasználói felület kapcsolatával kapcsolatban, győződjön meg arról, hogy a hitelesítési típushoz megfelelő konfigurációval rendelkezik.

3. A Microsoft Sentinelben lépjen a Naplók lapra, és ellenőrizze, hogy látja-e a naplókat az adatforrásból a munkaterületre.

Ha nem látja a Microsoft Sentinelbe áramló adatokat, ellenőrizze az adatforrás dokumentációját és az erőforrások hibaelhárítását, ellenőrizze a konfiguráció részleteit, és ellenőrizze a kapcsolatot. További információ: Az adatösszekötők állapotának figyelése.

Az összekötő leválasztása

Ha már nincs szüksége az összekötő adataira, bontsa le az összekötőt az adatfolyam leállításához.

Kövesse az alábbi módszerek egyikét:

• Azure Portal: A Microsoft Sentinel adatösszekötő lapján válassza a Leválasztás lehetőséget.

• API: A DISCONNECT API használatával put hívást küldhet üres törzstel a következő URL-címre:

  https://management.azure.com /subscriptions/{{SUB}}/resourceGroups/{{RG}}/providers/Microsoft.OperationalInsights/workspaces/{{WS-NAME}}/providers/Microsoft.SecurityInsights/dataConnectors/{{Connector_Id}}/disconnect?api-version=2021-03-01-preview
  

Következő lépések

Ha még nem tette meg, ossza meg az új kód nélküli adatösszekötőt a Microsoft Sentinel közösségével! Hozzon létre egy megoldást az adatösszekötőhöz, és ossza meg a Microsoft Sentinel Marketplace-en.

További információk:

• A Microsoft Sentinel-megoldások ismertetése
• Adatösszekötő ARM-sablonreferenciája