Vectra XDR (az Azure Functions használatával) összekötő a Microsoft Sentinelhez
A Vectra XDR-összekötő lehetővé teszi a Vectra észlelési, auditálási, entitáspontozási, zárolási és állapotadatainak a Microsoft Sentinelbe való betöltését a Vectra REST API-n keresztül. További információkért tekintse meg az API dokumentációját https://support.vectra.ai/s/article/KB-VS-1666
.
Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.
Összekötő attribútumai
Összekötő attribútum | Leírás |
---|---|
Azure-függvényalkalmazás kódja | https://aka.ms/sentinel-VectraXDR-functionapp |
Kusto függvény aliasa | VectraDetections |
Kusto függvény URL-címe | https://aka.ms/sentinel-VectraDetections-parser |
Log Analytics-tábla(ok) | Detections_Data_CL Audits_Data_CL Entity_Scoring_Data_CL Lockdown_Data_CL Health_Data_CL |
Adatgyűjtési szabályok támogatása | Jelenleg nem támogatott |
Támogatja: | Vectra-támogatás |
Példák lekérdezésekre
Vectra Detections Events – Minden észlelési esemény.
Detections_Data_CL
| sort by TimeGenerated desc
Vectra Audits Events – Minden naplózási esemény.
Audits_Data_CL
| sort by TimeGenerated desc
Vectra entitáspontozási események – Minden entitáspontozási esemény.
Entity_Scoring_Data_CL
| sort by TimeGenerated desc
Vectra Lockdown events – Minden lezárási esemény.
Lockdown_Data_CL
| sort by TimeGenerated desc
Vectra Health Events – Minden állapotesemény.
Health_Data_CL
| sort by TimeGenerated desc
Előfeltételek
A Vectra XDR-vel való integráláshoz (az Azure Functions használatával) győződjön meg arról, hogy rendelkezik a következőkkel:
- Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
-
REST API hitelesítő adatai/engedélyei: A Vectra ügyfélazonosítója és titkos ügyfélkódja szükséges az állapot, az entitások pontozása, az észlelések, a zárolás és a naplózás adatgyűjtéséhez. Az API-val kapcsolatos további információkért tekintse meg a dokumentációt
https://support.vectra.ai/s/article/KB-VS-1666
.
Szállító telepítési útmutatója
Feljegyzés
Ez az összekötő az Azure Functions használatával csatlakozik a Vectra API-hoz, hogy lekérje a naplóit a Microsoft Sentinelbe. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .
(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.
Feljegyzés
Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, hogy a várt módon működjön. A Kusto-függvények aliasának, a VectraDetections, a VectraAudits, a VectraEntityScoring, a VectraLockdown és a VectraHealth beállítás létrehozásához kövesse az alábbi lépéseket: Detections Parser, Audits Parser, Entity Scoring Parser, Lockdown Parser and Health Parser.
1. LÉPÉS – A Vectra API hitelesítő adatainak konfigurációs lépései
Az alábbi utasításokat követve hozzon létre egy Vectra-ügyfélazonosítót és egy ügyfélkulcsot.
- Jelentkezzen be a Vectra portálra
- Navigálás a kezeléshez –> API-ügyfelek
- Az API-ügyfelek lapon válassza az "API-ügyfél hozzáadása" lehetőséget egy új ügyfél létrehozásához.
- Adja hozzá az ügyfélnevet, válassza a Szerepkör lehetőséget, majd kattintson a Hitelesítő adatok létrehozása elemre az ügyfél hitelesítő adatainak beszerzéséhez.
- Ügyeljen arra, hogy rögzítse az ügyfél-azonosítót és a titkos kulcsot a megőrzéshez. A hozzáférési jogkivonat A Vectra API-ból való beszerzéséhez szüksége lesz ezekre a két információra. Az összes Vectra API-végpontra irányuló kérések elvégzéséhez hozzáférési jogkivonat szükséges.
2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez
FONTOS: A Vectra-adatösszekötő üzembe helyezése előtt a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható) könnyen elérhető legyen.., valamint a Vectra API engedélyezési hitelesítő adatai
1. lehetőség – Azure Resource Manager-sablon (ARM)
Ezzel a módszerrel automatikusan üzembe helyezhető a Vectra-összekötő.
Kattintson az alábbi Üzembe helyezés az Azure-ban gombra.
Válassza ki az előnyben részesített előfizetést, erőforráscsoportot és helyet.
Adja meg az alábbi adatokat:
- Függvénynév
- Munkaterület azonosítója
- Munkaterületkulcs
- Vectra alap URL-címe
https://<vectra-portal-url>
- Vectra ügyfélazonosító – Állapot
- Vectra ügyfél titkos kulcsa – Állapot
- Vectra-ügyfélazonosító – Entitás pontozása
- Vectra client secret – Entitás pontozása
- Vectra-ügyfélazonosító – Észlelések
- Vectra ügyfélkód – Észlelések
- Vectra-ügyfélazonosító – Auditok
- Vectra-ügyfélkód – Auditok
- Vectra-ügyfélazonosító – Zárolás
- Vectra-ügyfél titkos kódja – Zárolás
- StartTime (MM/DD/YYYY HH:MM:SS formátumban)
- Táblanév naplózása
- Észlelések táblaneve
- Entitáspontozási tábla neve
- Zárolási tábla neve
- Állapottábla neve
- Naplószint (alapértelmezett: INFO)
- Zárolás ütemezése
- Állapotütemezés
- Észlelések ütemezése
- Naplók ütemezése
- Entitáspontozás ütemezése
Jelölje be a megjelölt jelölőnégyzetet , és elfogadom a fent leírt feltételeket.
Kattintson a Vásárlás gombra az üzembe helyezéshez.
2. lehetőség – Az Azure Functions manuális üzembe helyezése
A Vectra-adatösszekötő manuális üzembe helyezéséhez kövesse az alábbi lépésenkénti utasításokat az Azure Functionsben (üzembe helyezés a Visual Studio Code-on keresztül).
1. Függvényalkalmazás üzembe helyezése
MEGJEGYZÉS: VS-kódot kell előkészítenie az Azure-függvények fejlesztéséhez.
Töltse le az Azure-függvényalkalmazás fájlját. Archívum kinyerése a helyi fejlesztőszámítógépre.
Indítsa el a VS Code-ot. Válassza a Fájl lehetőséget a főmenüben, és válassza a Mappa megnyitása lehetőséget.
Válassza ki a legfelső szintű mappát a kibontott fájlokból.
Válassza az Azure ikont a Tevékenységsávon, majd az Azure: Függvények területen válassza az Üzembe helyezés függvényalkalmazáshoz gombot. Ha még nincs bejelentkezve, válassza az Azure ikont a Tevékenységsávon, majd az Azure: Functions területen válassza a Bejelentkezés az Azure-ba , ha már bejelentkezett, lépjen a következő lépésre.
Amikor a rendszer kéri, adja meg az alábbi információkat:
a. Mappa kiválasztása: Válasszon ki egy mappát a munkaterületről, vagy keresse meg a függvényalkalmazást tartalmazó mappát.
b. Előfizetés kiválasztása: Válassza ki a használni kívánt előfizetést.
c. Válassza az Új függvényalkalmazás létrehozása az Azure-ban (Ne válassza a Speciális lehetőséget)
d. Adjon meg egy globálisan egyedi nevet a függvényalkalmazásnak: Írjon be egy URL-elérési úton érvényes nevet. A beírt név ellenőrzése ellenőrzi, hogy egyedi-e az Azure Functionsben. (pl. VECTRAXXXXX).
e. Válasszon futtatókörnyezetet: Válassza a Python 3.8 vagy újabb verzióját.
f. Válasszon egy helyet az új erőforrásokhoz. A jobb teljesítmény és az alacsonyabb költségek érdekében válassza azt a régiót, ahol a Microsoft Sentinel található.
Az üzembe helyezés megkezdődik. A függvényalkalmazás létrehozása és a telepítőcsomag alkalmazása után megjelenik egy értesítés.
Nyissa meg az Azure Portalt a függvényalkalmazás konfigurációjához.
2. A függvényalkalmazás konfigurálása
- A függvényalkalmazásban válassza ki a függvényalkalmazás nevét, majd válassza a Konfiguráció lehetőséget.
- Az Alkalmazásbeállítások lapon válassza az + Új alkalmazásbeállítás lehetőséget.
- Adja hozzá egyenként az alábbi alkalmazásbeállításokat a megfelelő értékekkel (kis- és nagybetűk megkülönböztetése):
- Munkaterület azonosítója
- Munkaterületkulcs
- Vectra alap URL-címe
https://<vectra-portal-url>
- Vectra ügyfélazonosító – Állapot
- Vectra ügyfél titkos kulcsa – Állapot
- Vectra-ügyfélazonosító – Entitás pontozása
- Vectra client secret – Entitás pontozása
- Vectra-ügyfélazonosító – Észlelések
- Vectra ügyfélkód – Észlelések
- Vectra-ügyfélazonosító – Auditok
- Vectra-ügyfélkód – Auditok
- Vectra-ügyfélazonosító – Zárolás
- Vectra-ügyfél titkos kódja – Zárolás
- StartTime (MM/DD/YYYY HH:MM:SS formátumban)
- Táblanév naplózása
- Észlelések táblaneve
- Entitáspontozási tábla neve
- Zárolási tábla neve
- Állapottábla neve
- Naplószint (alapértelmezett: INFO)
- Zárolás ütemezése
- Állapotütemezés
- Észlelések ütemezése
- Naplók ütemezése
- Entitáspontozás ütemezése
- logAnalyticsUri (nem kötelező)
- A logAnalyticsUri használatával felülbírálhatja a log Analytics API-végpontot a dedikált felhőhöz. Nyilvános felhő esetén például hagyja üresen az értéket; Azure GovUS felhőkörnyezet esetén adja meg az értéket a következő formátumban:
https://<CustomerId>.ods.opinsights.azure.us
.
- Miután megadta az összes alkalmazásbeállítást, kattintson a Mentés gombra.
Következő lépések
További információ: a kapcsolódó megoldás az Azure Marketplace-en.