[Tidak digunakan lagi] Membuat konektor tanpa kode warisan untuk Microsoft Azure Sentinel

Referensikan dokumen ini jika Anda perlu memelihara atau memperbarui konektor data berdasarkan versi lama CCP ini.

CCP menyediakan mitra, pengguna tingkat lanjut, dan pengembang dengan kemampuan untuk membuat konektor kustom, menghubungkannya, dan menyerap data ke Microsoft Azure Sentinel. Konektor yang dibuat melalui CCP dapat disebarkan melalui API, templat ARM, atau sebagai solusi dalam hub konten Microsoft Sentinel.

Konektor yang dibuat menggunakan CCP sepenuhnya SaaS, tanpa persyaratan apa pun untuk penginstalan layanan, dan juga menyertakan pemantauan kesehatan dan dukungan penuh dari Microsoft Sentinel.

Buat konektor data Anda dengan mendefinisikan konfigurasi JSON, dengan pengaturan tentang bagaimana halaman konektor data di Microsoft Azure Sentinel terlihat bersama dengan pengaturan polling yang menentukan bagaimana fungsi koneksi.

Gunakan langkah-langkah berikut ini untuk membuat konektor CCP Anda dan menyambungkan ke sumber data Anda dari Microsoft Sentinel:

Artikel ini menguraikan sintaks yang digunakan dalam konfigurasi dan prosedur CCP JSON untuk menyebarkan konektor Anda melalui API, templat ARM, atau solusi Microsoft Sentinel.

Prasyarat

Sebelum membangun konektor, kami sarankan Anda memahami bagaimana sumber data Anda berperilaku dan persis bagaimana Microsoft Sentinel perlu terhubung.

Misalnya, Anda harus mengetahui jenis titik akhir autentikasi, penomoran halaman, dan API yang diperlukan agar koneksi berhasil.

Membuat file konfigurasi JSON konektor

Konektor CCP kustom Anda memiliki dua bagian JSON utama yang diperlukan untuk penyebaran. Isi area ini untuk menentukan bagaimana konektor Anda ditampilkan di portal Azure dan bagaimana konektor menghubungkan Microsoft Azure Sentinel ke sumber data Anda.

• connectorUiConfig. Menentukan elemen visual dan teks yang ditampilkan pada halaman konektor data dalam Microsoft Sentinel. Untuk informasi selengkapnya, lihat Mengonfigurasi antarmuka pengguna konektor Anda.

• pollingConfig. Menentukan cara Microsoft Sentinel mengumpulkan data dari sumber data Anda. Untuk informasi selengkapnya, lihat Mengonfigurasi pengaturan polling konektor Anda.

Kemudian, jika Anda menyebarkan konektor tanpa kode melalui ARM, Anda akan membungkus bagian ini di templat ARM untuk konektor data.

Tinjau konektor data CCP lainnya sebagai contoh atau unduh contoh templat, DataConnector_API_CCP_template.json (Pratinjau).

Mengonfigurasi antarmuka pengguna konektor Anda

Bagian ini menjelaskan opsi konfigurasi yang tersedia untuk menyesuaikan antarmuka pengguna halaman konektor data.

Gambar berikut menunjukkan halaman konektor data sampel, disorot dengan angka yang sesuai dengan area penting antarmuka pengguna:

1. Judul. Judul yang ditampilkan untuk konektor data Anda.
2. Logo. Ikon yang ditampilkan untuk konektor data Anda. Menyesuaikan ini hanya dimungkinkan saat menyebarkan sebagai bagian dari solusi.
3. Status. Menunjukkan apakah konektor data Anda tersambung ke Microsoft Azure Sentinel atau tidak.
4. Bagan data. Menampilkan kueri yang relevan dan jumlah data yang terserap dalam dua minggu terakhir.
5. Tab Instruksi. Menyertakan bagian Prasyarat , dengan daftar validasi minimal sebelum pengguna dapat mengaktifkan konektor, dan Instruksi, untuk memandu pengaktifan pengguna konektor. Bagian ini dapat berisi teks, tombol, formulir, tabel, dan widget umum lainnya untuk menyederhanakan proses.
6. Tab langkah selanjutnya. Menyertakan informasi yang berguna dalam memahami cara menemukan data dalam log peristiwa, seperti kueri sampel.

Berikut adalah bagian dan sintaksis yang connectorUiConfig diperlukan untuk mengonfigurasi antarmuka pengguna:

Menggabungkan semua potongan-potongan ini rumit. Gunakan alat validasi pengalaman pengguna halaman konektor untuk menguji komponen yang Anda satukan.

dataTypes

graphQueries

Menentukan kueri yang menyajikan penyerapan data selama dua minggu terakhir dalam panel Bagan data.

Menyediakan salah satu kueri untuk seluruh jenis data milik konektor data, atau kueri yang berbeda untuk setiap jenis data.

instructionSteps

Bagian ini menyediakan parameter yang menentukan set instruksi yang muncul pada halaman konektor data Anda dalam Microsoft Sentinel.

petunjuk

Menampilkan sekelompok instruksi, dengan berbagai opsi sebagai parameter dan kemampuan untuk menumpuk lebih banyak instruksiSteps dalam grup.

APIKey

Anda mungkin ingin membuat templat file konfigurasi JSON, dengan parameter tempat penampung, untuk digunakan kembali di beberapa konektor, atau bahkan untuk membuat konektor dengan data yang saat ini tidak Anda miliki.

Untuk membuat parameter tempat penampung, tentukan array tambahan yang dinamai userRequestPlaceHoldersInput pada bagian Instruksi file konfigurasi JSON CCP Anda, menggunakan sintaks berikut:

"instructions": [
                {
                  "parameters": {
                    "enable": "true",
                    "userRequestPlaceHoldersInput": [
                      {
                        "displayText": "Organization Name",
                        "requestObjectKey": "apiEndpoint",
                        "placeHolderName": "{{placeHolder}}"
                      }
                    ]
                  },
                  "type": "APIKey"
                }
              ]

Parameter userRequestPlaceHoldersInput mencakup atribut berikut:

CopyableLabel

Contoh:

Kode sampel:

{
    "parameters": {
        "fillWith": [
            "WorkspaceId",
            "PrimaryKey"
            ],
        "label": "Here are some values you'll need to proceed.",
        "value": "Workspace is {0} and PrimaryKey is {1}"
    },
    "type": "CopyableLabel"
}

InfoMessage

Berikut adalah contoh pesan informasi sebaris:

Sebaliknya, gambar berikut menunjukkan pesan informasi tidak-sebaris:

InstructionStepsGroup

Berikut adalah contoh grup instruksi yang dapat diperluas:

Untuk contoh terperinci, lihat konfigurasi JSON untuk konektor DNS Windows.

InstallAgent

Beberapa jenis InstallAgent muncul sebagai tombol, yang lain akan muncul sebagai tautan. Berikut adalah contoh keduanya:

metadata

Bagian ini menyediakan metadata di UI konektor data di bawah area Deskripsi .

permissions

resourceProvider

sampleQueries

Mengonfigurasi opsi tautan lainnya

Untuk menentukan tautan sebaris menggunakan markdown, gunakan contoh berikut. Di sini tautan disediakan dalam deskripsi instruksi:

{
   "title": "",
   "description": "Make sure to configure the machine's security according to your organization's security policy\n\n\n[Learn more >](https://aka.ms/SecureCEF)"
}

Untuk menentukan link sebagai templat ARM, gunakan contoh berikut sebagai panduan:

{
   "title": "Azure Resource Manager (ARM) template",
   "description": "1. Click the **Deploy to Azure** button below.\n\n\t[![Deploy To Azure](https://aka.ms/deploytoazurebutton)]({URL to custom ARM template})"
}

Memvalidasi pengalaman pengguna halaman konektor data

Ikuti langkah-langkah ini untuk merender dan memvalidasi pengalaman pengguna konektor.

1. Utilitas pengujian dapat diakses oleh URL ini - https://aka.ms/sentineldataconnectorvalidateurl
2. Buka Microsoft Azure Sentinel -> Konektor Data
3. Klik tombol "impor" dan pilih file json yang hanya berisi bagian connectorUiConfig konektor data Anda.

Untuk informasi selengkapnya tentang alat validasi ini, lihat panduan Build instruksi konektor di build GitHub kami.

Mengonfigurasi pengaturan polling konektor Anda

Bagian ini menjelaskan konfigurasi untuk cara data dipilih dari sumber data Anda untuk konektor data tanpa kode.

Kode berikut menampilkan sintaks dari bagian pollingConfig file konfigurasi CCP.

"pollingConfig": {
    "auth": {
    },
    "request": {
    },
    "response": {
    },
    "paging": {
    }
 }

Bagian pollingConfig ini mencakup properti berikut:

Untuk informasi selengkapnya, lihat Sampel kode pollingConfig.

konfigurasi autentikasi

auth Bagian konfigurasi pollingConfig mencakup parameter berikut, tergantung pada jenis yang ditentukan dalam elemen authType:

Parameter authType dasar

Parameter authType APIKey

Parameter authType OAuth2

Platform Konektor Tanpa Kode mendukung pemberian kode otorisasi OAuth 2.0.

Jenis pemberian Kode Otorisasi digunakan oleh klien rahasia serta publik untuk menukar kode otorisasi dengan token akses.

Setelah pengguna kembali ke klien melalui URL pengalihan, aplikasi akan mendapatkan kode otorisasi dari URL dan menggunakannya untuk meminta token akses.

Berikut contoh bagaimana konfigurasi OAuth 2 mungkin terlihat:

"pollingConfig": {
    "auth": {
        "authType": "OAuth2",
        "authorizationEndpoint": "https://accounts.google.com/o/oauth2/v2/auth?access_type=offline&prompt=consent",
        "redirectionEndpoint": "https://portal.azure.com/TokenAuthorize",
        "tokenEndpoint": "https://oauth2.googleapis.com/token",
        "authorizationEndpointQueryParameters": {},
        "tokenEndpointHeaders": {
            "Accept": "application/json"
        },
        "TokenEndpointQueryParameters": {},
        "isClientSecretInHeader": false,
        "scope": "https://www.googleapis.com/auth/admin.reports.audit.readonly",
        "grantType": "authorization_code",
        "contentType": "application/x-www-form-urlencoded",
        "FlowName": "AuthCode"
    },

Parameter authType sesi

Konfigurasi permintaan

request Bagian konfigurasi pollingConfig mencakup parameter berikut:

Konfigurasi respons

response Bagian konfigurasi pollingConfig mencakup parameter berikut:

Kode berikut menunjukkan contoh nilai eventsJsonPaths untuk pesan tingkat atas:

"eventsJsonPaths": [
              "$"
            ]

Konfigurasi penomoran halaman

paging Bagian konfigurasi pollingConfig mencakup parameter berikut:

Sampel kode pollingConfig

Kode berikut menunjukkan contoh pollingConfig bagian dari file Konfigurasi CCP:

"pollingConfig": {
    "auth": {
        "authType": "APIKey",
        "APIKeyIdentifier": "token",
        "APIKeyName": "Authorization"
     },
     "request": {
        "apiEndpoint": "https://api.github.com/../{{placeHolder1}}/audit-log",
        "rateLimitQPS": 50,
        "queryWindowInMin": 15,
        "httpMethod": "Get",
        "queryTimeFormat": "yyyy-MM-ddTHH:mm:ssZ",
        "retryCount": 2,
        "timeoutInSeconds": 60,
        "headers": {
           "Accept": "application/json",
           "User-Agent": "Scuba"
        },
        "queryParameters": {
           "phrase": "created:{_QueryWindowStartTime}..{_QueryWindowEndTime}"
        }
     },
     "paging": {
        "pagingType": "LinkHeader",
        "pageSizeParaName": "per_page"
     },
     "response": {
        "eventsJsonPaths": [
          "$"
        ]
     }
}

Menyebarkan konektor Anda dalam Microsoft Sentinel dan mulai menyerap data

Setelah membuat file konfigurasi JSON Anda, termasuk antarmuka pengguna dan konfigurasi polling, maka sebarkan konektor pada ruang kerja Microsoft Sentinel Anda.

1. Gunakan salah satu dari opsi berikut untuk menyebarkan konektor data Anda.

   Tip

   Keuntungan menyebarkan melalui templat Azure Resource Manager (ARM) adalah bahwa beberapa nilai sudah terpasang tetap di templat, dan Anda tidak perlu menentukannya secara manual dalam panggilan API.

   • Menyebarkan melalui templat ARM
   • Menyebarkan melalui API

   Bungkus koleksi konfigurasi JSON Anda dalam templat ARM untuk menyebarkan konektor Anda. Untuk memastikan bahwa konektor data Anda disebarkan ke ruang kerja yang benar, pastikan untuk menentukan ruang kerja di templat ARM, atau pilih ruang kerja saat menyebarkan templat ARM.

   1. Siapkan file JSON templat ARM untuk konektor Anda. Misalnya, lihat file JSON templat ARM berikut:

      • Konektor data dalam Solusi Slack
      • Konektor data dalam solusi GitHub

   2. Pada portal Azure, cari Sebarkan templat kustom.

   3. Pada halaman Penyebaran kustom, pillih Buat templat Anda sendiri di >File muatan editor. Telusuri dan pilih templat ARM lokal Anda, lalu simpan perubahannya.

   4. Pilih grup langganan dan sumber daya Anda, kemudian masukkan ruang kerja Analitik Log tempat Anda ingin menyebarkan konektor kustom.

   5. Pilih Tinjau + buat untuk menyebarkan konektor kustom Anda ke Microsoft Sentinel.

   6. Dalam Microsoft Sentinel, buka halaman Konektor data, cari konektor baru Anda. Konfigurasikan untuk mulai menyerap data.

   Untuk informasi selengkapnya, lihat Menyebarkan templat lokal dalam dokumentasi Azure Resource Manager.

2. Konfigurasikan konektor data Anda untuk menyambungkan sumber data Anda dan mulai menyerap data ke Microsoft Sentinel. Anda dapat tersambung ke sumber data Anda baik melalui portal, seperti dengan konektor data out-of-the-box, atau melalui API.

   Saat Anda menggunakan portal Azure untuk tersambung, data pengguna dikirim secara otomatis. Saat Anda tersambung melalui API, Anda harus mengirim parameter autentikasi yang relevan dalam panggilan API.

   • Menyambungkan melalui portal Azure
   • Menyambungkan melalui API

   Pada halaman konektor data Microsoft Sentinel, ikuti petunjuk yang disediakan untuk menyambungkan ke konektor data Anda.

   Halaman konektor data di Microsoft Azure Sentinel dikontrol oleh konfigurasi InstructionSteps dalam connectorUiConfig elemen file konfigurasi CCP JSON. Jika Anda memiliki masalah dengan koneksi antarmuka pengguna, pastikan Anda memiliki konfigurasi yang benar untuk jenis autentikasi Anda.

3. Dalam Microsoft Sentinel, buka halaman Log dan verifikasi bahwa Anda melihat log dari sumber data yang mengalir masuk ke ruang kerja Anda.

Jika Anda tidak melihat data mengalir masuk ke Microsoft Sentinel, maka periksalah dokumentasi sumber data dan sumber daya pemecahan masalah, periksa detail konfigurasi, dan periksa konektivitas. Untuk info selengkapnya, lihat Memantau kesehatan konektor data Anda.

Memutuskan sambungan konektor Anda

Jika Anda tidak lagi memerlukan data konektor, putuskan sambungan konektor untuk menghentikan aliran data.

Pilih salah satu metode berikut:

• Portal Azure: Pada halaman konektor data Microsoft Sentinel Anda, pilih Putuskan Sambungan.

• API: Gunakan API PUTUSKAN SAMBUNGAN untuk mengirim panggilan PUT tanpa isi ke URL berikut:

  https://management.azure.com /subscriptions/{{SUB}}/resourceGroups/{{RG}}/providers/Microsoft.OperationalInsights/workspaces/{{WS-NAME}}/providers/Microsoft.SecurityInsights/dataConnectors/{{Connector_Id}}/disconnect?api-version=2021-03-01-preview
  

Langkah berikutnya

Jika Anda belum melakukannya, bagikan konektor data baru tanpa kode dengan komunitas Microsoft Sentinel! Buat solusi untuk konektor data Anda dan bagikan dalam Marketplace Microsoft Sentinel.

Untuk informasi selengkapnya, lihat

• Tentang solusi Microsoft Azure Sentinel
• Referensi templat ARM konektor data