[Не рекомендуется] Создание устаревшего соединителя без кода для Microsoft Sentinel

Обратитесь к этому документу, если необходимо поддерживать или обновлять соединитель данных на основе этой старой устаревшей версии CCP.

CCP предоставляет партнерам, продвинутым пользователям и разработчикам возможность создавать пользовательские соединители, подключать их и загружать данные в Microsoft Sentinel. Соединители, созданные с помощью CCP, можно развертывать с помощью API, шаблона ARM или в качестве решения в центре содержимого Microsoft Sentinel .

Соединители, созданные с помощью CCP, полностью относятся к SaaS без каких-либо требований к установке служб, а также включают мониторинг работоспособности и полную поддержку от Microsoft Sentinel.

Создайте соединитель данных, определив конфигурации JSON с параметрами, которые задают внешний вид страницы соединителя данных в Microsoft Sentinel, а также с параметрами опроса, определяющими, как функционирует подключение.

Выполните следующие действия, чтобы создать соединитель CCP и подключиться к источнику данных из Microsoft Sentinel:

В этой статье описывается синтаксис, используемый в конфигурациях и процедурах CCP JSON для развертывания соединителя с помощью API, шаблона ARM или решения Microsoft Sentinel.

Предпосылки

Прежде чем создавать соединитель, рекомендуется понять, как работает источник данных и как именно требуется подключиться к Microsoft Sentinel.

Например, необходимо знать типы проверки подлинности, разбиения на страницы и конечные точки API, необходимые для успешных подключений.

Создание файла конфигурации соединителя JSON

Настраиваемый соединитель CCP содержит два основных раздела JSON, необходимых для развертывания. Заполните эти области, чтобы определить, как соединитель отображается на портале Azure и как он подключает Microsoft Sentinel к источнику данных.

• connectorUiConfig. Определяет визуальные элементы и текст, отображаемые на странице соединителя данных в Microsoft Sentinel. Дополнительные сведения см. в разделе Настройка пользовательского интерфейса соединителя.

• pollingConfig. Определяет, как Microsoft Sentinel собирает данные из источника данных. Дополнительные сведения см. в разделе Настройка параметров опроса соединителя.

Затем, если вы развернете соединитель без кода с помощью ARM, вы заключите эти разделы в шаблон ARM для соединителей данных.

Просмотрите другие соединители данных CCP в качестве примеров или скачайте пример шаблона DataConnector_API_CCP_template.json (предварительная версия).

Настройка пользовательского интерфейса соединителя

В этом разделе описываются параметры конфигурации, доступные для настройки пользовательского интерфейса страницы соединителя данных.

На следующем рисунке показана страница соединителя данных, выделенная цифрами, которые соответствуют заметным областям пользовательского интерфейса:

1. Заголовок. Заголовок, отображаемый у вашего соединителя данных.
2. логотип. Значок, отображаемый для вашего соединителя данных. Настройка этого возможна только при развертывании в рамках решения.
3. Состояние. Указывает, подключен ли соединитель данных к Microsoft Sentinel.
4. диаграммы данных. Отображает соответствующие запросы и объем приема данных за последние две недели.
5. вкладка "Инструкции". Включает раздел необходимых компонентов со списком минимальных проверок, прежде чем пользователь сможет включить соединитель, а также инструкции, чтобы управлять включением соединителя пользователем. Этот раздел может включать текст, кнопки, формы, таблицы и другие распространенные мини-приложения для упрощения процесса.
6. вкладка "Дальнейшие шаги". Содержит полезные сведения о том, как найти данные в журналах событий, таких как примеры запросов.

Ниже приведены разделы connectorUiConfig и синтаксис, необходимые для настройки пользовательского интерфейса:

Объединение всех этих частей сложно. Используйте средство проверки пользовательского опыта страницы соединителя для тестирования компонентов, которые вы собрали.

типы данных

graphQueries

Определяет запрос, который отображает прием данных за последние две недели на панели диаграмм данных.

Укажите один запрос для всех типов данных соединителя данных или другой запрос для каждого типа данных.

шаги инструкций

В этом разделе приведены параметры, определяющие набор инструкций, отображаемых на странице соединителя данных в Microsoft Sentinel.

инструкции

Отображает группу инструкций с различными параметрами и возможностью вложения дополнительных инструкций в группы.

APIKey

Вы можете создать шаблон файла конфигурации JSON с параметрами-заполнителями, чтобы повторно использовать его в нескольких соединителях или даже для создания соединителя с данными, которых у вас пока нет.

Чтобы создать параметры заполнителя, определите дополнительный массив с именем userRequestPlaceHoldersInput в разделе Инструкции вашего файла конфигурации CCP JSON, используя следующий синтаксис:

"instructions": [
                {
                  "parameters": {
                    "enable": "true",
                    "userRequestPlaceHoldersInput": [
                      {
                        "displayText": "Organization Name",
                        "requestObjectKey": "apiEndpoint",
                        "placeHolderName": "{{placeHolder}}"
                      }
                    ]
                  },
                  "type": "APIKey"
                }
              ]

Параметр userRequestPlaceHoldersInput включает следующие атрибуты:

Копируемая метка

Пример:

Пример кода:

{
    "parameters": {
        "fillWith": [
            "WorkspaceId",
            "PrimaryKey"
            ],
        "label": "Here are some values you'll need to proceed.",
        "value": "Workspace is {0} and PrimaryKey is {1}"
    },
    "type": "CopyableLabel"
}

InfoMessage

Ниже приведен пример встроенного информационного сообщения:

Напротив, на следующем рисунке показано не-встроенное информационное сообщение:

ГруппаЭтаповИнструкции

Ниже приведен пример расширенной группы инструкций:

Подробный пример см. в JSON конфигурации для соединителя DNS для Windows.

Агент установки

Некоторые типы InstallAgent отображаются как кнопка, другие будут отображаться как ссылка. Ниже приведены примеры обоих:

метаданные

В этом разделе содержатся метаданные в пользовательском интерфейсе коннектора данных в области описания.

Разрешения

поставщик ресурсов

примерЗапросов

Настройка других параметров ссылки

Чтобы определить встроенную ссылку с помощью markdown, используйте следующий пример. Здесь ссылка представлена в описании инструкции:

{
   "title": "",
   "description": "Make sure to configure the machine's security according to your organization's security policy\n\n\n[Learn more >](https://aka.ms/SecureCEF)"
}

Чтобы определить ссылку как шаблон ARM, используйте следующий пример в качестве руководства:

{
   "title": "Azure Resource Manager (ARM) template",
   "description": "1. Click the **Deploy to Azure** button below.\n\n\t[![Deploy To Azure](https://aka.ms/deploytoazurebutton)]({URL to custom ARM template})"
}

Проверьте пользовательский интерфейс страницы соединителя данных

Выполните следующие действия, чтобы отобразить и проверить взаимодействие пользователя с соединителем.

1. С помощью этого URL-адреса можно получить доступ к тестовой программе . https://aka.ms/sentineldataconnectorvalidateurl
2. Перейдите в Microsoft Sentinel — соединители данных>
3. Нажмите кнопку "Импорт" и выберите json-файл, содержащий только раздел connectorUiConfig соединителя данных.

Дополнительные сведения об этом средстве проверки можно найти в инструкциях по сборке соединителя в нашем руководстве по сборке на GitHub.

Настройте параметры опроса вашего соединителя

В этом разделе описывается конфигурация сбора данных из источника данных для бескодового разъема данных.

В следующем коде показан синтаксис раздела pollingConfig файла конфигурации CCP.

"pollingConfig": {
    "auth": {
    },
    "request": {
    },
    "response": {
    },
    "paging": {
    }
 }

В разделе pollingConfig содержатся следующие свойства:

Дополнительные сведения см. в примере кода для pollingConfig.

Конфигурация аутентификации

Раздел auth конфигурации pollingConfig включает следующие параметры в зависимости от типа, определенного в элементе authType:

Базовые параметры authType

Параметры APIKey для authType

Параметры authType OAuth2

Платформа соединителя без кода поддерживает предоставление кода авторизации OAuth 2.0.

Тип гранта для кода авторизации используется конфиденциальными и общедоступными клиентами для обмена кодом авторизации на токен доступа.

После того как пользователь вернется к клиенту через URL-адрес перенаправления, приложение получит код авторизации из URL-адреса и будет использовать его для запроса токена доступа.

Ниже приведен пример того, как может выглядеть конфигурация OAuth2:

"pollingConfig": {
    "auth": {
        "authType": "OAuth2",
        "authorizationEndpoint": "https://accounts.google.com/o/oauth2/v2/auth?access_type=offline&prompt=consent",
        "redirectionEndpoint": "https://portal.azure.com/TokenAuthorize",
        "tokenEndpoint": "https://oauth2.googleapis.com/token",
        "authorizationEndpointQueryParameters": {},
        "tokenEndpointHeaders": {
            "Accept": "application/json"
        },
        "TokenEndpointQueryParameters": {},
        "isClientSecretInHeader": false,
        "scope": "https://www.googleapis.com/auth/admin.reports.audit.readonly",
        "grantType": "authorization_code",
        "contentType": "application/x-www-form-urlencoded",
        "FlowName": "AuthCode"
    },

Параметры типа аутентификации сеанса

Конфигурация запроса

Раздел request конфигурации pollingConfig включает следующие параметры:

Настройка ответа

Раздел response конфигурации pollingConfig включает следующие параметры:

В следующем коде показан пример значения eventsJsonPaths для сообщения верхнего уровня:

"eventsJsonPaths": [
              "$"
            ]

Конфигурация paging

Раздел paging конфигурации pollingConfig включает следующие параметры:

Пример кода pollingConfig

В следующем коде показан пример раздела pollingConfig файла конфигурации CCP:

"pollingConfig": {
    "auth": {
        "authType": "APIKey",
        "APIKeyIdentifier": "token",
        "APIKeyName": "Authorization"
     },
     "request": {
        "apiEndpoint": "https://api.github.com/../{{placeHolder1}}/audit-log",
        "rateLimitQPS": 50,
        "queryWindowInMin": 15,
        "httpMethod": "Get",
        "queryTimeFormat": "yyyy-MM-ddTHH:mm:ssZ",
        "retryCount": 2,
        "timeoutInSeconds": 60,
        "headers": {
           "Accept": "application/json",
           "User-Agent": "Scuba"
        },
        "queryParameters": {
           "phrase": "created:{_QueryWindowStartTime}..{_QueryWindowEndTime}"
        }
     },
     "paging": {
        "pagingType": "LinkHeader",
        "pageSizeParaName": "per_page"
     },
     "response": {
        "eventsJsonPaths": [
          "$"
        ]
     }
}

Разверните ваш соединитель в Microsoft Sentinel и начните прием данных

После создания файла конфигурацииJSON, включая пользовательский интерфейс и конфигурацию опроса, разверните соединитель в рабочей области Microsoft Sentinel.

1. Используйте один из следующих вариантов для развертывания соединителя данных.

   Подсказка

   Преимущество развертывания с помощью шаблона Azure Resource Manager (ARM) заключается в том, что несколько значений встроенны в шаблон, и их не нужно определять вручную в вызове API.

   • Развертывание с помощью шаблона ARM
   • Развертывание с помощью API

   Заключите ваши коллекции конфигурации JSON в ARM шаблон для развертывания соединителя. Чтобы убедиться, что соединитель данных развертывается в правильной рабочей области, обязательно определите рабочую область в шаблоне ARM или выберите рабочую область при развертывании шаблона ARM.

   1. Подготовьте файл JSON шаблона ARM для соединителя. Например, ознакомьтесь со следующими JSON-файлами шаблона ARM:

      • Соединитель данных в решении Slack
      • Соединитель данных в решении GitHub

   2. На портале Azure найдите Развернуть настраиваемый шаблон.

   3. На странице пользовательского развертывания выберите в редакторе Создать собственный шаблон>Загрузить файл. Перейдите к локальному шаблону ARM и сохраните изменения.

   4. Выберите подписку и группу ресурсов, а затем введите рабочую область Log Analytics, в которой необходимо развернуть настраиваемый соединитель.

   5. Выберите Проверить и создать, чтобы развернуть настраиваемый соединитель в Microsoft Sentinel.

   6. В Microsoft Sentinel перейдите на страницу коннекторов данных , найдите ваш новый коннектор. Настройте его для начала приема данных.

   Дополнительные сведения см. в статье Развертывание локального шаблона в документации по Azure Resource Manager.

2. Настройте соединитель данных для подключения источника данных и начала приема данных в Microsoft Sentinel. Вы можете подключиться к источнику данных через портал, как с помощью встроенных соединителей данных или ЧЕРЕЗ API.

   При использовании портала Azure для подключения данные пользователей отправляются автоматически. При подключении через API необходимо отправить соответствующие параметры проверки подлинности в вызове API.

   • Подключение через портал Azure
   • Подключение через API

   На странице соединителя данных Microsoft Sentinel следуйте инструкциям, предоставленным для подключения к соединителю данных.

   Страница соединителя данных в Microsoft Sentinel управляется конфигурацией InstructionSteps в элементе connectorUiConfig файла конфигурации JSON CCP. Если у вас возникли проблемы с подключением пользовательского интерфейса, убедитесь, что у вас есть правильная конфигурация для типа проверки подлинности.

3. В Microsoft Sentinel перейдите на страницу лог-файлы и убедитесь, что данные из вашего источника корректно поступают в рабочую область.

Если данные не передаются в Microsoft Sentinel, проверьте документацию по источнику данных и ресурсы по устранению неполадок, проверьте сведения о конфигурации и проверьте подключение. Дополнительные сведения см. в статье Мониторинг работоспособности соединителей данных.

Отключение соединителя

Если данные соединителя больше не нужны, отключите соединитель, чтобы остановить поток данных.

Используйте один из следующих методов:

• портале Azure: На странице соединителя данных Microsoft Sentinel выберите Отключить.

• API: используйте API DISCONNECT для отправки запроса PUT с пустым телом на следующий URL-адрес:

  https://management.azure.com /subscriptions/{{SUB}}/resourceGroups/{{RG}}/providers/Microsoft.OperationalInsights/workspaces/{{WS-NAME}}/providers/Microsoft.SecurityInsights/dataConnectors/{{Connector_Id}}/disconnect?api-version=2021-03-01-preview
  

Дальнейшие действия

Если вы еще не сделали этого, поделитесь новым соединителем без кода с сообществом Microsoft Sentinel! Создайте решение для соединителя данных и поделитесь им в Microsoft Sentinel Marketplace.

См. раздел для получения дополнительной информации.

• О решениях Microsoft Sentinel
• Справочник по ARM-шаблону соединителя данных