Ondersteund door:1Wachtwoord

Met de 1Password CCF-connector kan de gebruiker gebeurtenissen 1Password Audit, Signin & ItemUsage opnemen in Microsoft Sentinel.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• 1Wachtwoord-API-token: er is een 1Wachtwoord-API-token vereist. Zie de 1Password-documentatie over het maken van een API-token.

Installatie-instructies:

STAP 1: een 1Password-API-token maken:

Volg de 1Password-documentatie voor hulp bij deze stap.

STAP 2: kies de juiste basis-URL:

Er zijn meerdere 1Password-servers die uw gebeurtenissen kunnen hosten. De juiste server is afhankelijk van uw licentie en regio. Volg de documentatie van 1Password om de juiste server te kiezen. Voer de basis-URL in zoals weergegeven in de documentatie (inclusief 'https://' en zonder '/').

STAP 3- Voer uw 1Wachtwoorddetails in:

Voer hieronder de 1Password-basis-URL & API-token in:

• Basis-URL: (Voer uw basis-URL in)
• API-token: (Voer uw API-token in)
• Verbinding in-/uitschakelen

Ondersteund door:1Wachtwoord

Met de 1Password-oplossing voor Microsoft Sentinel kunt u aanmeldingspogingen, itemgebruik en controlegebeurtenissen van uw 1Password Business-account opnemen met behulp van de 1Password Events Reporting-API. Hiermee kunt u gebeurtenissen in 1Password in Microsoft Sentinel bewaken en onderzoeken, samen met de andere toepassingen en services die uw organisatie gebruikt.

Gebruikte onderliggende Microsoft-technologieën:

Deze oplossing is afhankelijk van de volgende technologieën, waarvan sommige mogelijk de preview-status hebben of extra opname- of operationele kosten met zich meebrengen:

• Azure Functions

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• 1 Api-token voor wachtwoord-gebeurtenissen: er is een API-token voor 1Wachtwoord-gebeurtenissen vereist. Zie de 1Password-API voor meer informatie.

Opmerking: Een 1Password Business-account is vereist

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met 1Password om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname van Azure. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

STAP 1: configuratiestappen voor de 1Password Events Reporting API

Volg deze instructies van 1Password om een Event Reporting API-token te verkrijgen. Opmerking: Een 1Password Business-account is vereist

STAP 2: De functieApp implementeren met de knop DeployToAzure om de tabel, dcr en de bijbehorende Azure-functie te maken

BELANGRIJK: Voordat u de 1Password-connector implementeert, moet er een aangepaste tabel worden gemaakt.

Optie 1: arm-sjabloon (Azure Resource Manager)

Deze methode biedt een geautomatiseerde implementatie van de 1Password-connector met behulp van een ARM Tempate.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

3. Voer de werkruimtenaam, werkruimtenaam, 1WACHTWOORD-API-sleutel en URI in.

• Het standaardtijdsinterval is ingesteld op vijf (5) minuten. Als u het interval wilt wijzigen, kunt u de timertrigger voor de functie-app dienovereenkomstig aanpassen (in het function.json-bestand na de implementatie) om overlappende gegevensopname te voorkomen.
• Opmerking: als u Azure Key Vault geheimen gebruikt voor een van de bovenstaande waarden, gebruikt u het@Microsoft.KeyVault(SecretUri={Security Identifier})schema in plaats van de tekenreekswaarden. Raadpleeg Key Vault referentiedocumentatie voor meer informatie.

4. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.
5. Klik op Aanschaffen om te implementeren.

Ondersteund door:Abnormale beveiliging

De connector voor abnormale beveiligingsgegevens biedt de mogelijkheid om bedreigings- en caselogboeken op te nemen in Microsoft Sentinel met behulp van de Abnormal Security Rest API.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• Abnormale beveiligings-API token: een abnormaal beveiligings-API token is vereist. Zie Abnormale beveiligings-API voor meer informatie. Opmerking: Een abnormaal beveiligingsaccount is vereist

Installatie-instructies:

OPMERKING: Deze connector maakt gebruik van Azure Functions om verbinding te maken met de REST API van Abnormal Security om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

STAP 1: configuratiestappen voor de abnormale beveiligings-API

Volg deze instructies van Abnormal Security om de REST API-integratie te configureren. Opmerking: Een abnormaal beveiligingsaccount is vereist

STAP 2: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de connector voor abnormale beveiligingsgegevens implementeert, hebt u de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit het volgende), evenals het abnormale beveiligings-API autorisatietoken, direct beschikbaar.

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Deze methode biedt een geautomatiseerde implementatie van de connector abnormale beveiliging met behulp van een ARM-sjabloon.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

3. Voer de Microsoft Sentinel Werkruimte-id, Microsoft Sentinel Gedeelde sleutel en Abnormal Security REST API-sleutel in.

• Het standaardtijdsinterval is ingesteld op het ophalen van de laatste vijf (5) minuten aan gegevens. Als het tijdsinterval moet worden gewijzigd, is het raadzaam om de timertrigger van de functie-app dienovereenkomstig te wijzigen (in het function.json-bestand, na de implementatie) om overlappende gegevensopname te voorkomen.

4. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.
5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de abnormale beveiligingsgegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld AbnormalSecurityXX).

   e. Selecteer een runtime: Kies Python 3.8.

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie + Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende tekenreekswaarden (hoofdlettergevoelig): SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (optioneel) (voeg andere instellingen toe die zijn vereist voor de functie-app) Stel de uri waarde in op: <add uri value>

Opmerking: als u Azure Key Vault geheimen gebruikt voor een van de bovenstaande waarden, gebruikt u het@Microsoft.KeyVault(SecretUri={Security Identifier})schema in plaats van de tekenreekswaarden. Raadpleeg de documentatie over Azure Key Vault verwijzingen voor meer informatie.

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde in de volgende indeling op:https://<CustomerId>.ods.opinsights.azure.us.

4. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Microsoft Corporation

Agent 365 gegevensconnector biedt uitgebreidere inzichten in de activiteit van AI-agents door telemetrie van AI-agent uit Agent 365, AI Foundry en Copilot in de Microsoft Sentinel Data Lake te brengen om het gedrag van agents, het gebruik van hulpprogramma's en uitvoering te onderzoeken met opsporings-, grafiek- en MCP-werkstromen. Gegevens van deze connector worden gebruikt om het gedrag van de AI-agent, het gebruik van hulpprogramma's en de uitvoering in Microsoft Sentinel te onderzoeken. Als u deze werkstromen hebt ingeschakeld, voorkomt u dat deze onderzoeken worden uitgevoerd als u deze connector deactiveert.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Installatie-instructies:

Ondersteund door:AIShield

Met DE AIShield-connector kunnen gebruikers verbinding maken met aangepaste aiShield-mechanismelogboeken met Microsoft Sentinel, waardoor dynamische dashboards, werkmappen, notebooks en op maat gemaakte waarschuwingen kunnen worden gemaakt om onderzoek te verbeteren en aanvallen op AI-systemen te verhinderen. Het biedt gebruikers meer inzicht in de beveiliging van AI-assets van hun organisatie en verbetert de beveiligingsmogelijkheden van hun AI-systemen. AIShield.GuArdIan analyseert de door LLM gegenereerde inhoud om schadelijke inhoud te identificeren en te beperken, en beschermt tegen juridische, beleids-, rol- en gebruiksgebaseerde schendingen

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Opmerking: gebruikers moeten AIShield SaaS-aanbieding hebben gebruikt om beveiligingsproblemen te analyseren en aangepaste verdedigingsmechanismen te implementeren die samen met hun AI-asset worden gegenereerd. Klik hier voor meer informatie of neem contact op.

Installatie-instructies:

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie om te werken zoals verwacht AIShield dat wordt geïmplementeerd met de Microsoft Sentinel Solution.

BELANGRIJK: Voordat u de AIShield-connector implementeert, moet u beschikken over de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit het volgende).

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Ondersteund door:Microsoft Corporation

De Alibaba Cloud ActionTrail-gegevensconnector biedt de mogelijkheid om actiontrail-gebeurtenissen op te halen die zijn opgeslagen in Alibaba Cloud Simple Log Service en deze op te slaan in Microsoft Sentinel via de SLS REST API. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• SLS REST API-referenties/-machtigingen: AliCloudAccessKeyId en AliCloudAccessKeySecret zijn vereist voor het maken van API-aanroepen. RAM-beleidsverklaring met actie van ten minste log:GetLogStoreLogs over resource acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} is nodig om een RAM-gebruiker de machtigingen te verlenen om deze bewerking aan te roepen.

Installatie-instructies:

Toegang tot AliCloud SLS API configureren

Voordat u de API gebruikt, moet u uw identiteitsaccount en toegangssleutelpaar voorbereiden om effectief toegang te krijgen tot de API.

1. U wordt aangeraden een RAM-gebruiker (Resource Access Management) te gebruiken om API-bewerkingen aan te roepen. Zie Een RAM-gebruiker maken en de RAM-gebruiker toegang verlenen tot Simple Log Service voor meer informatie.
2. Haal het toegangssleutelpaar op voor de RAM-gebruiker. Zie Toegangssleutelpaar ophalen voor meer informatie.

Noteer de details van het toegangssleutelpaar voor de volgende stap.

ActionTrail-logboekopslag toevoegen

Als u de Alibaba Cloud ActionTrail-connector voor Microsoft Sentinel wilt inschakelen, klikt u op actionTrail-logboekopslag toevoegen, vult u het formulier in met de configuratie van de Alibaba Cloud-omgeving en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

De Alibaba Cloud Networking-gegevensconnector biedt de mogelijkheid om Alibaba Cloud-netwerkgegevens op te nemen in Microsoft Sentinel via de REST API van Simple Log Service (SLS). Raadpleeg de API-documentatie voor meer informatie. De connector biedt de mogelijkheid om VPC-stroomlogboeken, WAF-logboeken en API Gateway-logboeken op te halen uit Alibaba Cloud.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Alibaba Cloud SLS API-toegang: Alibaba Cloud Simple Log Service-toegang is vereist voor de SLS-API.

Installatie-instructies:

Toegang tot AliCloud SLS API configureren

Voordat u de API gebruikt, moet u uw identiteitsaccount en toegangssleutelpaar voorbereiden om effectief toegang te krijgen tot de API.

1. U wordt aangeraden een RAM-gebruiker (Resource Access Management) te gebruiken om API-bewerkingen aan te roepen. Zie Een RAM-gebruiker maken en de RAM-gebruiker toegang verlenen tot Simple Log Service voor meer informatie.
2. Haal het toegangssleutelpaar op voor de RAM-gebruiker. Zie Toegangssleutelpaar ophalen voor meer informatie.

Noteer de details van het toegangssleutelpaar voor de volgende stap.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

De AliCloud-gegevensconnector biedt de mogelijkheid om logboeken van cloudtoepassingen op te halen met behulp van de Cloud-API en gebeurtenissen op te slaan in Microsoft Sentinel via de REST API. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• REST API-referenties/-machtigingen: AliCloudAccessKeyId en AliCloudAccessKey zijn vereist voor het maken van API-aanroepen.

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met de Azure Blob Storage API om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname en voor het opslaan van gegevens in Azure Blob Storage kosten. Raadpleeg de pagina Azure Functions prijzen en Azure Blob Storage pagina met prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie die werkt zoals verwacht AliCloud die is geïmplementeerd met de Microsoft Sentinel Solution.

STAP 1: configuratiestappen voor de AliCloud-API

Volg de instructies om de referenties te verkrijgen.

1. Haal de AliCloudAccessKeyId en AliCloudAccessKey op: meld u aan bij het account, klik op AccessKey Management en klik vervolgens op Geheim weergeven.
2. Sla referenties op voor gebruik in de gegevensconnector.

STAP 2: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de AliCloud-gegevensconnector implementeert, moet u beschikken over de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit het volgende).

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor automatische implementatie van de AliCloud-gegevensconnector met behulp van een ARM-sjabloon.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

OPMERKING: Binnen dezelfde resourcegroep kunt u Windows en Linux apps in dezelfde regio niet combineren. Selecteer een bestaande resourcegroep zonder Windows-apps of maak een nieuwe resourcegroep. 3. Voer de WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects en AppInsightsWorkspaceResourceID in en implementeer. 4. Schakel het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden aan. 5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de AliCloud-gegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld AliCloudXXXXX).

   e. Selecteer een runtime: Kies Python 3.11.

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende tekenreekswaarden (hoofdlettergevoelig): WorkspaceID WorkspaceKey AliCloudAccessId AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

4. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Microsoft Corporation

Instructies voor het maken van verbinding met AWS en het streamen van uw CloudTrail-logboeken naar Microsoft Sentinel worden weergegeven tijdens het installatieproces. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Ondersteund door:Microsoft Corporation

Deze gegevensconnector maakt de integratie van AWS CloudFront-logboeken met Microsoft Sentinel mogelijk ter ondersteuning van geavanceerde detectie van bedreigingen, onderzoek en beveiligingsbewaking. Door Amazon S3 te gebruiken voor logboekopslag en Amazon SQS voor het in de wachtrij plaatsen van berichten, neemt de connector cloudfront-toegangslogboeken betrouwbaar op in Microsoft Sentinel

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

AWS CloudFront-logboeken opnemen in Microsoft Sentinel

Lijst met resources vereist:

• OIDC-web-id-provider (Open ID Connect)
• IAM-rol
• Amazon S3-bucket
• Amazon SQS
• AWS CloudFront-configuratie

1. AWS CloudFormation-implementatie Om toegang op AWS te configureren, zijn er twee sjablonen gegenereerd om de AWS-omgeving in te stellen voor het verzenden van logboeken van een S3-bucket naar uw Log Analytics-werkruimte.

Maak voor elke sjabloon Stack in AWS:

1. Ga naar AWS CloudFormation Stacks.
2. Kies de optie 'Sjabloon opgeven' en vervolgens 'Een sjabloonbestand uploaden' door op Bestand kiezen te klikken en het juiste CloudFormation-sjabloonbestand te selecteren dat hieronder wordt weergegeven. klik op Bestand kiezen en selecteer de gedownloade sjabloon.
3. Klik op 'Volgende' en 'Stack maken'.

• Sjabloon 1: Implementatie van OpenID Connect-verificatie: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: implementatie van AWSCloudFront-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden Als u AWS S3 wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste gegevens in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Met de ELB-connector (Elastic Load Balancing) van AWS voor Microsoft Sentinel kunt u toegangslogboeken en stroomlogboeken van AWS Application Load Balancers (ALB), Network Load Balancers (NLB) en Gateway Load Balancers (GLB) opnemen in Microsoft Sentinel. Deze logboeken bieden gedetailleerde informatie over aanvragen die worden verwerkt door uw load balancers en VPC-verkeersstromen, waardoor beveiligingsbewaking, detectie van bedreigingen en verkeersanalyse mogelijk zijn.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• AWS IAM-rol ARN- en SQS-wachtrij: een AWS IAM-rol-ARN met toegang voor meerdere accounts en een SQS-wachtrij-URL die is geconfigureerd voor S3-gebeurtenismeldingen zijn vereist. Zie de documentatie voor DE AWS ELB-connector voor installatie-instructies.

Installatie-instructies:

1. AWS CloudFormation-implementatie Als u toegang op AWS wilt configureren, gebruikt u CloudFormation-sjablonen om de omgeving in te stellen voor het verzenden van logboeken van ALB, NLB en GLB naar uw Log Analytics-werkruimte.

Implementatiestappen:

1. Ga naar cloudformatiesjablonen en download de JSON-sjabloonbestanden.
2. Ga naar AWS CloudFormation Stacks.
3. Implementeer eerst de sjabloon OIDCWebIdProvider.json (sla over als u al een OIDC-provider voor Microsoft Sentinel hebt).
4. Implementeer vervolgens de sjabloon AWSS3ELB.json met uw parameters.
5. Noteer de volgende waarden uit de stack-uitvoer:
   • IAMRoleArn
   • ALBSQSQueueURL
   • NLBSQSQueueURL
   • NLBFlowLogsSQSQueueURL
   • GLBFlowLogsSQSQueueURL

Configuratie na implementatie:

Zodra de CloudFormation-stack is geïmplementeerd:

• Ga naar het tabblad Resources in de stack.
• Zoek de naam van de gemaakte S3-bucket.
• Maak in de S3-bucket handmatig de volgende mappen:
  • ALBLogs
  • NLBAccessLogs
  • NLBFlowLogs
  • GLBFlowLogs

Logboeken verzenden:

Nadat de map is gemaakt, configureert u uw AWS-services om logboeken naar de juiste mappen te verzenden:

• ALB-toegangslogboeken ->ALBLogs/
• NLB-toegangslogboeken ->NLBAccessLogs/
• NLB-stroomlogboeken ->NLBFlowLogs/
• GLB-stroomlogboeken ->GLBFlowLogs/

Deze logboeken worden opgenomen in de bijbehorende tabellen in uw Log Analytics-werkruimte.

Tabeltoewijzing:

• ALB-toegangslogboeken ->AWSALBAccessLogsData
• NLB-toegangslogboeken ->AWSNLBAccessLogsData
• NLB- en GLB-stroomlogboeken ->AWSELBFlowLogsData

Opmerking: In de AWSELBFlowLogsData tabel geeft een kolom met de naam LogType aan of een rij afkomstig is uit NLB-stroomlogboeken of GLB-stroomlogboeken.

2. Nieuwe verzamelaars verbinden Als u de connector wilt inschakelen, klikt u op Nieuwe collector toevoegen, voert u de vereiste gegevens in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Met deze gegevensconnector kunt u AWS Network Firewall-logboeken opnemen in Microsoft Sentinel voor geavanceerde detectie van bedreigingen en beveiligingsbewaking. Door gebruik te maken van Amazon S3 en Amazon SQS stuurt de connector netwerkverkeerslogboeken, waarschuwingen voor inbraakdetectie en firewallgebeurtenissen door naar Microsoft Sentinel, waardoor realtime-analyse en correlatie met andere beveiligingsgegevens mogelijk is

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

AWS NetworkFirewall-logboeken opnemen in Microsoft Sentinel

Lijst met resources vereist:

• OIDC-web-id-provider (Open ID Connect)
• IAM-rol
• Amazon S3-bucket
• Amazon SQS
• AWSNetworkFirewall-configuratie
• Volg deze instructies voor de configuratie van aws NetworkFirewall-gegevensconnector

1. AWS CloudFormation-implementatie Om toegang op AWS te configureren, zijn er twee sjablonen gegenereerd om de AWS-omgeving in te stellen voor het verzenden van logboeken van een S3-bucket naar uw Log Analytics-werkruimte.

Maak voor elke sjabloon Stack in AWS:

1. Ga naar AWS CloudFormation Stacks.
2. Kies de optie 'Sjabloon opgeven' en vervolgens 'Een sjabloonbestand uploaden' door op Bestand kiezen te klikken en het juiste CloudFormation-sjabloonbestand te selecteren dat hieronder wordt weergegeven. klik op Bestand kiezen en selecteer de gedownloade sjabloon.
3. Klik op 'Volgende' en 'Stack maken'.

• Sjabloon 1: Implementatie van OpenID Connect-verificatie: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: implementatie van AWSNetworkFirewall-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden Als u AWS S3 wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste gegevens in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Met deze connector kunt u AWS-servicelogboeken, verzameld in AWS S3-buckets, opnemen om te Microsoft Sentinel. De momenteel ondersteunde gegevenstypen zijn:

• AWS CloudTrail
• VPC-stroomlogboeken
• AWS GuardDuty
• AWSCloudWatch

Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Omgeving: U moet de volgende AWS-resources hebben gedefinieerd en geconfigureerd: S3, Simple Queue Service (SQS), IAM-rollen en machtigingenbeleid en de AWS-services waarvan u de logboeken wilt verzamelen.

Installatie-instructies:

1. Uw AWS-omgeving instellen

Er zijn twee opties voor het instellen van uw AWS-omgeving om logboeken van een S3-bucket naar uw Log Analytics-werkruimte te verzenden:

Instellen met PowerShell-script (aanbevolen)

• Script uitvoeren om de omgeving in te stellen: <variabele waarde opgegeven tijdens de installatie>
• Externe id (werkruimte-id):< variabele waarde opgegeven tijdens de installatie>

Handmatige installatie

Volg de instructies in de volgende koppeling om de omgeving in te stellen: Verbinding maken met AWS S3 met Microsoft Sentinel

2. Verbinding toevoegen

Ondersteund door:Microsoft Corporation

Deze connector maakt opname van AWS Route 53 DNS-logboeken in Microsoft Sentinel mogelijk voor verbeterde zichtbaarheid en detectie van bedreigingen. Het ondersteunt querylogboeken van DNS Resolver die rechtstreeks vanuit AWS S3-buckets worden opgenomen, terwijl openbare DNS-querylogboeken en Route 53-auditlogboeken kunnen worden opgenomen met behulp van de AWS CloudWatch- en CloudTrail-connectors van Microsoft Sentinel. Er worden uitgebreide instructies gegeven om u te begeleiden bij het instellen van elk logboektype. Gebruik deze connector om DNS-activiteit te bewaken, potentiële bedreigingen te detecteren en uw beveiligingspostuur in cloudomgevingen te verbeteren.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

AWS Route53

Deze connector maakt opname van AWS Route 53 DNS-logboeken in Microsoft Sentinel mogelijk, waardoor meer inzicht in DNS-activiteit wordt geboden en de mogelijkheden voor detectie van bedreigingen worden versterkt. Het ondersteunt directe opname van querylogboeken van DNS Resolver van AWS S3-buckets, terwijl openbare DNS-querylogboeken en Route 53-auditlogboeken kunnen worden opgenomen via de AWS CloudWatch- en CloudTrail-connectors van Microsoft Sentinel. Voor elk logboektype worden gedetailleerde installatie-instructies gegeven. Gebruik deze connector om DNS-verkeer te bewaken, mogelijke bedreigingen te identificeren en uw cloudbeveiligingspostuur te verbeteren.

U kunt het volgende type logboeken opnemen van AWS Route 53 naar Microsoft Sentinel:

1. Querylogboeken route 53 Resolver
2. Querylogboeken voor openbare gehoste zones route 53 (via Microsoft Sentinel CloudWatch-connector)
3. Auditlogboeken route 53 (via Microsoft Sentinel CloudTrail-connector)

Logboeken van Route53 Resolver-query's opnemen in Microsoft Sentinel

Lijst met resources vereist:

• OIDC-web-id-provider (Open ID Connect)
• IAM-rol
• Amazon S3-bucket
• Amazon SQS
• Configuratie voor logboekregistratie van Route 53 Resolver-query's
• VPC om te koppelen aan configuratie van route53-resolver-querylogboek

1. AWS CloudFormation-implementatie Om toegang op AWS te configureren, zijn er twee sjablonen gegenereerd om de AWS-omgeving in te stellen voor het verzenden van logboeken van een S3-bucket naar uw Log Analytics-werkruimte.

Maak voor elke sjabloon Stack in AWS:

1. Ga naar AWS CloudFormation Stacks.
2. Kies de optie 'Sjabloon opgeven' en vervolgens 'Een sjabloonbestand uploaden' door op Bestand kiezen te klikken en het juiste CloudFormation-sjabloonbestand te selecteren dat hieronder wordt weergegeven. klik op Bestand kiezen en selecteer de gedownloade sjabloon.
3. Klik op 'Volgende' en 'Stack maken'.

• Sjabloon 1: Implementatie van OpenID Connect-verificatie: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: implementatie van AWS Route53-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden Als u Amazon Web Services S3 DNS Route53 wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste informatie in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Querylogboeken voor openbare gehoste zones van Route 53 opnemen (via Microsoft Sentinel CloudWatch-connector)

Querylogboeken voor openbare gehoste zones worden geëxporteerd naar de CloudWatch-service in AWS. We kunnen de 'Amazon Web Services S3'-connector gebruiken om CloudWatch-logboeken van AWS op te nemen in Microsoft Sentinel.

Stap 1: logboekregistratie configureren voor openbare DNS-query's

1. Meld u aan bij de AWS-beheerconsole en open de Route 53-console op AWS Route 53.
2. Navigeer naar Gehoste zones van Route 53 > .
3. Kies de openbare gehoste zone waarvoor u querylogboekregistratie wilt configureren.
4. Klik in het deelvenster Details van gehoste zone op Querylogboekregistratie configureren.
5. Kies een bestaande logboekgroep of maak een nieuwe logboekgroep.
6. Kies Create.

Stap 2: Amazon Web Services S3-gegevensconnector configureren voor AWS CloudWatch

AWS CloudWatch-logboeken kunnen worden geëxporteerd naar een S3-bucket met behulp van de lambda-functie. Als u openbare DNS-query's wilt opnemen van AWS CloudWatch naar S3 bucket en vervolgens naar Microsoft Sentinel, volgt u de instructies in de Amazon Web Services S3-connector.

Auditlogboeken van Route 53 opnemen (via Microsoft Sentinel CloudTrail-connector)

Route 53-auditlogboeken, d.w.z. de logboeken met betrekking tot acties die zijn uitgevoerd door de gebruiker, rol of AWS-service in Route 53, kunnen worden geëxporteerd naar een S3-bucket via AWS CloudTrail-service. We kunnen de 'Amazon Web Services S3'-connector gebruiken om CloudTrail-logboeken van AWS op te nemen in Microsoft Sentinel.

Stap 1: logboekregistratie configureren voor AWS Route 53-auditlogboeken

1. Meld u aan bij de AWS-beheerconsole en open de CloudTrail-console bij AWS CloudTrail
2. Als u geen bestaand pad hebt, klikt u op 'Trail maken'
3. Voer een naam in voor uw trail in het veld Trailnaam.
4. Selecteer Nieuwe S3-bucket maken (u kunt er ook voor kiezen om een bestaande S3-bucket te gebruiken).
5. Laat de overige instellingen als standaard staan en klik op Volgende.
6. Selecteer Gebeurtenistype en controleer of Beheer-gebeurtenissen is geselecteerd.
7. Selecteer API-activiteit, 'Lezen' en 'Schrijven'
8. Klik op Volgende.
9. Controleer de instellingen en klik op 'Trail maken'.

Stap 2: Amazon Web Services S3-gegevensconnector configureren voor AWS CloudTrail

Als u audit- en beheerlogboeken wilt opnemen van AWS CloudTrail naar Microsoft Sentinel, volgt u de instructies in de Amazon Web Services S3-connector

Ondersteund door:Microsoft Corporation

Met deze connector kunt u AWS WAF-logboeken, verzameld in AWS S3-buckets, opnemen om te Microsoft Sentinel. AWS WAF-logboeken zijn gedetailleerde records van verkeer die ACL's (webtoegangsbeheerlijsten) analyseren, die essentieel zijn voor het onderhouden van de beveiliging en prestaties van webtoepassingen. Deze logboeken bevatten informatie zoals het tijdstip waarop AWS WAF de aanvraag heeft ontvangen, de details van de aanvraag en de actie die is ondernomen door de regel die overeenkomt met de aanvraag.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

1. AWS CloudFormation-implementatie Om toegang op AWS te configureren, zijn er twee sjablonen gegenereerd om de AWS-omgeving in te stellen voor het verzenden van logboeken van een S3-bucket naar uw Log Analytics-werkruimte.

Maak voor elke sjabloon Stack in AWS:

1. Ga naar AWS CloudFormation Stacks.
2. Kies de optie 'Sjabloon opgeven' en vervolgens 'Een sjabloonbestand uploaden' door op Bestand kiezen te klikken en het juiste CloudFormation-sjabloonbestand te selecteren dat hieronder wordt weergegeven. klik op Bestand kiezen en selecteer de gedownloade sjabloon.
3. Klik op 'Volgende' en 'Stack maken'.

• Sjabloon 1: Implementatie van OpenID Connect-verificatie: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: IMPLEMENTATIE VAN AWS WAF-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden Als u AWS S3 wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste gegevens in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Anvilogic

Met de Anvilogic-gegevensconnector kunt u interessante gebeurtenissen ophalen die zijn gegenereerd in het Anvilogic ADX-cluster in uw Microsoft Sentinel

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Client-id en clientgeheim van Anvilogic Application Registration: voor toegang tot de Anvilogic ADX hebben we de client-id en het clientgeheim van de Anvilogic-app-registratie nodig

Installatie-instructies:

Maak verbinding met Anvilogic om te beginnen met het verzamelen van belangrijke gebeurtenissen in Microsoft Sentinel

Vul het formulier in om Anvilogic-waarschuwingen op te nemen in uw Microsoft Sentinel

• Tokeneindpunt: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
• Anvilogic ADX-bereik: (<avl_adx_uri>/.default)
• Anvilogic ADX-aanvraag-URI: (<avl_adx_uri>/v2/rest/query)

Ondersteund door:ARGOS Cloud Security

Met de ARGOS Cloud Security-integratie voor Microsoft Sentinel kunt u al uw belangrijke cloudbeveiligingsevenementen op één plaats hebben. Hierdoor kunt u eenvoudig dashboards, waarschuwingen maken en gebeurtenissen in meerdere systemen correleren. Over het algemeen verbetert dit de beveiligingspostuur van uw organisatie en de reactie op beveiligingsincidenten.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Installatie-instructies:

1. Abonneren op ARGOS

Zorg ervoor dat u al een ARGOS-abonnement hebt. Zo niet, bladert u naar ARGOS Cloud Security en meldt u zich aan bij ARGOS.

U kunt ook ARGOS kopen via de Azure Marketplace.

2. Sentinel-integratie configureren vanuit ARGOS

Configureer ARGOS om nieuwe detecties door te sturen naar uw Sentinel werkruimte door ARGOS te voorzien van uw werkruimte-id en primaire sleutel.

U hoeft geen aangepaste infrastructuur te implementeren.

Voer de gegevens in op de configuratiepagina van ARGOS Sentinel.

Nieuwe detecties worden automatisch doorgestuurd.

Meer informatie over de integratie

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Ondersteund door:Armis Corporation

De Armis Alerts Activities-connector biedt de mogelijkheid om Armis-waarschuwingen en -activiteiten op te nemen in Microsoft Sentinel via de Armis REST API. Raadpleeg de API-documentatie: https://<YourArmisInstance>.armis.com/api/v1/docs voor meer informatie. De connector biedt de mogelijkheid om waarschuwings- en activiteitsgegevens op te halen van het Armis-platform en bedreigingen in uw omgeving te identificeren en prioriteit te geven. Armis gebruikt uw bestaande infrastructuur om apparaten te detecteren en te identificeren zonder agents te hoeven implementeren.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• REST API-referenties/-machtigingen: Armis Secret Key is vereist. Zie de documentatie voor meer informatie over API op de https://<YourArmisInstance>.armis.com/api/v1/doc

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met de Armis-API om de logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie die werkt zoals verwacht en die wordt geïmplementeerd als onderdeel van de oplossing. Als u de functiecode in Log Analytics wilt weergeven, opent u log analytics/Microsoft Sentinel blade Logboeken, klikt u op Functies en zoekt u naar de alias ArmisActivities/ArmisAlerts en laadt u de functiecode. Het duurt meestal 10-15 minuten om de functie te activeren na installatie/update van de oplossing.

STAP 1: configuratiestappen voor de Armis-API

Volg deze instructies om een geheime sleutel voor de Armis-API te maken.

1. Meld u aan bij uw Armis-exemplaar
2. Ga naar Instellingen -> API Management
3. Als de geheime sleutel nog niet is gemaakt, drukt u op de knop Maken om de geheime sleutel te maken
4. Druk op de knop Weergeven om toegang te krijgen tot de geheime toets
5. De geheime sleutel kan nu worden gekopieerd en gebruikt tijdens de configuratie van de Armis Alerts Activities-connector

STAP 2: stappen voor app-registratie voor de toepassing in Microsoft Entra ID

Voor deze integratie is een app-registratie in de Azure Portal vereist. Volg de stappen in deze sectie om een nieuwe toepassing te maken in Microsoft Entra ID:

1. Meld u aan bij Azure Portal.
2. Zoek en selecteer Microsoft Entra ID.
3. Selecteer onder Beheren App-registraties > Nieuwe registratie.
4. Voer een weergavenaam in voor uw toepassing.
5. Selecteer Registreren om de eerste app-registratie te voltooien.
6. Wanneer de registratie is voltooid, wordt in de Azure Portal het deelvenster Overzicht van de app-registratie weergegeven. U ziet de toepassings-id (client) en tenant-id. De client-id en tenant-id zijn vereist als configuratieparameters voor de uitvoering van Armis Alerts Activities Data Connector.

Referentiekoppeling:/azure/active-directory/develop/quickstart-register-app

STAP 3: een clientgeheim voor toepassing toevoegen in Microsoft Entra ID

Een clientgeheim, ook wel een toepassingswachtwoord genoemd, is een tekenreekswaarde die is vereist voor de uitvoering van Armis Alerts Activities Data Connector. Volg de stappen in deze sectie om een nieuw clientgeheim te maken:

1. Selecteer in de Azure Portal in App-registraties uw toepassing.
2. Selecteer Certificaten & geheimen > Clientgeheimen > Nieuw clientgeheim.
3. Voeg een beschrijving toe voor uw clientgeheim.
4. Selecteer een vervaldatum voor het geheim of geef een aangepaste levensduur op. De limiet is 24 maanden.
5. Kies Toevoegen.
6. Noteer de waarde van het geheim voor gebruik in uw clienttoepassingscode. Deze geheime waarde wordt nooit meer weergegeven nadat u deze pagina hebt verlaten. De geheime waarde is vereist als configuratieparameter voor de uitvoering van Armis Alerts Activities Data Connector.

Referentiekoppeling:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

STAP 4: de rol van inzender toewijzen aan toepassing in Microsoft Entra ID

Volg de stappen in deze sectie om de rol toe te wijzen:

1. Ga in de Azure Portal naar Resourcegroep en selecteer uw resourcegroep.
2. Ga naar Toegangsbeheer (IAM) in het linkerdeelvenster.
3. Klik op Toevoegen en selecteer vervolgens Roltoewijzing toevoegen.
4. Selecteer Inzender als rol en klik op Volgende.
5. Selecteer User, group, or service principalin Toegang toewijzen aan.
6. Klik op Leden toevoegen, typ de naam van de app die u hebt gemaakt en selecteer deze.
7. Klik nu op Beoordelen en toewijzen en klik vervolgens nogmaals op Beoordelen en toewijzen.

Referentiekoppeling:/azure/role-based-access-control/role-assignments-portal

STAP 5: Een keyvault maken

Volg deze instructies om een nieuwe Keyvault te maken.

1. Ga in de Azure Portal naar Sleutelkluizen. Klik op maken.
2. Selecteer Subsciption, Resource group en geef de unieke naam van de sleutelkluis op.

OPMERKING: maak een afzonderlijke sleutelkluis voor elke API-sleutel in één werkruimte.

STAP 6: Toegangsbeleid maken in Keyvault

Volg deze instructies om toegangsbeleid te maken in Keyvault.

1. Ga naar keyvaults, selecteer uw sleutelkluis en ga naar Toegangsbeleid in het linkerdeelvenster. Klik op maken.
2. Selecteer alle sleutels & machtigingen voor geheimen. Klik op Volgende.
3. Zoek in de principal-sectie op de naam van de toepassing die is gegenereerd in STAP 2. Klik op Volgende.

OPMERKING: Zorg ervoor dat het machtigingsmodel in de toegangsconfiguratie van Key Vault is ingesteld op Kluistoegangsbeleid

STAP 7: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de gegevensconnector voor Armis-waarschuwingen implementeert, moet u de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit de volgende opties) direct beschikbaar hebben.., evenals de Autorisatiesleutel(s) van de Armis-API

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor automatische implementatie van de Armis-connector.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.msaka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

3. Voer de onderstaande informatie in: Functienaam Werkruimte-id Werkruimtesleutel Armis Secret Key Armis URL (https://< armis-instance.armis.com/api/v1/>) Naam van armis-waarschuwingstabel
   Ernst van armis-activiteitstabel (standaard: laag) Armis Schedule KeyVault-naam Azure client-id Azure tenant-id clientgeheim

4. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.

5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de gegevensconnector voor Armis-waarschuwingen handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld ARMISXXXXX).

   e. Selecteer een runtime: Python 3.11 kiezen

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie + Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende waarden (hoofdlettergevoelig): Werkruimte-id Werkruimtesleutel Armis Secret Key Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Alert Table Name Armis Activity Table Name (standaard: Laag) Armis Schedule KeyVault Name Azure Client Id Azure Client Secret Tenant Id logAnalyticsUri (optioneel)

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

4. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Armis Corporation

De Armis Device-connector biedt de mogelijkheid om Armis-apparaten op te nemen in Microsoft Sentinel via de Armis REST API. Raadpleeg de API-documentatie: https://<YourArmisInstance>.armis.com/api/v1/docs voor meer informatie. De connector biedt de mogelijkheid om apparaatgegevens op te halen uit het Armis-platform. Armis gebruikt uw bestaande infrastructuur om apparaten te detecteren en te identificeren zonder agents te hoeven implementeren. Armis kan ook worden geïntegreerd met uw bestaande IT-& hulpprogramma's voor beveiligingsbeheer om elk apparaat, beheerd of onbeheerd in uw omgeving, te identificeren en te classificeren.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• REST API-referenties/-machtigingen: Armis Secret Key is vereist. Zie de documentatie voor meer informatie over API op de https://<YourArmisInstance>.armis.com/api/v1/doc

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met de Armis-API om de logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie om te werken zoals verwacht. Volg deze stappen om de Kusto Functions-alias ArmisDevice te maken

STAP 1: configuratiestappen voor de Armis-API

Volg deze instructies om een geheime sleutel voor de Armis-API te maken.

1. Meld u aan bij uw Armis-exemplaar
2. Ga naar Instellingen -> API Management
3. Als de geheime sleutel nog niet is gemaakt, drukt u op de knop Maken om de geheime sleutel te maken
4. Druk op de knop Weergeven om toegang te krijgen tot de geheime toets
5. De geheime sleutel kan nu worden gekopieerd en gebruikt tijdens de configuratie van de Armis-apparaatconnector

STAP 2: stappen voor app-registratie voor de toepassing in Microsoft Entra ID

Voor deze integratie is een app-registratie in de Azure Portal vereist. Volg de stappen in deze sectie om een nieuwe toepassing te maken in Microsoft Entra ID:

1. Meld u aan bij Azure Portal.
2. Zoek en selecteer Microsoft Entra ID.
3. Selecteer onder Beheren App-registraties > Nieuwe registratie.
4. Voer een weergavenaam in voor uw toepassing.
5. Selecteer Registreren om de eerste app-registratie te voltooien.
6. Wanneer de registratie is voltooid, wordt in de Azure Portal het deelvenster Overzicht van de app-registratie weergegeven. U ziet de toepassings-id (client) en tenant-id. De client-id en tenant-id zijn vereist als configuratieparameters voor de uitvoering van Armis Device Data Connector.

Referentiekoppeling:/azure/active-directory/develop/quickstart-register-app

STAP 3: een clientgeheim voor toepassing toevoegen in Microsoft Entra ID

Een clientgeheim, ook wel een toepassingswachtwoord genoemd, is een tekenreekswaarde die is vereist voor de uitvoering van Armis Device Data Connector. Volg de stappen in deze sectie om een nieuw clientgeheim te maken:

1. Selecteer in de Azure Portal in App-registraties uw toepassing.
2. Selecteer Certificaten & geheimen > Clientgeheimen > Nieuw clientgeheim.
3. Voeg een beschrijving toe voor uw clientgeheim.
4. Selecteer een vervaldatum voor het geheim of geef een aangepaste levensduur op. De limiet is 24 maanden.
5. Kies Toevoegen.
6. Noteer de waarde van het geheim voor gebruik in uw clienttoepassingscode. Deze geheime waarde wordt nooit meer weergegeven nadat u deze pagina hebt verlaten. De geheime waarde is vereist als configuratieparameter voor de uitvoering van Armis Device Data Connector.

Referentiekoppeling:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

STAP 4: de rol van inzender toewijzen aan toepassing in Microsoft Entra ID

Volg de stappen in deze sectie om de rol toe te wijzen:

1. Ga in de Azure Portal naar Resourcegroep en selecteer uw resourcegroep.
2. Ga naar Toegangsbeheer (IAM) in het linkerdeelvenster.
3. Klik op Toevoegen en selecteer vervolgens Roltoewijzing toevoegen.
4. Selecteer Inzender als rol en klik op Volgende.
5. Selecteer User, group, or service principalin Toegang toewijzen aan.
6. Klik op Leden toevoegen, typ de naam van de app die u hebt gemaakt en selecteer deze.
7. Klik nu op Beoordelen en toewijzen en klik vervolgens nogmaals op Beoordelen en toewijzen.

Referentiekoppeling:/azure/role-based-access-control/role-assignments-portal

STAP 5: Een keyvault maken

Volg deze instructies om een nieuwe Keyvault te maken.

1. Ga in de Azure Portal naar Sleutelkluizen. Klik op maken.
2. Selecteer Subsciption, Resource group en geef de unieke naam van de sleutelkluis op.

OPMERKING: maak een afzonderlijke sleutelkluis voor elke API-sleutel in één werkruimte.

STAP 6: Toegangsbeleid maken in Keyvault

Volg deze instructies om toegangsbeleid te maken in Keyvault.

1. Ga naar keyvaults, selecteer uw sleutelkluis en ga naar Toegangsbeleid in het linkerdeelvenster. Klik op maken.
2. Selecteer alle sleutels & machtigingen voor geheimen. Klik op Volgende.
3. Zoek in de principal-sectie op de naam van de toepassing die is gegenereerd in STAP 2. Klik op Volgende.

OPMERKING: Zorg ervoor dat het machtigingsmodel in de toegangsconfiguratie van Key Vault is ingesteld op Kluistoegangsbeleid

STAP 7: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de Armis Device-gegevensconnector implementeert, hebt u de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit het volgende) direct beschikbaar.., evenals de Autorisatiesleutel(s) van de Armis-API

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor automatische implementatie van de Armis-connector.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.msaka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

3. Voer de onderstaande gegevens in: Functienaam Werkruimte-id Werkruimtesleutel Armis Geheim Sleutel Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Name Azure Client Id Azure Client Secret Tenant Id

4. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.

5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de Armis Device-gegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld ARMISXXXXX).

   e. Selecteer een runtime: Python 3.11 kiezen

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie + Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende waarden (hoofdlettergevoelig): Werkruimte-id Werkruimtesleutel Armis Secret Key Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Name Azure Client-id Azure Client Secret Tenant Id logAnalyticsUri (optioneel)

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

4. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:DEFEND Ltd.

Atlassian Beacon is een cloudproduct dat is gebouwd voor intelligente detectie van bedreigingen op de Atlassian-platforms (Jira, Confluence en Atlassian Beheer). Dit kan gebruikers helpen bij het detecteren, onderzoeken en reageren op riskante gebruikersactiviteit voor de Atlassian-suite met producten. De oplossing is een aangepaste gegevensconnector van DEFEND Ltd. die wordt gebruikt om de waarschuwingen te visualiseren die zijn opgenomen van Atlassian Beacon naar Microsoft Sentinel via een logische app.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Installatie-instructies:

1. Microsoft Sentinel

1. Navigeer naar de zojuist geïnstalleerde logische app Atlassian Beacon Integration

2. Navigeer naar Ontwerpfunctie voor logische apps

3. Vouw de 'Wanneer een HTTP-aanvraag wordt ontvangen' uit

4. Kopieer de HTTP POST-URL

2. Atlassian Beacon

1. Aanmelden bij Atlassian Beacon met een beheerdersaccount

2. Navigeer naar 'SIEM-doorsturen' onder INSTELLINGEN

3. Plak de gekopieerde URL uit de logische app in het tekstvak

4. Klik op de knop Opslaan

3. Testen en valideren

1. Aanmelden bij Atlassian Beacon met een beheerdersaccount

2. Navigeer naar 'SIEM-doorsturen' onder INSTELLINGEN

3. Klik op de knop Testen direct naast de zojuist geconfigureerde webhook

4. Navigeer naar Microsoft Sentinel

5. Navigeer naar de zojuist geïnstalleerde logische app

6. Controleer op de uitvoering van de logische app onder 'Uitvoeringsgeschiedenis'

7. Controleren op logboeken onder de tabelnaam 'atlassian_beacon_alerts_CL' in 'Logboeken'

8. Als de analyseregel is ingeschakeld, moet de bovenstaande testwaarschuwing een incident hebben gemaakt in Microsoft Sentinel

Ondersteund door:Microsoft Corporation

De Atlassian Confluence Audit-gegevensconnector biedt de mogelijkheid om Confluence Audit Records-gebeurtenissen op te nemen in Microsoft Sentinel via de REST API. Raadpleeg de API-documentatie voor meer informatie. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Toegang tot de Atlassian Confluence-API: toestemming van Confluence beheren is vereist om toegang te krijgen tot de Confluence Audit-logboeken-API. Zie Confluence API-documentatie voor meer informatie over de audit-API.

Installatie-instructies:

Maak verbinding met de Atlassian Confluence-API om auditlogboeken te verzamelen in Microsoft Sentinel

Als u de Atlassian Confluence-connector wilt inschakelen voor Microsoft Sentinel, klikt u om een organisatie toe te voegen, vult u het formulier in met de confluence-omgevingsreferenties en klikt u op Verbinding maken. Volg deze stappen om een API-token te maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

De Atlassian Jira Audit-gegevensconnector biedt de mogelijkheid om Jira Audit Records-gebeurtenissen op te nemen in Microsoft Sentinel via de REST API. Raadpleeg de API-documentatie voor meer informatie. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• REST API-referenties/-machtigingen: JiraAccessToken, JiraUsername is vereist voor REST API. Zie API voor meer informatie. Controleer alle vereisten en volg de instructies voor het verkrijgen van referenties.

Installatie-instructies:

OPMERKING: Deze connector maakt gebruik van Azure Functions om verbinding te maken met de Jira REST API om de logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie om te werken zoals verwacht. Volg deze stappen om de Kusto-functiealias, JiraAudit, te maken

STAP 1: configuratiestappen voor de Jira-API

Volg de instructies om de referenties te verkrijgen.

STAP 2: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de werkruimtegegevensconnector implementeert, moet u beschikken over de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit het volgende).

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor geautomatiseerde implementatie van de Jira Audit-gegevensconnector met behulp van een ARM Tempate.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.msaka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

OPMERKING: Binnen dezelfde resourcegroep kunt u Windows en Linux apps in dezelfde regio niet combineren. Selecteer een bestaande resourcegroep zonder Windows-apps of maak een nieuwe resourcegroep. 3. Voer het JiraAccessToken, JiraUsername, JiraHomeSiteName (kort sitenaamonderdeel, als voorbeeld HOMESITENAME van https://community.atlassian.com) in en implementeer. 4. Schakel het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden aan. 5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de Jira Audit-gegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld JiraAuditXXXXX).

   e. Selecteer een runtime: Kies Python 3.11.

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende tekenreekswaarden (hoofdlettergevoelig): JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceKey logAnalyticsUri (optioneel)

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

3. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Microsoft Corporation

De Atlassian Jira Audit-gegevensconnector biedt de mogelijkheid om Jira Audit Records-gebeurtenissen op te nemen in Microsoft Sentinel via de REST API. Raadpleeg de API-documentatie voor meer informatie. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Toegang tot atlassian Jira API: toestemming van Jira beheren is vereist om toegang te krijgen tot de Jira Audit logs API. Zie Jira API-documentatie voor meer informatie over de audit-API.

Installatie-instructies:

Als u de Atlassian Jira-connector wilt inschakelen voor Microsoft Sentinel, klikt u om een organisatie toe te voegen, vult u het formulier in met de Jira-omgevingsreferenties en klikt u op Verbinding maken. Volg deze stappen om een API-token te maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Met de Auth0-gegevensconnector kunnen logboeken van de Auth0-API worden opgenomen in Microsoft Sentinel. De gegevensconnector is gebouwd op Microsoft Sentinel Codeless Connector Framework. De Auth0-API wordt gebruikt om logboeken op te halen en ondersteunt op DCR gebaseerde opnametijdtransformaties waarmee de ontvangen beveiligingsgegevens worden geparseerd in een aangepaste tabel, zodat query's deze niet opnieuw hoeven te parseren, wat resulteert in betere prestaties.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

STAP 1: configuratiestappen voor de Auth0 Management-API

Volg de instructies om de referenties te verkrijgen.

1. Ga in Auth0 Dashboard naar [Toepassingen > toepassingen]
2. Selecteer uw toepassing. Dit moet een [Machine-to-Machine]-toepassing zijn die is geconfigureerd met ten minste [read:logs] en [read:logs_users] machtigingen.
3. Kopiëren [Domein, ClientID, Clientgeheim]

• BASIS-API-URL: (https://example.auth0.com)
• Client-id: (client-id)
• Clientgeheim: (API-token)
• Verbinding in-/uitschakelen

Ondersteund door:Microsoft Corporation

U kunt de auditlogboeken streamen vanaf de WebCTRL SQL-server die wordt gehost op Windows-computers die zijn verbonden met uw Microsoft Sentinel. Met deze verbinding kunt u dashboards weergeven, aangepaste waarschuwingen maken en onderzoek verbeteren. Dit geeft inzicht in uw industriële controlesystemen die worden bewaakt of beheerd door de WebCTRL BAS-toepassing.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

1. Installeer en onboard de Microsoft-agent voor Windows.

Meer informatie over het instellen van agents en het onboarden van Windows-gebeurtenissen.

U kunt deze stap overslaan als u de Microsoft-agent voor Windows al hebt geïnstalleerd

2. Windows-taak configureren om de controlegegevens te lezen en naar Windows-gebeurtenissen te schrijven

Installeer en configureer de geplande Windows-taak om de auditlogboeken in SQL te lezen en te schrijven als Windows-gebeurtenissen. Deze Windows-gebeurtenissen worden verzameld door de agent en doorgestuurd naar Microsoft Sentinel.

U ziet dat de gegevens van alle computers worden opgeslagen in de geselecteerde werkruimte

2.1 Kopieer de installatiebestanden naar een locatie op de server.

2.2 Werk de ALC-WebCTRL-AuditPull.ps1 (gekopieerd in de bovenstaande stap) scriptparameters bij, zoals de naam van de doeldatabase en windows-gebeurtenis-id's. Raadpleeg opmerkingen in het script voor meer informatie.

2.3 Werk de windows-taakinstellingen bij in het ALC-WebCTRL-AuditPullTaskConfig.xml-bestand dat in de bovenstaande stap is gekopieerd op basis van vereisten. Raadpleeg opmerkingen in het bestand voor meer informatie.

2.4 Windows-taken installeren met behulp van de bijgewerkte configuraties die in de bovenstaande stappen zijn gekopieerd

• Voer de volgende opdracht uit in PowerShell vanuit de map waar de installatiebestanden worden gekopieerd in stap 2.1: <variabele waarde opgegeven tijdens de installatie>

3. Verbinding valideren

Volg de instructies om uw connectiviteit te valideren:

Open Log Analytics om te controleren of de logboeken worden ontvangen met behulp van het gebeurtenisschema.

Het kan ongeveer 20 minuten duren voordat de verbinding gegevens naar uw werkruimte streamt.

Als de logboeken niet worden ontvangen, valideert u de onderstaande stappen voor eventuele runtimeproblemen:

1. Zorg ervoor dat de geplande taak is gemaakt en de status Wordt uitgevoerd in de Windows Task Scheduler.

2. Controleren op taakuitvoeringsfouten op het tabblad Geschiedenis in Windows Task Scheduler voor de zojuist gemaakte taak in stap 2.4

3. Zorg ervoor dat de SQL-audittabel nieuwe records bevat terwijl de geplande Windows-taak wordt uitgevoerd.

Ondersteund door:Microsoft Corporation

De AWS EKS-gegevensconnector biedt de mogelijkheid om auditlogboeken van Amazon Elastic Kubernetes Service op te nemen in Microsoft Sentinel. Deze connector is gericht op EKS-auditlogboeken (JSON-indeling) die gedetailleerde informatie bevatten over API-serveraanvragen, verificatiebeslissingen en clusteractiviteiten. De connector maakt gebruik van AWS SQS om meldingen te ontvangen wanneer nieuwe auditlogboekbestanden worden geëxporteerd naar S3, wat zorgt voor realtime beveiligingsbewaking en nalevingstracking voor uw Kubernetes-clusters.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Installatie-instructies:

1. AWS CloudFormation-implementatie

Gebruik de opgegeven CloudFormation-sjablonen om de AWS-omgeving te configureren voor het verzenden van logboeken van AWS EKS naar uw Log Analytics-werkruimte.

CloudFormation-sjablonen implementeren in AWS:

1. Navigeer naar de AWS CloudFormation Stacks.
2. Klik op Stack maken en selecteer Met nieuwe resources.
3. Kies Een sjabloonbestand uploaden en klik vervolgens op Bestand kiezen om de juiste CloudFormation-sjabloon (sjabloon 1 en 2 hieronder) te uploaden.
4. Volg de aanwijzingen en klik op Volgende om het maken van de stack te voltooien.
5. Nadat de stapels zijn gemaakt, navigeert u naar de sectie Uitvoer . Voer de scripts in stap 1 en 2 uit vanuit de uitvoersectie, het streamlogboek van eks naar sqs.
6. Noteer in dezelfde uitvoersectie de URL van de rol-ARN- en SQS-wachtrij die worden gebruikt in de verbindingsconnector.

• Sjabloon 1: Implementatie van OpenID Connect-verificatieprovider: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: IMPLEMENTATIE van AWS EKS-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden

Als u AWS Security Hub Connector wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste gegevens in het contextvenster in en klikt u op Verbinding maken.

• SentinelRoleArn: (De AWS IAM-rol ARN voor toegang tussen accounts (bijvoorbeeld arn:aws:iam::123456789012:role/SentinelRole))
• SentinelSQSQueueURL: (De volledige AWS EKS-wachtrij-URL (bijvoorbeeld https://sqs.region.amazonaws.com/account-id/queue-name))

3. Verbinding maken

Schakel de AWS EKS-connector in.

• Verbinding in-/uitschakelen

Ondersteund door:Microsoft Corporation

Met deze connector kunt u AWS S3 Server Access-logboeken opnemen in Microsoft Sentinel. Deze logboeken bevatten gedetailleerde records voor aanvragen voor S3-buckets, waaronder het type aanvraag, de resource die is geopend, informatie over aanvragers en antwoorddetails. Deze logboeken zijn handig voor het analyseren van toegangspatronen, het opsporen van problemen en het garanderen van naleving van de beveiliging.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Omgeving: U moet de volgende AWS-resources hebben gedefinieerd en geconfigureerd: S3 Bucket, Simple Queue Service (SQS), IAM-rollen en machtigingenbeleid.

Installatie-instructies:

1. AWS CloudFormation-implementatie Voor het configureren van toegang op AWS zijn twee sjablonen gegenereerd om de AWS-omgeving in te stellen om logboeken van een AWS S3 Server Access-logboeken naar uw Log Analytics-werkruimte te verzenden.

CloudFormation-sjablonen implementeren in AWS:

1. Navigeer naar de AWS CloudFormation Stacks.
2. Klik op Stack maken en selecteer Met nieuwe resources.
3. Kies Een sjabloonbestand uploaden en klik vervolgens op Bestand kiezen om de juiste CloudFormation-sjabloon te uploaden.
4. Volg de aanwijzingen en klik op Volgende om het maken van de stack te voltooien.
5. Nadat de stacks zijn gemaakt, noteert u de ROL-ARN en DE SQS-wachtrij-URL.

• Sjabloon 1: Implementatie van OpenID Connect-verificatieprovider: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: implementatie van AWS-servertoegangsresources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe collectors verbinden Om AWS S3 Server Access Logs Connector in te schakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste informatie in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Met deze connector kunnen AWS Security Hub-bevindingen, die worden verzameld in AWS S3-buckets, worden opgenomen in Microsoft Sentinel. Het helpt het proces voor het bewaken en beheren van beveiligingswaarschuwingen te stroomlijnen door AWS Security Hub Findings te integreren met de geavanceerde detectie- en reactiemogelijkheden van Microsoft Sentinel.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Omgeving: u moet de volgende AWS-resources hebben gedefinieerd en geconfigureerd: AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, Simple Queue Service (SQS), IAM-rollen en machtigingenbeleid.

Installatie-instructies:

1. AWS CloudFormation-implementatie Gebruik de meegeleverde CloudFormation-sjablonen om de AWS-omgeving te configureren voor het verzenden van logboeken van AWS Security Hub naar uw Log Analytics-werkruimte.

CloudFormation-sjablonen implementeren in AWS:

1. Navigeer naar de AWS CloudFormation Stacks.
2. Klik op Stack maken en selecteer Met nieuwe resources.
3. Kies Een sjabloonbestand uploaden en klik vervolgens op Bestand kiezen om de juiste CloudFormation-sjabloon te uploaden.
4. Volg de aanwijzingen en klik op Volgende om het maken van de stack te voltooien.
5. Nadat de stacks zijn gemaakt, noteert u de ROL-ARN en DE SQS-wachtrij-URL.

• Sjabloon 1: Implementatie van OpenID Connect-verificatieprovider: <variabele waarde opgegeven tijdens de installatie>
• Sjabloon 2: implementatie van AWS Security Hub-resources: <variabele waarde opgegeven tijdens de installatie>

2. Nieuwe verzamelaars verbinden Als u AWS Security Hub Connector wilt inschakelen voor Microsoft Sentinel, klikt u op de knop Nieuwe collector toevoegen, vult u de vereiste gegevens in het contextvenster in en klikt u op Verbinding maken.

• Raster van gegevensconnectors (configureren in de portal)

Ondersteund door:Microsoft Corporation

Azure activiteitenlogboek is een abonnementslogboek dat inzicht biedt in gebeurtenissen op abonnementsniveau die zich voordoen in Azure, waaronder gebeurtenissen uit Azure Resource Manager operationele gegevens, servicestatusgebeurtenissen, schrijfbewerkingen voor de resources in uw abonnement en de status van activiteiten die in Azure worden uitgevoerd. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Microsoft Corporation

Azure Batch Account is een uniek geïdentificeerde entiteit binnen de Batch-service. De meeste Batch-oplossingen gebruiken Azure Storage voor het opslaan van resourcebestanden en uitvoerbestanden, zodat elk Batch-account meestal is gekoppeld aan een bijbehorend opslagaccount. Met deze connector kunt u de diagnostische logboeken van uw Azure Batch account streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Koppel de diagnostische logboeken van uw Azure Batch-account aan Sentinel.

Deze connector maakt gebruik van Azure Policy om één Azure Batch configuratie voor het streamen van accountlogboeken toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure Batch-account op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Palo Alto Networks

Cloud Next-Generation Firewall van Palo Alto Networks - een Azure Native ISV-service - is Palo Alto Networks Next-Generation Firewall (NGFW) die wordt geleverd als een cloudeigen service op Azure. U kunt Cloud NGFW ontdekken in de Azure Marketplace en deze gebruiken in uw Azure Virtuele netwerken (VNet). Met Cloud NGFW hebt u toegang tot de belangrijkste NGFW-mogelijkheden, zoals App-ID, op URL-filtering gebaseerde technologieën. Het biedt bedreigingspreventie en -detectie via cloudbeveiligingsservices en handtekeningen voor bedreigingspreventie. Met de connector kunt u eenvoudig uw Cloud NGFW-logboeken verbinden met Microsoft Sentinel, dashboards weergeven, aangepaste waarschuwingen maken en onderzoek verbeteren. Dit geeft u meer inzicht in het netwerk van uw organisatie en verbetert uw beveiligingsmogelijkheden. Zie de documentatie cloud-NGFW voor Azure voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Installatie-instructies:

Cloud NGFW by Palo Alto Networks verbinden met Microsoft Sentinel

Logboekinstellingen inschakelen voor alle cloud-NGFW's van Palo Alto Networks.

In uw Cloud NGFW-resource:

1. Ga vanaf de startpagina naar de logboekinstellingen .
2. Zorg ervoor dat het selectievakje Logboekinstellingen inschakelen is ingeschakeld.
3. Kies in de vervolgkeuzelijst Logboekinstellingen de gewenste Log Analytics-werkruimte.
4. Bevestig uw selecties en configuraties.
5. Klik op Opslaan om de instellingen toe te passen.

Ondersteund door:Microsoft Corporation

Azure Cognitive Search is een cloudzoekservice die ontwikkelaars infrastructuur, API's en hulpprogramma's biedt voor het bouwen van een uitgebreide zoekervaring voor privé-, heterogene inhoud in web-, mobiele en zakelijke toepassingen. Met deze connector kunt u uw Azure Cognitive Search diagnostische logboeken streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Verbind uw Azure Cognitive Search diagnostische logboeken in Sentinel.

Deze connector gebruikt Azure Policy om één Azure Cognitive Search configuratie voor logboekstreaming toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure Cognitive Search op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Maak verbinding met Azure DDoS Protection Standard-logboeken via diagnostische logboeken voor openbare IP-adressen. Naast de DDoS-kernbeveiliging in het platform biedt Azure DDoS Protection Standard geavanceerde DDoS-beperkingsmogelijkheden tegen netwerkaanvallen. Deze wordt automatisch afgestemd om uw specifieke Azure resources te beschermen. Beveiliging is eenvoudig in te schakelen tijdens het maken van nieuwe virtuele netwerken. Dit kan ook worden gedaan na het maken en vereist geen wijzigingen in de toepassing of resource. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Microsoft Corporation

Met de Azure DevOps Audit Logs data connector kunt u auditgebeurtenissen van Azure DevOps opnemen in Microsoft Sentinel. Deze gegevensconnector is gebouwd met behulp van het Microsoft Sentinel Codeless Connector Framework en zorgt voor naadloze integratie. Het maakt gebruik van de Azure DevOps Audit Logs API om gedetailleerde controlegebeurtenissen op te halen en ondersteunt op DCR gebaseerde opnametijdtransformaties. Met deze transformaties kunnen de ontvangen controlegegevens tijdens opname in een aangepaste tabel worden geparsereerd, waardoor de queryprestaties worden verbeterd doordat er geen extra parsering meer nodig is. Met deze connector kunt u meer inzicht krijgen in uw Azure DevOps-omgeving en uw beveiligingsbewerkingen stroomlijnen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Azure DevOps-vereiste: zorg voor het volgende:
  1. Registreer een Entra App in Microsoft Entra Beheer Center onder App-registraties.
  2. Voeg in 'API-machtigingen' machtigingen toe aan 'Azure DevOps - vso.auditlog'.
  3. In 'Certificaten & geheimen' - genereer 'Clientgeheim'.
  4. Voeg in 'Verificatie' de omleidings-URI toe die u hieronder vindt in het bijbehorende veld.
  5. Schakel in de Azure DevOps-instellingen auditlogboek in en stel Auditlogboek weergeven in voor de gebruiker. Azure DevOps-controle.
  6. Zorg ervoor dat de gebruiker die is toegewezen om verbinding te maken met de gegevensconnector de machtiging Auditlogboeken weergeven te allen tijde expliciet heeft ingesteld op Toestaan. Deze machtiging is essentieel voor een geslaagde logboekopname. Als de machtiging wordt ingetrokken of niet wordt verleend, mislukt de gegevensopname of wordt de gegevensopname onderbroken.

Installatie-instructies:

**Maak verbinding met Azure DevOps om auditlogboeken te verzamelen in Microsoft Sentinel. **

1. Voer de app in die u hebt geregistreerd.
2. Kopieer in de sectie Overzicht de toepassings-id (client).
3. Selecteer de knop Eindpunten en kopieer de waarde 'OAuth 2.0-autorisatie-eindpunt (v2)' en de waarde 'OAuth 2.0-tokeneindpunt (v2)'.
4. Kopieer in de sectie Certificaten & geheimen de waarde 'Clientgeheim' en sla deze veilig op.
5. Geef hieronder de vereiste informatie op en klik op Verbinding maken.

• Tokeneindpunt: ([concat(variabelen('_loginUrl'), '/{TenantId}/oauth2/v2.0/token')])
• Autorisatie-eindpunt: ([concat(variabelen('_loginUrl'), '/{TenantId}/oauth2/v2.0/authorize')])
• API-eindpunt: (https://auditservice.dev.azure.com/{organizationName}/_apis/audit/auditlog?api-version=7.2-preview)

Ondersteund door:Microsoft Corporation

Azure Event Hubs is een big data-streamingplatform en service voor gebeurtenisopname. Het kan miljoenen gebeurtenissen per seconde ontvangen en verwerken. Met deze connector kunt u uw Azure diagnostische logboeken van Event Hub streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Sluit uw Azure diagnostische logboeken van Event Hub aan bij Sentinel.

Deze connector gebruikt Azure Policy om één Azure Event Hub-configuratie voor logboekstreaming toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure Event Hub op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Maak verbinding met Azure Firewall. Azure Firewall is een beheerde, cloudgebaseerde netwerkbeveiligingsservice die uw Azure Virtual Network resources beschermt. Het is een volledig stateful firewall als een service met ingebouwde hoge beschikbaarheid en onbeperkte schaalbaarheid in de cloud. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Ondersteund door:Microsoft Corporation

Azure Key Vault is een cloudservice voor het veilig opslaan en openen van geheimen. Een geheim is alles waartoe u de toegang strikt wilt beheren, zoals API-sleutels, wachtwoorden, certificaten of cryptografische sleutels. Met deze connector kunt u uw Azure Key Vault diagnostische logboeken streamen naar Microsoft Sentinel, zodat u continu activiteiten in al uw exemplaren kunt bewaken. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Microsoft Corporation

Azure Kubernetes Service (AKS) is een opensource, volledig beheerde containerindelingsservice waarmee u Docker-containers en containertoepassingen in een clusteromgeving kunt implementeren, schalen en beheren. Met deze connector kunt u uw diagnostische logboeken voor Azure Kubernetes Service (AKS) streamen naar Microsoft Sentinel, zodat u continu de activiteit in al uw exemplaren kunt bewaken. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Microsoft Corporation

Azure Logic Apps is een cloudplatform voor het maken en uitvoeren van geautomatiseerde werkstromen die uw apps, gegevens, services en systemen integreren. Met deze connector kunt u uw Azure diagnostische logboeken van Logic Apps streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Verbind uw diagnostische logboeken van Logic Apps in Sentinel.

Deze connector gebruikt Azure Policy om één Azure configuratie voor het streamen van logboeken van Logic Apps toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure Logic Apps op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Azure Resource Graph connector biedt uitgebreidere inzichten in Azure gebeurtenissen door informatie over Azure abonnementen en Azure resources aan te vullen.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: machtiging voor de rol van eigenaar voor Azure-abonnementen

Installatie-instructies:

Azure Resource Graph verbinden met Microsoft Sentinel

Ondersteund door:Microsoft Corporation

Azure Service Bus is een volledig beheerde zakelijke berichtbroker met berichtenwachtrijen en onderwerpen over publiceren/abonneren (in een naamruimte). Met deze connector kunt u uw Azure Service Bus diagnostische logboeken streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Verbind uw Azure Service Bus diagnostische logboeken in Sentinel.

Deze connector maakt gebruik van Azure Policy om één Azure Service Bus configuratie voor logboekstreaming toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

diagnostische logboeken van uw Azure Service Bus op schaal Stream

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Azure SQL is een volledig beheerde PaaS-database-engine (Platform-as-a-Service) die de meeste databasebeheerfuncties afhandelt, zoals upgraden, patchen, back-ups en bewaking, zonder dat de gebruiker hierbij hoeft te worden betrokken. Met deze connector kunt u de audit- en diagnostische logboeken van uw Azure SQL databases streamen naar Microsoft Sentinel, zodat u continu activiteiten in al uw exemplaren kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Microsoft Corporation

Azure Storage-account is een cloudoplossing voor moderne scenario's voor gegevensopslag. Het bevat al uw gegevensobjecten: blobs, bestanden, wachtrijen, tabellen en schijven. Met deze connector kunt u diagnostische logboeken van Azure Opslagaccounts streamen naar uw Microsoft Sentinel werkruimte, zodat u continu activiteiten in al uw exemplaren kunt bewaken en schadelijke activiteiten in uw organisatie kunt detecteren. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Verbind de diagnostische logboeken van uw Azure-opslagaccount bij Sentinel.

Deze connector maakt gebruik van een set Azure-beleid om een configuratie voor logboekstreaming toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Als u het meeste uit de diagnostische logboekregistratie van het opslagaccount wilt halen uit de Azure Opslagaccount, raden we u aan diagnostische logboekregistratie in te schakelen vanuit alle services in de Azure Opslagaccount- Blob, Wachtrij, Tabel en Bestand. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure-opslagaccount op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Stream diagnostische logboeken van uw Azure Storage Blob-service op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Stream diagnostische logboeken van uw Azure Storage Queue-service op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Stream diagnostische logboeken van uw Azure Storage Table-service op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Stream diagnostische logboeken van uw Azure Storage File-service op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Azure Stream Analytics is een realtime analyse en complexe gebeurtenisverwerkingsengine die is ontworpen voor het analyseren en verwerken van grote hoeveelheden snel streamen van gegevens uit meerdere bronnen tegelijk. Met deze connector kunt u de diagnostische logboeken van uw Azure Stream Analytics-hub streamen naar Microsoft Sentinel, zodat u continu activiteiten kunt bewaken.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Beleid: de rol Van eigenaar toegewezen voor elk beleidstoewijzingsbereik

Installatie-instructies:

Verbind uw diagnostische logboeken van Azure Stream Analytics in Sentinel.

Deze connector maakt gebruik van Azure Policy om één configuratie voor logboekstreaming van Azure Stream Analytics toe te passen op een verzameling exemplaren, gedefinieerd als een bereik. Volg de onderstaande instructies om een beleid te maken en toe te passen op alle huidige en toekomstige exemplaren. Mogelijk hebt u al een actief beleid voor dit resourcetype.

Stream diagnostische logboeken van uw Azure Stream Analytics op schaal

**Start de wizard Azure Policy Toewijzing en volg de stappen. **

1. Klik op het tabblad Basisinformatie op de knop met de drie puntjes onder Bereik om uw abonnement te selecteren.
2. Kies op het tabblad Parameters uw Microsoft Sentinel werkruimte in de vervolgkeuzelijst Log Analytics-werkruimte en laat alle logboekcategorieën die u wilt opnemen gemarkeerd als 'Waar'.
3. Als u het beleid wilt toepassen op uw bestaande resources, schakelt u het selectievakje Een hersteltaak maken in op het tabblad Herstel .

Ondersteund door:Microsoft Corporation

Maak verbinding met de Azure Web Application Firewall (WAF) voor Application Gateway, Front Door of CDN. Deze WAF beschermt uw toepassingen tegen veelvoorkomende webproblemen, zoals SQL-injectie en cross-site scripting, en stelt u in staat regels aan te passen om fout-positieven te verminderen. Instructies voor het streamen van uw Microsoft Web Application Firewall-logboeken naar Microsoft Sentinel worden weergegeven tijdens het installatieproces. Zie de documentatie voor Microsoft Sentinel voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Ondersteund door:Better Mobile Security Inc.

Met de BETTER MTD-connector kunnen ondernemingen hun Better MTD-exemplaren verbinden met Microsoft Sentinel, hun gegevens bekijken in dashboards, aangepaste waarschuwingen maken, deze gebruiken om playbooks te activeren en mogelijkheden voor het opsporen van bedreigingen uit te breiden. Dit geeft gebruikers meer inzicht in de mobiele apparaten van hun organisatie en de mogelijkheid om snel de huidige mobiele beveiligingspostuur te analyseren, waardoor hun algehele SecOps-mogelijkheden worden verbeterd.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Installatie-instructies:

1. Klik in Better MTD Console op Integratie op de zijbalk.
2. Selecteer het tabblad Overige .
3. Klik op de knop ACCOUNT TOEVOEGEN en selecteer Microsoft Sentinel uit de beschikbare integraties.
4. Maak de integratie:

• instellen ACCOUNT NAME op een beschrijvende naam die de integratie identificeert en klik vervolgens op Volgende
• Voer uw WORKSPACE ID en PRIMARY KEY in de onderstaande velden op Opslaan in
• Klik op Gereed

5. Bedreigingsbeleid instellen (aan welke incidenten moeten worden gerapporteerd Microsoft Sentinel):

• Klik in better MTD-console op Beleid op de zijbalk
• Klik op de knop Bewerken van het beleid dat u gebruikt.
• Ga voor elk type incident dat u wilt laten logboeken naar het veld Verzenden naar integraties en selecteer Sentinel

6. Raadpleeg onze documentatie voor meer informatie.

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Ondersteund door:BeyondTrust

De BeyondTrust Privilege Management Cloud-gegevensconnector biedt de mogelijkheid om activiteitencontrolelogboeken en clientgebeurtenislogboeken van BeyondTrust PM Cloud op te nemen in Microsoft Sentinel.

Deze connector maakt gebruik van Azure Functions om gegevens op te halen uit de BeyondTrust PM Cloud-API en deze op te nemen in aangepaste Log Analytics-tabellen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• BeyondTrust PM Cloud API-referenties: BeyondTrust PM Cloud OAuth-client-id en clientgeheim zijn vereist. Voor het API-account zijn de volgende machtigingen vereist: Audit - Alleen-lezen en Rapportage - Alleen-lezen

Installatie-instructies:

OPMERKING: Deze connector maakt gebruik van Azure Functions om verbinding te maken met de BeyondTrust PM Cloud-API om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

OPMERKING: Deze connector gebruikt de OAuth 2.0-clientreferentiestroom voor verificatie met de BeyondTrust PM Cloud-API.

STAP 1: BeyondTrust PM Cloud API-referenties verkrijgen

Maak een API-account in uw BeyondTrust PM Cloud-exemplaar met OAuth API-referenties (client-id en clientgeheim). Voor het API-account zijn de volgende machtigingen vereist:

• Audit - Alleen-lezen
• Rapportage - Alleen-lezen

STAP 2: de connector en de bijbehorende Azure-functie implementeren

Gebruik deze methode voor geautomatiseerde implementatie van de BeyondTrust PM Cloud-gegevensconnector met behulp van een ARM-sjabloon.

1. Klik hieronder op de knop Implementeren naar Azure.

   portal.azure.com

2. Selecteer het gewenste abonnement, resourcegroep (moet uw Log Analytics-werkruimte bevatten) en Locatie.

3. Voer de vereiste parameters in:

   • Werkruimtenaam: naam van uw Log Analytics-werkruimte (bijvoorbeeld beyondtrust-pmcloud)
   • BeyondTrust PM Cloud Base URL: uw tenant-URL (bijvoorbeeld https://yourcompany.beyondtrustcloud.com)
   • BeyondTrust-client-id: OAuth-client-id uit stap 1
   • BeyondTrust-clientgeheim: OAuth-clientgeheim uit stap 1
   • Polling-interval voor activiteitscontroles: hoe vaak activiteitscontroles worden verzameld (standaard: 15 minuten)
   • Polling-interval voor clientevenementen: hoe vaak client-gebeurtenissen moeten worden verzameld (standaard: 5 minuten)
   • Logboekniveau: logboekregistratieniveau voor probleemoplossing (standaard: Informatie)
   • Tijdsbestek voor historische gegevens: hoe ver terug om gegevens te verzamelen bij de eerste uitvoering (standaard: 1 dag)

4. Controleer de geavanceerde instellingen (hostingplan-SKU, opslagaccounttype) en pas deze indien nodig aan.

5. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.

6. Klik op Aanschaffen om te implementeren.

7. Met de implementatie worden alle vereiste resources gemaakt: functie-app, opslagaccount, eindpunt voor gegevensverzameling, regels voor gegevensverzameling en aangepaste Log Analytics-tabellen.

8. Gegevens moeten binnen 15-30 minuten na de implementatie beginnen te stromen.

Ondersteund door:BigID

De BigID DSPM-gegevensconnector biedt de mogelijkheid om BigID DSPM cases met betrokken objecten en gegevensbrongegevens op te nemen in Microsoft Sentinel.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• BigID DSPM API-toegang: toegang tot de BigID DSPM-API via een BigID-token is vereist.

Installatie-instructies:

Maak verbinding met bigID DSPM API om bigID-DSPM cases en betrokken objecten in Microsoft Sentinel te verzamelen

Geef uw BigID-domeinnaam op zoals 'customer.bigid.cloud' en uw BigID-token. Genereer een token in de BigID-console via Instellingen -> Toegangsbeheer -> Gebruikers -> Gebruiker selecteren en een token genereren.

• BigID FQDN: (BigID FQDN)
• BigID-token: (BigID-token)
• Verbinding in-/uitschakelen

Ondersteund door:Microsoft Corporation

De Bitglass-gegevensconnector biedt de mogelijkheid om beveiligingsgebeurtenislogboeken van de Bitglass-services en meer gebeurtenissen op te halen in Microsoft Sentinel via de REST API. De connector maakt het ophalen van gebeurtenissen mogelijk om potentiële beveiligingsrisico's te beoordelen, samenwerking te bewaken en configuratieproblemen vast te stellen en op te lossen.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• REST API-referenties/-machtigingen: BitglassToken en BitglassServiceURL zijn vereist voor het maken van API-aanroepen.

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met de Azure Blob Storage API om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname en voor het opslaan van gegevens in Azure Blob Storage kosten. Raadpleeg de pagina Azure Functions prijzen en Azure Blob Storage pagina met prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze gegevensconnector is afhankelijk van een parser op basis van een Kusto-functie die werkt zoals verwacht Bitglass die is geïmplementeerd met de Microsoft Sentinel Solution.

STAP 1: configuratiestappen voor de Bitglass Log Retrieval-API

Volg de instructies om de referenties te verkrijgen.

1. Neem contact op met de ondersteuning van Bitglass en verkrijg de ntation BitglassToken en BitglassServiceURL ].
2. Sla referenties op voor gebruik in de gegevensconnector.

STAP 2: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de Bitglass-gegevensconnector implementeert, moet u beschikken over de werkruimte-id en primaire werkruimtesleutel (kan worden gekopieerd uit het volgende).

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor automatische implementatie van de Bitglass-gegevensconnector met behulp van een ARM-sjabloon.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

OPMERKING: Binnen dezelfde resourcegroep kunt u Windows en Linux apps in dezelfde regio niet combineren. Selecteer een bestaande resourcegroep zonder Windows-apps of maak een nieuwe resourcegroep. 3. Voer het BitglassToken, BitglassServiceURL in en implementeer. 4. Schakel het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden aan. 5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de Bitglass-gegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

1. Een functie-app implementeren

OPMERKING: U moet VS-code voorbereiden voor Azure functieontwikkeling.

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.

2. Start VS Code. Kies Bestand in het hoofdmenu en selecteer Map openen.

3. Selecteer de map op het hoogste niveau uit geëxtraheerde bestanden.

4. Kies het pictogram Azure op de activiteitsbalk en kies vervolgens in het gebied Azure: Functies de knop Implementeren naar functie-app. Als u nog niet bent aangemeld, kiest u het pictogram Azure in de activiteitsbalk en kiest u vervolgens in het gebied Azure: Functies de optie Aanmelden bij Azure Als u al bent aangemeld, gaat u naar de volgende stap.

5. Geef de volgende informatie op bij de prompts:

   a. Map selecteren: Kies een map in uw werkruimte of blader naar een map met uw functie-app.

   b. Selecteer Abonnement: Kies het abonnement dat u wilt gebruiken.

   c. Selecteer Nieuwe functie-app maken in Azure (kies niet de optie Geavanceerd)

   d. Voer een wereldwijd unieke naam in voor de functie-app: Typ een naam die geldig is in een URL-pad. De naam die u typt, wordt gevalideerd om ervoor te zorgen dat deze uniek is in Azure Functions. (bijvoorbeeld BitglassXXXXX).

   e. Selecteer een runtime: Kies Python 3.11.

   f. Selecteer een locatie voor nieuwe resources. Voor betere prestaties en lagere kosten kiest u dezelfde regio waar Microsoft Sentinel zich bevindt.

6. De implementatie wordt gestart. Er wordt een melding weergegeven nadat uw functie-app is gemaakt en het implementatiepakket is toegepast.

7. Ga naar Azure Portal voor de configuratie van de functie-app.

8. De functie-app configureren

9. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.

10. Selecteer op het tabblad Toepassingsinstellingen de optie Nieuwe toepassingsinstelling.

11. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende tekenreekswaarden (hoofdlettergevoelig): BitglassToken BitglassServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (optioneel)

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

4. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Bitwarden Inc

Deze connector biedt inzicht in de activiteit van uw Bitwarden-organisatie, zoals de activiteit van de gebruiker (aangemeld, gewijzigd wachtwoord, 2fa, enzovoort), coderingsactiviteit (gemaakt, bijgewerkt, verwijderd, gedeeld, enzovoort), verzamelingsactiviteit, organisatieactiviteit en meer.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Bitwarden-client-id en clientgeheim: uw API-sleutel vindt u in de beheerconsole van de Bitwarden-organisatie. Raadpleeg de Documentatie van Bitwarden voor meer informatie.

Installatie-instructies:

Bitwarden-gebeurtenislogboeken verbinden met Microsoft Sentinel

Uw API-sleutel vindt u in de beheerconsole van de Bitwarden-organisatie. Raadpleeg de Documentatie van Bitwarden voor meer informatie. Zelf-hostende Bitwarden-servers moeten mogelijk de URL van hun installatie opnieuw configureren.

• Bitwarden Identity URL: (https://identity.bitwarden.com)
• Bitwarden API-URL: (https://api.bitwarden.com)

Ondersteund door:blacklens.io-ondersteuning

Met de blacklens.io-gegevensconnector kunt u waarschuwingen van Surface Management voor aanvallen van blacklens.io opnemen in Microsoft Sentinel met behulp van een op webhook gebaseerde logische app en de Azure Monitor Logs Ingestion-API.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Azure abonnement: machtigingen voor inzender of eigenaar voor de resourcegroep zijn vereist voor het implementeren van de infrastructuur voor gegevensopname (eindpunt voor gegevensverzameling, regel voor gegevensverzameling, aangepaste tabel en logische app).
• blacklens.io-account: een blacklens.io-account met webhook-integratiemogelijkheden is vereist.

Installatie-instructies:

Stap 1: de infrastructuur voor gegevensopname implementeren

In deze stap worden de vereiste Azure resources geïmplementeerd: een eindpunt voor gegevensverzameling, een regel voor gegevensverzameling, een aangepaste Log Analytics-tabel (blacklens_CL) en een door webhook geactiveerde logische app.

1. Klik hieronder op de knop Implementeren naar Azure.

   portal.azure.com

2. Selecteer het abonnement, de resourcegroep en de locatie waar uw Microsoft Sentinel werkruimte zich bevindt.

3. Voer de werkruimtenaam van uw Log Analytics-werkruimte in.

4. Klik op Beoordelen en maken en vervolgens op Maken.

Stap 2: de url van de webhook kopiëren

1. Nadat de implementatie is voltooid, klikt u op het tabblad Uitvoer op de implementatiepagina.
2. Kopieer de waarde webhookUrl .

U kunt ook naar Overzicht van Logic Apps >la-blacklens-alert-log-ingestion> navigeren en de werkstroom-URL kopiëren.

Stap 3: blacklens.io configureren

1. Meld u aan bij de blacklens.io-portal.
2. Navigeer naar de webhook-integratie-instellingen.
3. Plak de url van de webhook die u in stap 2 hebt gekopieerd.
4. Sla de configuratie op.
5. Koppel de webhook-integratie aan ten minste één meldingsbeleid , zodat waarschuwingen naar de webhook worden verzonden.

Na een paar minuten wordt er een testincident weergegeven in Microsoft Sentinel.

Ondersteund door:Microsoft Corporation

De Box-gegevensconnector biedt de mogelijkheid om gebeurtenissen van Box Enterprise op te nemen in Microsoft Sentinel met behulp van de Box REST API. Raadpleeg de Box-documentatie voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor regels voor gegevensverzameling: Momenteel niet ondersteund

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• Box API-referenties: Box config JSON-bestand is vereist voor Box REST API JWT-verificatie. Zie JWT-verificatie voor meer informatie.

Installatie-instructies:

OPMERKING: Deze connector maakt gebruik van Azure Functions om verbinding te maken met de Box REST API om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

OPMERKING: Deze connector is afhankelijk van een parser op basis van kusto-functie om te werken zoals verwacht BoxEvents die wordt geïmplementeerd met de Microsoft Sentinel Solution.

STAP 1: configuratie van de Box-gebeurtenissenverzameling

Raadpleeg de documentatie voor het instellen van JWT-verificatie en het verkrijgen van een JSON-bestand met referenties.

STAP 2: kies EEN van de volgende twee implementatieopties om de connector en de bijbehorende Azure-functie te implementeren

BELANGRIJK: Voordat u de Box-gegevensconnector implementeert, hebt u de werkruimte-id en primaire sleutel van de werkruimte (kan worden gekopieerd uit de volgende opties), evenals het Box JSON-configuratiebestand, direct beschikbaar.

• Werkruimte-id: <variabele waarde opgegeven tijdens de installatie>
• Primaire sleutel: <variabele waarde opgegeven tijdens de installatie>

Optie 1: arm-sjabloon (Azure Resource Manager)

Gebruik deze methode voor geautomatiseerde implementatie van de Box-gegevensconnector met behulp van een ARM Tempate.

1. Klik hieronder op de knop Implementeren naar Azure.

   aka.ms

2. Selecteer het gewenste abonnement, de resourcegroep en de locatie.

3. Voer de AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON in

4. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.

5. Klik op Aanschaffen om te implementeren.

Optie 2: handmatige implementatie van Azure Functions

Gebruik de volgende stapsgewijze instructies om de Box-gegevensconnector handmatig te implementeren met Azure Functions (implementatie via Visual Studio Code).

Stap 1: een functie-app implementeren

1. Download het bestand Azure Functie-app. Pak het archief uit naar uw lokale ontwikkelcomputer.
2. Volg de handmatige implementatie-instructies voor de functie-app om de Azure Functions-app te implementeren met behulp van VSCode.
3. Nadat de implementatie van de functie-app is geslaagd, volgt u de volgende stappen voor het configureren ervan.

Stap 2: de functie-app configureren

1. Ga naar Azure Portal voor de configuratie van de functie-app.
2. Selecteer in de functie-app de naam van de functie-app en selecteer Configuratie.
3. Selecteer op het tabblad Toepassingsinstellingen de optie + Nieuwe toepassingsinstelling.
4. Voeg elk van de volgende toepassingsinstellingen afzonderlijk toe, met de bijbehorende tekenreekswaarden (hoofdlettergevoelig): AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri (optioneel)

• Gebruik logAnalyticsUri om het eindpunt van de Log Analytics-API voor de toegewezen cloud te overschrijven. Laat voor openbare cloud bijvoorbeeld de waarde leeg; geef voor Azure GovUS-cloudomgeving de waarde op in de volgende indeling: https://<CustomerId>.ods.opinsights.azure.us.

5. Zodra alle toepassingsinstellingen zijn ingevoerd, klikt u op Opslaan.

Ondersteund door:Microsoft Corporation

De Box-gegevensconnector biedt de mogelijkheid om gebeurtenissen van Box Enterprise op te nemen in Microsoft Sentinel met behulp van de Box REST API. Raadpleeg de Box-documentatie voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Box API-referenties: Box API vereist een Box App-client-id en clientgeheim om te verifiëren. Zie Clientreferenties verlenen voor meer informatie
• Box Enterprise ID: Box Enterprise ID is vereist om de verbinding te maken. Raadpleeg de documentatie om de Enterprise-id te vinden

Installatie-instructies:

OPMERKING: Deze connector maakt gebruik van Codeless Connecor Platform (CCF) om verbinding te maken met de Box REST API om logboeken op te halen in Microsoft Sentinel.

OPMERKING: Deze connector is afhankelijk van een parser op basis van kusto-functie om te werken zoals verwacht BoxEvents die wordt geïmplementeerd met de Microsoft Sentinel Solution.

STAP 1: Aangepaste Box-toepassing maken

Raadpleeg de documentatie voor het instellen van verificatie van clientreferenties

STAP 2: waarden voor client-id en clientgeheim ophalen

Mogelijk moet u 2FA instellen om het geheim op te halen.

STAP 3 - Grab Box Enterprise ID van Box Beheer Console

Raadpleeg de documentatie om de Enterprise-id te vinden

Verbinding maken met Box om te beginnen met het verzamelen van gebeurtenislogboeken naar Microsoft Sentinel

Geef hieronder de vereiste waarden op:

• Box Enterprise ID: (123456)

Ondersteund door:Check Point

Met de CloudGuard-gegevensconnector kunnen beveiligingsgebeurtenissen van de CloudGuard-API worden opgenomen in Microsoft Sentinel ™, met behulp van het Codeless Connector Framework van Microsoft Sentinel. De connector ondersteunt op DCR gebaseerde opnametijdtransformaties waarmee binnenkomende beveiligingsgebeurtenisgegevens in aangepaste kolommen worden geparseerd. Dit pre-parseringsproces elimineert de noodzaak van het parseren van query's, wat resulteert in verbeterde prestaties voor gegevensquery's.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• CloudGuard API-sleutel: raadpleeg de instructies hier voor het genereren van een API-sleutel.

Installatie-instructies:

CloudGuard-beveiligingsgebeurtenissen verbinden met Microsoft Sentinel

Als u de CloudGuard-connector voor Microsoft Sentinel wilt inschakelen, voert u de vereiste informatie hieronder in en selecteert u Verbinding maken.

• API-sleutel-id: (api_key)
• API-sleutelgeheim: (api_secret)
• Url van CloudGuard-eindpunt: (bijvoorbeeld https://api.dome9.com)
• Filter: (Filter plakken uit CloudGuard)
• Verbinding in-/uitschakelen

Ondersteund door:Cyberint

Cyberint, een Check Point bedrijf, biedt een Microsoft Sentinel integratie om kritieke waarschuwingen te stroomlijnen en verrijkte bedreigingsinformatie van de Infinity External Risk Management-oplossing in Microsoft Sentinel te brengen. Dit vereenvoudigt het proces van het bijhouden van de status van tickets met automatische synchronisatie-updates op verschillende systemen. Met deze nieuwe integratie voor Microsoft Sentinel kunnen bestaande cyberint- en Microsoft Sentinel-klanten eenvoudig logboeken op basis van de bevindingen van Cyberint in Microsoft Sentinel platform ophalen.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Check Point Cyberint API Key, Argos URL en Customer Name: De connector-API-sleutel, Argos-URL en Klantnaam zijn vereist

Installatie-instructies:

Checkpoint Cyberint-waarschuwingen verbinden met Microsoft Sentinel

Als u de connector wilt inschakelen, geeft u hieronder de vereiste informatie op en klikt u op Verbinding maken.

Argos-URL — Cyberint API-URL voor uw tenant (bijvoorbeeld https://your_tenant.cyberint.io) API-token — Cyberint API-toegangstoken Klantnaam — Bedrijfsnaam (client) die is gekoppeld aan uw Cyberint-exemplaaromgevingen — Door komma's gescheiden lijst met op te halen omgevingen. Als ze leeg zijn, worden alle omgevingen opgehaald.\n\nErnst : door komma's gescheiden lijst met ernst(laag, gemiddeld, hoog, very_high). Als dit leeg is, worden alle ernstwaarden opgehaald.\n\nPolling-interval : hoe vaak moet worden gepeild naar nieuwe waarschuwingen, in minuten (standaard: 5)\n\nCSV-bijlagen opnemen als JSON - Of CSV-bijlagen als JSON-inhoud moeten worden opgenomen in waarschuwingen (standaard: onwaar)

• Argos-URL: (https://your_tenant.cyberint.io)
• API-token: (Cyberint API-toegangstoken)
• Klantnaam: (bedrijfsnaam (client) die is gekoppeld aan uw Cyberint-exemplaar)
• Omgevingen: (door komma's gescheiden lijst (bijvoorbeeld productie, fasering))
• Ernst: (Door komma's gescheiden lijst (bijvoorbeeld laag,gemiddeld,hoog,very_high))
• Polling-interval (minuten): (pollfrequentie in minuten)
• CSV-bijlagen opnemen als JSON: (waar of onwaar)
• Verbinding in-/uitschakelen

Ondersteund door:Cyberint

Cyberint, een Check Point bedrijf, biedt een Microsoft Sentinel integratie om Indicators of Compromise (IOC's) van de Infinity External Risk Management-oplossing op te nemen in Microsoft Sentinel. Deze connector haalt automatisch de dagelijkse IOC-feed op, inclusief schadelijke IP-adressen, domeinen, URL's en bestands-hashes, verrijkt met bedreigingscontext zoals ernst, betrouwbaarheid en gedetecteerde activiteit.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Check Point Cyberint API Key, Argos URL en Customer Name: De connector-API-sleutel, Argos-URL en Klantnaam zijn vereist

Installatie-instructies:

Check Point Cyberint IOC-feed verbinden met Microsoft Sentinel

Als u de connector wilt inschakelen, geeft u hieronder de vereiste informatie op en klikt u op Verbinding maken.

Argos-URL — Cyberint API-URL voor uw tenant (bijvoorbeeld https://your_tenant.cyberint.io) API-token — Cyberint API-toegangstoken Klantnaam — Bedrijfsnaam (client) die is gekoppeld aan uw Cyberint-exemplaar

• Argos-URL: (https://your-company.cyberint.io)
• API-token: (API-token)
• Klantnaam: (bedrijfsnaam (client) die is gekoppeld aan uw Cyberint-exemplaar)
• Verbinding in-/uitschakelen

Ondersteund door:Microsoft Corporation

Met de Cisco ASA-firewallconnector kunt u eenvoudig uw Cisco ASA-logboeken verbinden met Microsoft Sentinel, dashboards weergeven, aangepaste waarschuwingen maken en onderzoek verbeteren. Dit geeft u meer inzicht in het netwerk van uw organisatie en verbetert uw beveiligingsmogelijkheden.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Als u gegevens van niet-Azure VM's wilt verzamelen, moet Azure Arc zijn geïnstalleerd en ingeschakeld. Meer informatie

Installatie-instructies:

Regel voor gegevensverzameling inschakelen

Cisco ASA/FTD-gebeurtenislogboeken worden alleen verzameld van Linux agents.

• Installatieagent: <variabele waarde opgegeven tijdens de installatie>

Voer de volgende opdracht uit om de Cisco ASA/FTD-collector te installeren en toe te passen:

• Waarde: <variabele waarde opgegeven tijdens de installatie>

Ondersteund door:Microsoft Corporation

Met de Cisco Cloud Security-oplossing voor Microsoft Sentinel kunt u Cisco Secure Access- en Cisco Umbrella-logboeken die zijn opgeslagen in Amazon S3 opnemen in Microsoft Sentinel met behulp van de Amazon S3 REST API. Raadpleeg de documentatie voor Cisco Cloud Security-logboekbeheer voor meer informatie.

Log Analytics-tabel(en):

Ondersteuning voor gegevensverzamelingsregel:Werkruimte transformeren DCR

Voorwaarden:

• Machtigingen voor Microsoft.Web/sites: lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Zie Azure Functions voor meer informatie.
• Amazon S3 REST API Referenties/machtigingen: AWS Access Key Id, AWS Secret Access Key, AWS S3 Bucket Name zijn vereist voor Amazon S3 REST API.

Installatie-instructies:

OPMERKING: Deze connector gebruikt Azure Functions om verbinding te maken met de Amazon S3 REST API om logboeken op te halen in Microsoft Sentinel. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met Azure Functions prijzen voor meer informatie.

OPMERKING: Deze connector is bijgewerkt om het Cisco Cloud Security-logboekschema versie 14 te ondersteunen.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure Functions-app.

OPMERKING: deze connector gebruikt een parser op basis van een Kusto-functie om velden te normaliseren. Volg deze stappen om de Kusto-functiealias te maken Cisco_Umbrella.