Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Microsoft Sentinel proporciona una amplia gama de conectores prediseñados para servicios de Azure y soluciones externas y también admite la ingesta de datos desde algunos orígenes sin un conector específico.
Si no puede conectar el origen de datos a Microsoft Sentinel mediante cualquiera de las soluciones existentes disponibles, considere la posibilidad de crear su propio conector de origen de datos.
Para obtener una lista completa de los conectores admitidos, consulte El conector de datos de Microsoft Sentinel).
Comparar métodos de conectores personalizados
En la tabla siguiente se comparan los detalles esenciales sobre cada método para crear conectores personalizados descritos en este artículo. Seleccione los vínculos de la tabla para obtener más detalles sobre cada método.
| Descripción del método | Capacidad | Sin servidor | Complejidad |
|---|---|---|---|
|
Marco de conector sin código (CCF) Lo mejor es que las audiencias menos técnicas creen conectores SaaS mediante un archivo de configuración en lugar de desarrollo avanzado. |
Admite todas las funcionalidades disponibles con el código. | Sí | Bajo; desarrollo simple y sin código |
|
agente de supervisión de Azure Mejor para recopilar archivos de orígenes locales e IaaS |
Recopilación de archivos, transformación de datos | No | Bajo |
|
Logstash Lo mejor para orígenes locales e IaaS, cualquier origen para el que esté disponible un complemento y las organizaciones que ya están familiarizados con Logstash |
Admite todas las funcionalidades del agente de supervisión de Azure | No; requiere que se ejecute una máquina virtual o un clúster de máquina virtual. | Bajo; admite muchos escenarios con complementos |
|
Logic Apps Alto costo; evitar para datos de gran volumen Mejor para orígenes de nube de bajo volumen |
La programación sin código permite una flexibilidad limitada, sin compatibilidad con la implementación de algoritmos. Si no hay ninguna acción disponible que ya admita sus requisitos, la creación de una acción personalizada puede agregar complejidad. |
Sí | Bajo; desarrollo simple y sin código |
|
API de ingesta de registros en Azure Monitor Lo mejor para los ISV que implementan la integración y para los requisitos de recopilación únicos |
Admite todas las funcionalidades disponibles con el código. | Depende de la implementación | Alto |
|
Funciones de Azure Mejor para orígenes de nube de gran volumen y para requisitos de recopilación únicos |
Admite todas las funcionalidades disponibles con el código. | Sí | Alto; requiere conocimientos de programación |
Sugerencia
Para ver comparaciones del uso de Logic Apps y Azure Functions para el mismo conector, consulte:
- Incorporar los registros de Fastly Web Application Firewall en Microsoft Sentinel
- Office 365 (comunidad de GitHub de Microsoft Sentinel): conector de Logic App | conector de Azure Function
Conéctese a Codeless Connector Framework
El Codeless Connector Framework (CCF) proporciona un archivo de configuración que puede ser utilizado tanto por los clientes como por los socios y, a continuación, implementado en su propio espacio de trabajo o como una solución en el centro de contenido de Microsoft Sentinel.
Los conectores creados con el CCF son totalmente SaaS, sin necesidad de instalar ningún servicio, e incluyen además supervisión del estado y soporte completo por parte de Microsoft Sentinel.
Para obtener más información, consulte Creación de un conector sin código para Microsoft Sentinel.
Conexión con el agente de Azure Monitor
Si el origen de datos entrega eventos en archivos de texto, se recomienda usar el agente de supervisión de Azure para crear el conector personalizado.
Para obtener más información, consulte Recopilación de registros de un archivo de texto con Azure Agente de Supervisión.
Para obtener un ejemplo de este método, consulte Recopilación de registros de un archivo JSON con Azure Agente de Supervisión.
Conexión con Logstash
Si está familiarizado con Logstash, es posible que desee usar Logstash con el complemento de salida de Logstash para Microsoft Sentinel para crear el conector personalizado.
Con el complemento de salida de Microsoft Sentinel Logstash, puede usar cualquier complemento de entrada y filtrado de Logstash, y configurar Microsoft Sentinel como salida para una canalización de Logstash. Logstash tiene una gran biblioteca de complementos que permiten la entrada de varios orígenes, como Event Hubs, Apache Kafka, Files, Bases de datos y servicios en la nube. Use complementos de filtrado para analizar eventos, filtrar eventos innecesarios, ofuscar valores, etc.
Para obtener ejemplos de uso de Logstash como conector personalizado, consulte:
- Búsqueda de tácticas, técnicas y procedimientos (TTP) de vulneraciones de Capital One en los registros de AWS con Microsoft Sentinel (blog)
- Guía de implementación de Radware Microsoft Sentinel
Para obtener ejemplos de complementos útiles de Logstash, consulte:
- Complemento de entrada de Cloudwatch
- complemento de Azure Event Hubs
- Complemento de entrada de Google Cloud Storage
- plugin de entrada de Google_pubsub
Sugerencia
Logstash también permite la recopilación de datos escalados mediante un clúster. Para obtener más información, consulte Uso de una máquina virtual de Logstash con equilibrio de carga a escala.
Conexión con Logic Apps
Use Azure Logic Apps para crear un conector personalizado sin servidor para Microsoft Sentinel.
Nota:
Aunque crear conectores sin servidor con Logic Apps puede resultar conveniente, usar Logic Apps para sus conectores puede resultar costoso cuando se manejan grandes volúmenes de datos.
Recomendamos que utilice este método solo para fuentes de datos de bajo volumen o para enriquecer sus cargas de datos.
Use uno de los siguientes desencadenadores para iniciar Logic Apps:
Desencadenador Descripción Una tarea periódica Por ejemplo, programe la aplicación lógica para recuperar datos periódicamente de archivos, bases de datos o API externas específicos.
Para obtener más información, consulte Creación, programación y ejecución de tareas y flujos de trabajo periódicos en Azure Logic Apps.Desencadenamiento a petición Ejecute la aplicación lógica a petición para la recopilación y las pruebas manuales de datos.
Para obtener más información, consulte Llamar, desencadenar o anidar aplicaciones lógicas mediante puntos de conexión HTTPS.Punto de conexión HTTP/S Se recomienda para el streaming y si el sistema de origen puede iniciar la transferencia de datos.
Para obtener más información, consulte Llamar a los puntos de conexión del servicio a través de HTTP o HTTPS.Use cualquiera de los conectores de Logic Apps que leen la información para obtener los eventos. Por ejemplo:
Sugerencia
Los conectores personalizados para las API REST, los servidores SQL Server y los sistemas de archivos también admiten la recuperación de datos de orígenes de datos locales. Para obtener más información, consulte La documentación sobre la instalación de la puerta de enlace de datos local .
Prepare la información que desea recuperar.
Por ejemplo, utilice la acción «Analizar JSON» para acceder a las propiedades de contenido JSON, lo que le permite seleccionar esas propiedades de la lista de contenido dinámico al especificar los datos de entrada para su aplicación lógica.
Para obtener más información, vea Realizar operaciones de datos en Azure Logic Apps.
Escriba los datos en Log Analytics.
Para obtener más información, consulte la documentación del recopilador de datos de Azure Log Analytics.
Para obtener ejemplos de cómo puede crear un conector personalizado para Microsoft Sentinel mediante Logic Apps, consulte:
- Creación de una canalización de datos con data collector API
- Conector Logic App para Prisma de Palo Alto mediante un webhook (comunidad de Microsoft Sentinel en GitHub)
- Protección de las llamadas de Microsoft Teams con activación programada (blog)
- Incorporación de indicadores de amenazas de AlienVault OTX en Microsoft Sentinel (blog)
Conectar con la API de ingesta de registros
Puede transmitir eventos a Microsoft Sentinel mediante la API del recopilador de datos de Log Analytics para llamar directamente a un punto de conexión RESTful.
Aunque llamar directamente a un punto de conexión RESTful requiere más programación, también proporciona más flexibilidad.
Para más información, consulte los siguientes artículos:
- API de ingesta de registros en Azure Monitor.
- Código de ejemplo para enviar datos a Azure Monitor mediante la API de ingesta de registros.
Conexión con Azure Functions
Use Azure Functions junto con una API RESTful y varios lenguajes de codificación, como PowerShell, para crear un conector personalizado sin servidor.
Para obtener ejemplos de este método, consulte:
- Conecte VMware Carbon Black Cloud Endpoint Standard a Microsoft Sentinel mediante Azure Function
- Conecte el Sign-On único de Okta a Microsoft Sentinel con la función Azure
- Conecte su Proofpoint TAP a Microsoft Sentinel con Azure Functions
- Conexión de la máquina virtual de Qualys a Microsoft Sentinel con Azure Function
- Ingesta de XML, CSV u otros formatos de datos
- Supervisión del zoom con Microsoft Sentinel (blog)
- Implementación de una aplicación de funciones para obtener datos de Office 365 Management API en Microsoft Sentinel (Microsoft Sentinel comunidad de GitHub)
Análisis de los datos del conector personalizado
Para aprovechar los datos recopilados con el conector personalizado, desarrolle analizadores del modelo de información de seguridad avanzada (ASIM) para trabajar con el conector. El uso de ASIM permite que el contenido integrado de Microsoft Sentinel use los datos personalizados y facilita a los analistas consultar los datos.
Si el método del conector lo permite, puede implementar parte del análisis sintáctico en el propio conector para mejorar el rendimiento del análisis sintáctico en tiempo de consulta:
- Si ha usado Logstash, use el complemento de filtro Grok para analizar los datos.
- Si ha usado una función de Azure, analice los datos con código.
Todavía tendrá que implementar analizadores de ASIM, pero la implementación de parte del análisis directamente con el conector simplifica el análisis y mejora el rendimiento.
Pasos siguientes
Use los datos ingeridos en Microsoft Sentinel para proteger el entorno con cualquiera de los procesos siguientes: