Pris en charge par :1Password

La solution 1Password pour Microsoft Sentinel vous permet d’ingérer des tentatives de connexion, d’utiliser des éléments et d’auditer des événements à partir de votre compte 1Password Business à l’aide de l’API 1Password Events Reporting. Cela vous permet de surveiller et d’examiner les événements dans 1Password dans Microsoft Sentinel ainsi que les autres applications et services que votre organization utilise.

Technologies Microsoft sous-jacentes utilisées :

Cette solution dépend des technologies suivantes, dont certaines peuvent être en préversion ou entraîner des coûts d’ingestion ou d’exploitation supplémentaires :

• Azure Functions

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• 1 Jeton d’API d’événementspassword : un jeton d’API 1Password Events est requis. Pour plus d’informations, consultez l’API 1Password.

Note: Un compte 1Password Business est requis

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à 1Password afin d’extraire les journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires à partir de Azure. Pour plus d’informations, consultez la page de tarification Azure Functions.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application de fonction Azure.

ÉTAPE 1 : Étapes de configuration de l’API 1Password Events Reporting

Suivez ces instructions fournies par 1Password pour obtenir un jeton d’API de rapport d’événements. Note: Un compte 1Password Business est requis

ÉTAPE 2 - Déployer la fonctionApp à l’aide du bouton DeployToAzure pour créer la table, dcr et la fonction Azure associée

IMPORTANT: Avant de déployer le connecteur 1Password, une table personnalisée doit être créée.

Option 1 : modèle Azure Resource Manager (ARM)

Cette méthode fournit un déploiement automatisé du connecteur 1Password à l’aide d’un tempate ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

3. Entrez le nom de l’espace de travail, le nom de l’espace de travail, la clé API 1Password Events et l’URI.

• L’intervalle de temps par défaut est défini sur cinq (5) minutes. Si vous souhaitez modifier l’intervalle, vous pouvez ajuster le déclencheur du minuteur de l’application de fonction en conséquence (dans le fichier function.json, après le déploiement) pour éviter le chevauchement de l’ingestion des données.
• Remarque : Si vous utilisez Azure Key Vault secrets pour l’une des valeurs ci-dessus, utilisez le@Microsoft.KeyVault(SecretUri={Security Identifier})schéma à la place des valeurs de chaîne. Pour plus d’informations, reportez-vous à Key Vault documentation de référence.

4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.
5. Cliquez sur Acheter pour déployer.

Pris en charge par :1Password

Le connecteur CCF 1Password permet à l’utilisateur d’ingérer les événements 1Password Audit, Signin & ItemUsage dans Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Jeton d’API 1Password : un jeton d’API 1Password est requis. Consultez la documentation 1Password sur la création d’un jeton d’API.

Instructions d’installation :

ÉTAPE 1 : Créer un jeton d’API 1Password :

Suivez la documentation 1Password pour obtenir des conseils sur cette étape.

ÉTAPE 2 : choisissez l’URL de base appropriée :

Plusieurs serveurs 1Password peuvent héberger vos événements. Le serveur approprié dépend de votre licence et de votre région. Suivez la documentation 1Password pour choisir le serveur approprié. Entrez l’URL de base telle qu’elle apparaît dans la documentation (y compris « https:// » et sans « / » de fin).

ÉTAPE 3 : entrez votre mot de passe 1 Détails :

Entrez l’URL de base 1Password & jeton d’API ci-dessous :

• URL de base : (entrez votre URL de base)
• Jeton d’API : (Entrez votre jeton d’API)
• Activer/désactiver la connexion

Pris en charge par :Microsoft Corporation

Connecte la protection API 42Crunch à Microsoft Sentinel via l’interface API REST Azure Monitor DCE/DCR. L’intégration utilise des conteneurs Docker (API Firewall et Log Forwarder) pour transmettre les journaux de trafic API à Microsoft Sentinel pour la détection et l’analyse des menaces.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Microsoft. Insights/dataCollectionEndpoints : Data Collection Endpoint est nécessaire pour que le connecteur push moderne puisse recevoir les données du système de sécurité externe.
• Microsoft. Insights/dataCollectionRules : La règle de collecte de données est nécessaire pour définir le schéma et les transformations des données entrantes.
• Microsoft. Autorisations/rôleAssignations : L’attribution de rôle est requise pour accorder à l’application Entra les autorisations d’envoyer des données à la règle de collecte de données.
• Exigence du pare-feu API 42Crunch : Les conteneurs Docker Firewall et Log Forwarder de l’API 42Crunch doivent être déployés et en fonctionnement. Obtenez votre jeton de pare-feu API (42C_FIREWALL_TOKEN) et l’URL de la plateforme (42C_PLATFORM_URL) auprès de la plateforme 42Crunch à https://platform.42crunch.com. Les instructions de déploiement complet sont disponibles à https://github.com/42Crunch/azure-sentinel-integration.

Instructions d’installation :

1. Créer des ressources ARM et fournir les autorisations requises

Ce connecteur reçoit les données de systèmes de sécurité externes qui envoient les journaux vers Microsoft Sentinel. Le système externe doit être configuré pour envoyer les données brutes d’événements à l’API d’ingestion Microsoft Sentinel. Cliquer sur Déploiement déclenchera la création de tables Log Analytics et d’une règle de collecte de données (DCR). Il crée ensuite une application Entra, lie la DCR à celle-ci et définit le secret entré dans l’application. Cette configuration permet l’envoi sécurisé des données à la DCR à l’aide d’un jeton Entra.

En savoir plus sur le processus de configuration des connecteurs

Azure Resource Deployment

Le processus de déploiement créera les ressources suivantes :

• Table(s) personnalisé(s) de Log Analytics
• Point de terminaison de collecte de données (DCE)
• Règle de collecte de données (DCR)
• Inscription à la demande Entra ID
• Assignations de rôles pour l’ingestion de données

Valeurs de configuration

Après le déploiement, copiez les valeurs suivantes pour configurer votre système de sécurité externe :

• ID de locataire (ID d’annuaire) : <valeur de variable fournie au moment de l’installation>
• ID d’application d’inscription d’application Entra : <valeur de variable fournie au moment de l’installation>
• Entra Secret d’inscription d’application : <valeur de variable fournie au moment de l’installation>
• URL de point de terminaison de collecte de données : <valeur variable fournie au moment de l’installation>
• ID immuable de la règle de collecte de données : <valeur de variable fournie au moment de l’installation>
• Nom du flux (FortyTwoCrunchAPIProtectionV2) : <valeur variable fournie au moment de l’installation>

Note : Gardez ces valeurs sécurisées. Vous en aurez besoin pour configurer votre système de sécurité externe.

2. Configurez votre système externe pour envoyer des journaux

Utilisez les paramètres suivants pour configurer votre système de sécurité externe afin qu’il envoie les journaux à l’espace de travail.

Étapes de configuration

1. Accédez à l’interface de configuration de votre système de sécurité externe.
2. Naviguez dans les paramètres de transfert de données, d’intégration ou de SIEM.
3. Sélectionnez Azure Monitor ou Microsoft Sentinel comme destination.
4. Sélectionnez Data Collection Endpoint comme méthode d’authentification.
5. Configurez les champs requis en utilisant les valeurs de l’étape précédente :
   • ID locataire : Copie ci-dessus
   • ID Application (Client) : Copie ci-dessus
   • Secret client : copie de ci-dessus
   • Terminaison de collecte de données : Copier depuis ci-dessus
   • ID immuable de la règle de collecte de données : Copie ci-dessus
   • Nom du cours d’eau : Copiez le nom approprié du cours d’eau ci-dessus
6. Sauvegardez la configuration et activez/démarrez le transiteur.

Validation

Remarque : Les données apparaîtront dans le tableau FortyTwoCrunchAPIProtectionV2 de votre espace de travail Log Analytics dans quelques minutes.

Pour vérifier que les données sont reçues, effectuez la requête suivante dans votre espace de travail Log Analytics :

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Résolution des problèmes

Si les données n’apparaissent pas :

• Vérifiez que les valeurs de configuration sont correctes

• Vérifiez que le transiteur/l’intégration est activé et fonctionne

• Vérifiez les journaux de votre système de sécurité externe pour détecter toute erreur

• Assurez-vous de la connectivité réseau de votre système à Azure

• Vérifiez que l’application Entra dispose des autorisations appropriées

  Après le déploiement des ressources Azure, configurez le conteneur Docker 42Crunch Log Forwarder pour envoyer les données aux terminaux DCE/DCR déployés au lieu de l’ancienne API HTTP Data Collector.

Mise à jour des variables d’environnement Docker Compose / Helm Chart

Note : Cette étape s’applique si vous avez déjà un déploiement 42Crunch Log Forwarder existant utilisant l’ancienne API HTTP Data Collector. Migrez-le en remplaçant les variables héritées WORKSPACE_ID et WORKSPACE_KEY d’environnement par la nouvelle configuration DCE/DCR :

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

Note : Si vous n’avez pas de déploiement Docker existant ou souhaitez suivre un exemple, suivez les étapes ci-dessous.

1. Téléchargez l’exemple de déploiement

Téléchargez le sample-deployment dossier depuis le dépôt Azure-Sentinel. Il contient le docker-compose.yml, .env.example, et le redirection de journal utilisé pour envoyer les données à Microsoft Sentinel.

2. Créez votre .env fichier

Copiez .env.example vers .env et remplissez vos valeurs avant d’exécuter docker compose up.

• Par défaut, cet échantillon fonctionne en mode en ligne et nécessite un jeton de plateforme 42Crunch.
• Pour fonctionner en mode hors ligne (sans jeton requis), définissez PROTECTION_TOKEN=NOTUSED et retirez vos commentaires PLATFORM_CONNECTIVITY=NONE dans docker-compose.yml.

SÉCURITÉ : Ne mettez PASCLIENT_SECRET dans le .env dossier. Passe-le plutôt comme une variable d’environnement du shell. Docker Compose fusionne automatiquement les variables d’environnement du shell avec le .env fichier.

PowerShell
$env:CLIENT_SECRET = (Read-Host -Prompt "CLIENT_SECRET" -AsSecureString | ConvertFrom-SecureString -AsPlainText)
docker compose up --build

Bash/Linux
read -rs CLIENT_SECRET && export CLIENT_SECRET
docker compose up --build

3. Obtenez votre jeton de protection 42Crunch

D’après la plateforme 42Crunch (platform.42crunch.com) :

• Mode en ligne : obtenez le jeton de Protect > your API >> Protection Firewall Instances Add > instance.

• Mode hors ligne (sans compte plateforme) : définir PROTECTION_TOKEN=NOTUSED et retirer les commentaires PLATFORM_CONNECTIVITY=NONE dans docker-compose.yml.

  L’URL du point de terminaison DCE et l’ID immuable du DCR sont affichés après le déploiement des ressources ARM à l’étape 1. Pour tous les détails de configuration, consultez la documentation d’intégration Microsoft Sentinel de 42Crunch.

  Pour un guide complet de migration, consultez le Guide de migration de la protection de l’API 42Crunch.

Important : Statut de la connexion

Il s’agit d’un connecteur basé sur push – il reçoit les données du 42Crunch Log Forwarder et ne maintient pas de connexion de polling active. Le connecteur apparaît comme Connecté lorsque les données ont été reçues au cours des 7 derniers jours.

Désinstaller le connecteur

Suivez ces étapes pour déconnecter et supprimer l’instance du connecteur.

Supprimer l’instance du connecteur

1. Pour déconnecter le connecteur et révoquer son accès, sélectionnez le bouton Révoquer accès .
2. Retournez à la page des connecteurs de données, sélectionnez le menu de débordement du connecteur (les trois points), puis choisissez Supprimer pour supprimer l’instance du connecteur.
3. Accédez au Centre de Contenu, localisez la solution correspondante et supprimez-la pour compléter la suppression.

Cela supprime l’instance du connecteur push. Les données historiques dans votre espace de travail Log Analytics seront conservées.

Pris en charge par :Anorm security

Le connecteur Abnormal Security envoie des événements de sécurité en temps réel (menaces, cas, journaux d'audit, rapports de boîtes aux lettres d'abus, changements de posture, cas ATO, corrections et cas de fournisseurs) depuis la plateforme cloud de sécurité des emails d'Abnormal vers Microsoft Sentinel en utilisant le patron Push du Codeless Connector Framework (CCF). Les événements sont acheminés vers des tables par type d’événement correspondant à la convention de nommage des connecteurs hérités, permettant une migration fluide.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Microsoft Entra : autorisation de créer une inscription d’application dans Microsoft Entra ID. En règle générale, nécessite Entra id du rôle Développeur d’applications ou supérieur.
• Microsoft Azure : autorisation d’attribuer le rôle d’éditeur de métriques de surveillance sur la règle de collecte de données (DCR). Nécessite généralement Azure rôle Propriétaire RBAC ou Administrateur de l’accès utilisateur.
• Sécurité anormale : Abonnement actif à Sécurité anormale avec accès aux paramètres d’intégration SIEM.

Instructions d’installation :

1. Déployer des ressources de connecteur

Ce connecteur permet à Abnormal Security de transmettre des événements de sécurité en temps réel directement vers Microsoft Sentinel via l’API d’ingestion Azure Monitor.

Configuration automatisée : Cliquer sur le déploiement créera :

• 9 tables de journalisation personnalisées pour le routage par événement
• Règle de collecte de données (DCR) avec 9 flux
• Endpoint de collecte de données (DCE) pour l’ingestion
• Application Microsoft Entra avec identifiants OAuth
• Attributions obligatoires de rôles IAM (Monitoring Metrics Publisher)

Cela permet à Abnormal Security de pousser des événements en toute sécurité à l’aide des identifiants client OAuth 2.0.

2. Configurer la sécurité anormale

Utilisez les paramètres suivants pour configurer l’intégration Microsoft Sentinel dans le portail de sécurité anormal.

• ID de locataire (ID d’annuaire) : <valeur de variable fournie au moment de l’installation>
• ID d’application (client) : <valeur de variable fournie au moment de l’installation>
• Clé secrète client : <valeur de variable fournie au moment de l’installation>
• URI du point de terminaison de collecte de données : <valeur de variable fournie au moment de l’installation>
• Règle de collecte de données ID immutable : <valeur variable fournie au moment> de l’installation Configurer dans un portail de sécurité anormal

1. Connectez-vous au portail de sécurité anormal
2. Naviguer vers Paramètres > Intégrations > SIEM
3. Select Microsoft Sentinel (Azure Monitor CCF)
4. Entrez les 7 valeurs ci-dessus
5. Cliquez sur Vérifier les identifiants pour tester la connexion
6. Cliquez sur Enregistrer et Activer l’intégration Routage multi-table : Les événements sont automatiquement acheminés vers des tables par type d’événement (par exemple, journaux de menaces → ABNORMAL_SECURITY_THREAT_LOG_CL, cas → ABNORMAL_SECURITY_CASE_CL). Les types d’événements inconnus vont à la table ABNORMAL_SECURITY_LOGS_CLde secours.

3. Vérifier l’ingestion des données

Confirmez que les événements passent de la Sécurité Anormale à la Sentinelle.

Attendez 5 à 10 minutes après avoir activé l’intégration, puis lancez cette requête KQL :

Union ABNORMAL_SECURITY_THREAT_LOG_CL, ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | où TimeGenerated > ago(1h) | extend event_type = tostring(abx_metadata.event_type) | résumer count() par event_type | ordre par count_ desc

Si aucune donnée n’apparaît après 15 minutes, vérifiez les identifiants dans le portail de sécurité anormal et vérifiez Azure Monitor pour détecter des erreurs d’ingestion.

Pris en charge par :Anorm security

Le connecteur de données De sécurité anormale permet d’ingérer des journaux de menace et de cas dans Microsoft Sentinel à l’aide de l’API REST de sécurité anormale.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Jeton de API de sécurité anormal : un jeton de API de sécurité anormal est requis. Pour plus d’informations, consultez API de sécurité anormaux. Note: Un compte de sécurité anormal est requis

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API REST d’Une sécurité anormale afin d’extraire les journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

ÉTAPE 1 : Étapes de configuration de la API de sécurité anormale

Suivez ces instructions fournies par La sécurité anormale pour configurer l’intégration de l’API REST. Note: Un compte de sécurité anormal est requis

ÉTAPE 2 : choisissez l’une des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT: Avant de déployer le connecteur de données De sécurité anormale, disposez de l’ID d’espace de travail et de la clé primaire de l’espace de travail (qui peuvent être copiés à partir de ce qui suit), ainsi que du jeton d’autorisation d’API de sécurité anormal.

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Option 1 : modèle Azure Resource Manager (ARM)

Cette méthode fournit un déploiement automatisé du connecteur Sécurité anormale à l’aide d’un modèle ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

3. Entrez l’ID de l’espace de travail Microsoft Sentinel, Microsoft Sentinel clé partagée et la clé API REST de sécurité anormale.

• L’intervalle de temps par défaut est défini pour extraire les cinq (5) dernières minutes de données. Si l’intervalle de temps doit être modifié, il est recommandé de modifier le déclencheur du minuteur de l’application de fonction en conséquence (dans le fichier function.json, après le déploiement) pour empêcher l’ingestion des données qui se chevauchent.

4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.
5. Cliquez sur Acheter pour déployer.

Option 2 - Déploiement manuel de Azure Functions

Utilisez les instructions pas à pas suivantes pour déployer manuellement le connecteur de données De sécurité anormale avec Azure Functions (Déploiement via Visual Studio Code).

1. Déployer une application de fonction

NOTE: Vous devez préparer VS Code pour Azure développement de fonctions.

1. Téléchargez le fichier d’application de fonction Azure. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur à partir des fichiers extraits.

4. Choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur l’application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure Si vous êtes déjà connecté, passez à l’étape suivante.

5. Fournissez les informations suivantes aux invites :

   a. Sélectionnez le dossier : Choisissez un dossier dans votre espace de travail ou accédez à celui qui contient votre application de fonction.

   b. Sélectionnez Abonnement : Choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (Ne choisissez pas l’option Avancé)

   d. Entrez un nom global unique pour l’application de fonction : Tapez un nom valide dans un chemin d’URL. Le nom que vous tapez est validé pour vous assurer qu’il est unique dans Azure Functions. (par exemple, AbnormalSecurityXX).

   e. Sélectionnez un runtime : Choisissez Python 3.11.

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après la création de votre application de fonction et l’application du package de déploiement.

7. Accédez au portail Azure pour la configuration de l’application de fonction.

8. Configurer l’application de fonction

9. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

10. Sous l’onglet Paramètres de l’application, sélectionnez + Nouveau paramètre d’application.

11. Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (respectant la casse) : SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (facultatif) (ajoutez tous les autres paramètres requis par l’application de fonction) Définissez la uri valeur sur : <add uri value>

Remarque : Si vous utilisez Azure Key Vault secrets pour l’une des valeurs ci-dessus, utilisez le@Microsoft.KeyVault(SecretUri={Security Identifier})schéma à la place des valeurs de chaîne. Pour plus d’informations, reportez-vous à Azure Key Vault documentation de référence.

• Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide ; pour Azure environnement cloud GovUS, spécifiez la valeur au format suivant :https://<CustomerId>.ods.opinsights.azure.us.

4. Une fois que tous les paramètres d’application ont été entrés, cliquez sur Enregistrer.

Pris en charge par :Microsoft Corporation

Agent 365 connecteur de données fournit des informations plus détaillées sur l’activité de l’agent IA en intégrant les données de télémétrie de l’agent IA à partir de Agent 365, AI Foundry et Copilot dans le lac de données Microsoft Sentinel pour examiner le comportement de l’agent, l’utilisation des outils et l’exécution avec des workflows de repérage, de graphique et mcp. Les données de ce connecteur sont utilisées pour examiner le comportement, l’utilisation et l’exécution de l’agent IA dans Microsoft Sentinel. Si vous avez activé ces flux de travail, la désactivation de ce connecteur empêche ces investigations d’être effectuées.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Instructions d’installation :

Pris en charge par :Airlock Digital

Le connecteur SaaS numérique Airlock extrait périodiquement l’historique d’exécution et les journaux d’activité des serveurs depuis l’API SaaS numérique Airlock, authentifiant avec une clé API utilisateur ainsi que vos identifiants de dossier et de locataire. Il s’agit du connecteur de sondage pour l’offre SaaS hébergée d’Airlock Digital, et il ne collecte pas les journaux de changement de politique. Pour les serveurs auto-hébergés ou Airlock Digital SaaS fonctionnant sous la version 7.0 ou supérieure, le connecteur Airlock Digital (Push) diffuse les événements en quasi temps réel et collecte également les changements de politique. Pour les serveurs auto-hébergés antérieurs à la version 7.0, utilisez le connecteur Airlock Digital (Poll).

REMARQUE : Utilisez un connecteur par serveur Airlock Digital. Si le même serveur est collecté par plusieurs connecteurs Airlock Digital, des données dupliquées sont remplies dans les tableaux.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Identifiants de l’API SaaS Airlock Digital : Une clé API utilisateur, un identifiant d’annuaire et un identifiant de locataire pour votre instance SaaS Airlock Digital.

Instructions d’installation :

Configurer l’accès à l’API numérique SaaS du sas

Configurez l’accès à l’API dans votre locataire SaaS Digital Airlock avant de vous connecter.

L’URL de votre serveur vient de l’adresse de votre portail : prenez https://portal.au.YourDomain.com/tenant/XYZ/dashboard et supprimez le portal. préfixe ainsi que tout ce qui suit le domaine de premier niveau, en laissant https://au.YourDomain.com.

La clé API utilisateur, l’identifiant de répertoire et l’identifiant locataire sont dans Airlock Digital dans le menu > utilisateur Mon profil.

Les journaux sont consultés toutes les cinq minutes.

Connectez des instances numériques SaaS Airlock à Microsoft Sentinel

Ce connecteur prend en charge plusieurs connexions simultanées. Ajouter une connexion par instance SaaS Digital Airlock ; chaque connexion intègre en parallèle les types de données sélectionnés. Utilisez la grille ci-dessous pour examiner les connexions existantes ou en ajouter une nouvelle.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Airlock Digital

Le connecteur Airlock DigitalPoll extrait périodiquement l’historique d’exécution et les journaux d’activité des serveurs depuis l’API REST d’un serveur Airlock Digital auto-hébergé, en s’authentifiant avec une clé API utilisateur. Il est destiné aux serveurs antérieurs à la version 7.0 qui ne supportent pas la journalisation basée sur le push, et il ne collecte pas de journaux de modification de politique. Pour les serveurs auto-hébergés ou Airlock Digital SaaS fonctionnant sous la v7.0 ou plus, le connecteur Airlock Digital (Push) diffuse les événements en quasi temps réel ; pour Airlock Digital SaaS, le connecteur Airlock Digital (Poll - SaaS) est également disponible.

REMARQUE : Utilisez un connecteur par serveur Airlock Digital. Si le même serveur est collecté par plusieurs connecteurs Airlock Digital, des données dupliquées sont remplies dans les tableaux.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Clé API Airlock Digital : Une clé API pour votre serveur Airlock Digital.

Instructions d’installation :

Configurer l’accès à l’API numérique Airlock

Configurez l’accès à l’API sur votre serveur Airlock Digital avant de vous connecter.

L’API REST d’Airlock Digital écoute par défaut le port 3129, donc l’URL de votre serveur ressemble à https://airlock.company.com:3129. Le serveur doit être joignable depuis Azure.

Créez une clé API dans Airlock Digital sous le menu > utilisateur Mon profil > clés API.

Les journaux sont consultés toutes les cinq minutes.

Connectez les serveurs Airlock Digital à Microsoft Sentinel

Ce connecteur prend en charge plusieurs connexions simultanées. Ajouter une connexion par serveur Airlock Digital ; chaque connexion ingère en parallèle les types de données sélectionnés. Utilisez la grille ci-dessous pour examiner les connexions existantes ou en ajouter une nouvelle.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Airlock Digital

Le connecteur Airlock DigitalPush diffuse l’historique d’exécution, l’activité des serveurs et les journaux de changements de politique dans Microsoft Sentinel en quasi-temps réel. Il prend en charge à la fois les serveurs auto-hébergés et le SaaS numérique Airlock fonctionnant sous la version 7.0 ou supérieure. Les événements sont envoyés par la fonction de journalisation externe d'Airlock au fur et à mesure, il n'y a donc pas de délai de sondage, et l'authentification utilise une application Microsoft Entra. C’est le connecteur recommandé pour Airlock Digital v7.0 et versions supérieures. Pour les serveurs auto-hébergés antérieurs à la version 7.0, utilisez le connecteur Airlock Digital (Poll).

REMARQUE : Utilisez un connecteur par serveur Airlock Digital. Si le même serveur est collecté par plusieurs connecteurs Airlock Digital, des données dupliquées sont remplies dans les tableaux.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Microsoft Entra : autorisation de créer une inscription d’application dans Microsoft Entra ID. Cela nécessite généralement le rôle de développeur d’applications ou plus.
• Microsoft Azure : Permission d’attribuer le rôle Monitoring Metrics Publisher à la règle de collecte de données. Cela nécessite généralement un propriétaire ou un administrateur d’accès utilisateur.

Instructions d’installation :

1. Déploiement des ressources push

Cette étape prévoit la règle de collecte de données, la table personnalisée et l’application Microsoft Entra que Airlock utilise pour envoyer les journaux dans Microsoft Sentinel.

Note : Le secret du client n’est jamais stocké. Elle n’apparaît qu’une seule fois, juste après avoir sélectionné Déploiement, et la page du connecteur peut la supprimer en quelques secondes, donc utilisez l’icône de copier à côté du champ pour la copier immédiatement. Si vous le manquez, ouvrez Microsoft Entra ID inscriptions d'applications, sélectionnez l’application nommée Airlock Digital Log Push OAuth, allez dans Certificats & secrets, créez un nouveau secret client, et copiez sa valeur. Là, il reste visible jusqu’à ce que vous quittiez cette page.

2. Configurer la journalisation externe du sas

Sur votre serveur Airlock Digital, allez dans Paramètres > Journalisation > externe et ajoutez un récepteur journal Microsoft Sentinel CEF - HTTP(S) en utilisant les valeurs ci-dessous.

• ID de locataire : <valeur de variable fournie au moment de l’installation>
• ID d’application (client) : <valeur de variable fournie au moment de l’installation>
• Clé secrète client : <valeur de variable fournie au moment de l’installation>
• URI du point de terminaison de collecte de données : <valeur de variable fournie au moment de l’installation>
• ID immuable DCR : <valeur de variable fournie au moment de l’installation>
• nom de Stream : <valeur de variable fournie au moment de l’installation>

Pris en charge par :Microsoft Corporation

Le connecteur Airlock Digital collecte les journaux d’exécution et de contrôle d’application à partir de votre serveur Airlock Digital, ce qui fournit une visibilité sur les exécutions de fichiers, les activités du serveur et les résumés d’événements de sécurité dans Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Clé API numérique airlock : clé API avec accès en lecture aux points de terminaison de journalisation. Générer à partir de l’interface utilisateur web numérique airlock : clés API Paramètres > du menu > utilisateur.

Instructions d’installation :

1. Configurer l’accès à l’API numérique airlock

Fournir les détails de connexion d’API pour Airlock Digital

Avant de commencer :

• Accès à votre serveur Airlock Digital
• Clé API à partir d’Airlock Digital (touches API Paramètres > du menu > utilisateur)
• Le serveur doit être accessible à partir de Azure (vérifiez que le pare-feu autorise les connexions)

URL de base : Entrez l’URL de votre serveur Airlock Digital. Le port par défaut est 3129 pour l’API REST. Exemple : https://airlock.company.com:3129

Le connecteur collecte :

• Activités du serveur : actions administratives, modifications de stratégie, archivages de l’agent et mises à jour du référentiel
• Historiques d’exécution : événements d’exécution de fichiers, notamment les exécutions bloquées, auditées et approuvées avec des hachages de fichiers, des éditeurs et des détails utilisateur
• Résumé de l’activité de fichier : statistiques agrégées sur l’activité des fichiers, les événements de sécurité et l’actualisation des tendances d’exécution : Les journaux sont récupérés toutes les 5 minutes. Les données doivent apparaître dans les 5 à 10 minutes après la connexion.

2. Connecter les serveurs Airlock Digital à Microsoft Sentinel

Ce connecteur prend en charge plusieurs connexions simultanées. Ajouter une connexion par serveur Airlock Digital ; chaque connexion ingère en parallèle les types de données sélectionnés. Utilisez la grille ci-dessous pour examiner les connexions existantes ou en ajouter une nouvelle.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :AIShield

Le connecteur AIShield permet aux utilisateurs de se connecter aux journaux du mécanisme de défense personnalisé AIShield avec Microsoft Sentinel, ce qui permet de créer des tableaux de bord dynamiques, des classeurs, des notebooks et des alertes personnalisées pour améliorer l’investigation et contrecarrer les attaques sur les systèmes IA. Il donne aux utilisateurs plus d’informations sur la sécurité des ressources IA de leur organization et améliore leurs capacités d’exploitation de sécurité des systèmes IA. AIShield.GuArdIan analyse le contenu généré par LLM pour identifier et atténuer le contenu nuisible, en protégeant les violations légales, stratégiques, basées sur les rôles et basées sur l’utilisation

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Remarque : les utilisateurs doivent avoir utilisé l’offre SaaS AIShield pour effectuer une analyse des vulnérabilités et déployer des mécanismes de défense personnalisés générés avec leur ressource IA. Cliquez ici pour en savoir plus ou contactez-nous.

Instructions d’installation :

NOTE: Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu AIShield, qui est déployé avec la solution Microsoft Sentinel.

IMPORTANT: Avant de déployer le connecteur AIShield, disposez de l’ID d’espace de travail et de la clé primaire de l’espace de travail (qui peuvent être copiés à partir de ce qui suit).

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Supporté par :Akamai Guardicore Support

Le connecteur Akamai Guardicore utilise le Codeless Connector Framework (CCF) pour importer des agents, actifs, applications et règles de politique d’une instance Guardicore Centra vers Microsoft Sentinel via l’ingestion des règles de collecte de données (DCR). Le connecteur interroge toutes les 10 minutes via l'exécution CCF de Microsoft Sentinel ; aucune application Azure Function n'est déployée.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Instructions d’installation :

Connectez Akamai Guardicore à Microsoft Sentinel

Configuration requise

1. Vous devez avoir une instance de gestion Akamai Guardicore Centra accessible avec l’accès à l’API activé.
2. Créez (ou obtenez) un utilisateur API dans Guardicore Centra avec le rôle Lecture seule . Ce compte doit être autorisé à appeler /api/v3.0/authenticate, /api/v3.0/agents, /api/v3.0/assets, /api/v3.0/workflow/projects, et /api/v3.0/visibility/policy/rules.
3. Ayez l’URL de gestion Guardicore (par exemple https://<tenant>.cloud.guardicore.com) ainsi que le nom d’utilisateur et le mot de passe du compte de service.
4. Le connecteur sonde toutes les 10 minutes via l'exécution CCF de Microsoft Sentinel. Aucune application Azure Function n’est déployée.

Fournissez les coordonnées de votre compte de service Guardicore Centra et cliquez sur Connecter pour commencer le sondage.

• URL de gestion Guardicore : (https://< tenant.cloud.guardicore.com>)
• Nom d’utilisateur Guardicore : (nom d’utilisateur du compte service)
• Mot de passe Guardicore : (mot de passe du compte de service)
• Activer/désactiver la connexion

Pris en charge par :Microsoft Corporation

Le connecteur SIEM Akamai intègre les événements de sécurité du pare-feu d’applications web (WAF) de l’API d’intégration SIEM d’Akamai dans Microsoft Sentinel. Le connecteur collecte des données détaillées d’événements de sécurité, incluant des informations d’attaque, le contexte géographique et les métadonnées requête/réponse HTTP. L’authentification utilise Akamai EdgeGrid - fournissez vos trois identifiants EdgeGrid (client_token, access_token, client_secret) ainsi que le nom d’hôte API de votre fichier .edgerc. L’exécution de la plateforme calcule un nouvel en-tête d’autorisation signé par HMAC-SHA-256 sur chaque requête de sondage selon la spécification EdgeGrid.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Identifiants API Akamai EdgeGrid : Le Client Token, le Client Token et le Client Secret sont requis pour l’authentification EdgeGrid HMAC-SHA-256. Ces identifiants sont générés à partir du Centre de contrôle Akamai sous Identity &>Access API Clients.

Instructions d’installation :

Étape 1 - Activer la collecte de données pour SIEM dans le Centre de sécurité Akamai

Activez l’intégration SIEM dans votre configuration de sécurité Akamai et notez l’ID de configuration Web Security.

1. Connectez-vous au Centre de Sécurité Akamai.
2. Sélectionnez votre configuration de sécurité et ouvrez la section Intégration SIEM .
3. Réglez la collecte de données pour SIEM sur Activé.
4. Dans la section Activer l’intégration SIEM pour, sélectionnez les politiques de sécurité à surveiller (ou choisissez Toutes les politiques de sécurité).
5. Choisissez une version d’événement SIEM (la version 01 de SIEM est recommandée).
6. Copiez l’ID de configuration de sécurité Web affiché sur la page – vous en aurez besoin à l’étape 3 ci-dessous.

Étape 2 - Provisionner les identifiants de l’API EdgeGrid

Créez un client API Akamai EdgeGrid avec le rôle Manage SIEM et téléchargez le fichier d’identifiants .edgerc.

1. Dans le centre de contrôle Akamai, allez dans Identité et accès > aux utilisateurs.
2. Créez un nouvel utilisateur (ou sélectionnez un compte de service existant) et attribuez le rôle Gérer le SIEM .
3. Allez dans Clients API d’identité & accès > et cliquez sur Créer un client > API rapidement.
4. Sélectionnez le service API SIEM et accordez l’accès LECTURE.
5. Cliquez sur Créer puis sur télécharger pour enregistrer le .edgerc fichier.
6. Le .edgerc fichier contient les quatre valeurs que vous saisirez à l’étape 3 :

[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

La plateforme connecteur calcule un nouvel en-tête d’autorisation HMAC-SHA-256 signé à chaque sondage – vous n’avez pas besoin de signer quoi que ce soit manuellement.

Étape 3 - Connecter Akamai SIEM à Microsoft Sentinel

Prise en charge multi-locataires : Ce connecteur prend en charge l’ingestion d’événements de sécurité provenant de plusieurs configurations de sécurité Akamai en parallèle. Cliquez sur Ajouter une connexion une fois par configuration, fournissant les identifiants EdgeGrid, le nom d’hôte et l’identifiant de configuration de cette configuration. Chaque connexion est suivie et gérée indépendamment dans la grille ci-dessous.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de données Alibaba Cloud ActionTrail permet de récupérer des événements actiontrail stockés dans Alibaba Cloud Simple Log Service et de les stocker dans Microsoft Sentinel via l’API REST SLS. Le connecteur permet la récupération d’événements pour évaluer les risques de sécurité potentiels, surveiller la collaboration et diagnostiquer et résoudre les problèmes de configuration.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Informations d’identification/autorisations de l’API REST SLS : AliCloudAccessKeyId et AliCloudAccessKeySecret sont nécessaires pour effectuer des appels d’API. L’instruction de stratégie RAM avec une action de atleast log:GetLogStoreLogs sur la ressource acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} est nécessaire pour accorder à un utilisateur ram les autorisations nécessaires pour appeler cette opération.

Instructions d’installation :

Configurer l’accès à l’API AliCloud SLS

Avant d’utiliser l’API, vous devez préparer votre compte d’identité et votre paire de clés d’accès pour accéder efficacement à l’API.

1. Nous vous recommandons d’utiliser un utilisateur de gestion de l’accès aux ressources (RAM) pour appeler des opérations d’API. Pour plus d’informations, consultez Créer un utilisateur RAM et autoriser l’utilisateur ram à accéder à Simple Log Service.
2. Obtenez la paire de clés d’accès pour l’utilisateur ram. Pour plus d’informations , consultez obtenir la paire de clés d’accès.

Notez les détails de la paire de clés d’accès pour l’étape suivante.

Ajouter actionTrail Logstore

Pour activer le connecteur Alibaba Cloud ActionTrail pour Microsoft Sentinel, cliquez sur ajouter ActionTrail Logstore, remplissez le formulaire avec la configuration de l’environnement Alibaba Cloud, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de données Alibaba Cloud Networking permet d’ingérer des données réseau Alibaba Cloud dans Microsoft Sentinel par le biais de l’API REST SLS (Simple Log Service). Pour plus d’informations, reportez-vous à la documentation de l’API . Le connecteur permet d’obtenir des journaux de flux VPC, des journaux WAF et des journaux de passerelle API à partir d’Alibaba Cloud.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Accès à l’API Alibaba Cloud SLS : l’accès à Alibaba Cloud Simple Log Service est requis pour l’API SLS.

Instructions d’installation :

Configurer l’accès à l’API AliCloud SLS

Avant d’utiliser l’API, vous devez préparer votre compte d’identité et votre paire de clés d’accès pour accéder efficacement à l’API.

1. Nous vous recommandons d’utiliser un utilisateur de gestion de l’accès aux ressources (RAM) pour appeler des opérations d’API. Pour plus d’informations, consultez Créer un utilisateur RAM et autoriser l’utilisateur ram à accéder à Simple Log Service.
2. Obtenez la paire de clés d’accès pour l’utilisateur ram. Pour plus d’informations , consultez obtenir la paire de clés d’accès.

Notez les détails de la paire de clés d’accès pour l’étape suivante.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de données AliCloud permet de récupérer des journaux à partir d’applications cloud à l’aide de l’API cloud et de stocker des événements dans Microsoft Sentinel via l’API REST. Le connecteur permet la récupération d’événements pour évaluer les risques de sécurité potentiels, surveiller la collaboration et diagnostiquer et résoudre les problèmes de configuration.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification/autorisations de l’API REST : AliCloudAccessKeyId et AliCloudAccessKey sont nécessaires pour effectuer des appels d’API.

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API Stockage Blob Azure afin d’extraire des journaux dans Microsoft Sentinel. Cela peut entraîner des coûts supplémentaires pour l’ingestion des données et le stockage des données dans Stockage Blob Azure coûts. Pour plus d’informations, consultez la page de tarification Azure Functions et Stockage Blob Azure page de tarification.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application de fonction Azure.

NOTE: Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu AliCloud, qui est déployé avec la solution Microsoft Sentinel.

ÉTAPE 1 : Étapes de configuration pour l’API AliCloud

Suivez les instructions pour obtenir les informations d’identification.

1. Obtenez aliCloudAccessKeyId et AliCloudAccessKey : connectez-vous au compte, cliquez sur AccessKey Management, puis cliquez sur Afficher le secret.
2. Enregistrez les informations d’identification à utiliser dans le connecteur de données.

ÉTAPE 2 : choisissez l’une des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT: Avant de déployer le connecteur de données AliCloud, disposez de l’ID d’espace de travail et de la clé primaire de l’espace de travail (qui peuvent être copiés à partir de ce qui suit).

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur de données AliCloud à l’aide d’un modèle ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

NOTE: Dans le même groupe de ressources, vous ne pouvez pas combiner des applications Windows et Linux dans la même région. Sélectionnez un groupe de ressources existant sans applications Windows ou créez un groupe de ressources. 3. Entrez workspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects et AppInsightsWorkspaceResourceID et deploy. 4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus. 5. Cliquez sur Acheter pour déployer.

Option 2 - Déploiement manuel de Azure Functions

Suivez les instructions pas à pas suivantes pour déployer manuellement le connecteur de données AliCloud avec Azure Functions (Déploiement via Visual Studio Code).

1. Déployer une application de fonction

NOTE: Vous devez préparer VS Code pour Azure développement de fonctions.

1. Téléchargez le fichier d’application de fonction Azure. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur à partir des fichiers extraits.

4. Choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur l’application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure Si vous êtes déjà connecté, passez à l’étape suivante.

5. Fournissez les informations suivantes aux invites :

   a. Sélectionnez le dossier : Choisissez un dossier dans votre espace de travail ou accédez à celui qui contient votre application de fonction.

   b. Sélectionnez Abonnement : Choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (Ne choisissez pas l’option Avancé)

   d. Entrez un nom global unique pour l’application de fonction : Tapez un nom valide dans un chemin d’URL. Le nom que vous tapez est validé pour vous assurer qu’il est unique dans Azure Functions. (par exemple, AliCloudXXXXX).

   e. Sélectionnez un runtime : Choisissez Python 3.11.

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après la création de votre application de fonction et l’application du package de déploiement.

7. Accédez au portail Azure pour la configuration de l’application de fonction.

8. Configurer l’application de fonction

9. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

10. Sous l’onglet Paramètres de l’application, sélectionnez Nouveau paramètre d’application.

11. Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (respectant la casse) : WorkspaceID WorkspaceKey AliCloudAccessKey AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

• Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide ; pour Azure environnement cloud GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

4. Une fois que tous les paramètres d’application ont été entrés, cliquez sur Enregistrer.

Pris en charge par :Microsoft Corporation

Des instructions pour vous connecter à AWS et diffuser en continu vos journaux CloudTrail dans Microsoft Sentinel sont affichées pendant le processus d’installation. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Pris en charge par :Microsoft Corporation

Ce connecteur de données permet l’intégration des journaux AWS CloudFront à Microsoft Sentinel pour prendre en charge la détection avancée des menaces, l’investigation et la surveillance de la sécurité. En utilisant Amazon S3 pour le stockage des journaux et Amazon SQS pour la mise en file d’attente des messages, le connecteur ingère de manière fiable les journaux d’accès CloudFront dans Microsoft Sentinel

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

Ingestion des journaux AWS CloudFront dans Microsoft Sentinel

Liste des ressources requises :

• Fournisseur d’identité web Open ID Connect (OIDC)
• Rôle IAM
• Compartiment Amazon S3
• Amazon SQS
• Configuration d’AWS CloudFront

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, deux modèles ont été générés pour configurer l’environnement AWS afin d’envoyer des journaux d’un compartiment S3 à votre espace de travail Log Analytics.

Pour chaque modèle, créez une pile dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Choisissez l’option « Spécifier le modèle », puis « Charger un fichier de modèle » en cliquant sur « Choisir un fichier » et en sélectionnant le fichier de modèle CloudFormation approprié fourni ci-dessous. cliquez sur « Choisir un fichier », puis sélectionnez le modèle téléchargé.
3. Cliquez sur « Suivant » et sur « Créer une pile ».

• Modèle 1 : Déploiement de l’authentification OpenID connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWSCloudFront : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer AWS S3 pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur d’équilibrage de charge élastique (ELB) AWS pour Microsoft Sentinel vous permet d’ingérer des journaux d’accès et des journaux de flux à partir d’AWS Application Load Balancers (ALB), network Load Balancers (NLB) et GLB (Gateway Load Balancers) dans Microsoft Sentinel. Ces journaux fournissent des informations détaillées sur les demandes traitées par vos équilibreurs de charge et les flux de trafic VPC, ce qui permet la surveillance de la sécurité, la détection des menaces et l’analyse du trafic.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• AWS IAM Role ARN et SQS Queue : un ARN de rôle AWS IAM avec un accès entre comptes et une URL de file d’attente SQS configurée pour les notifications d’événements S3 sont nécessaires. Consultez la documentation du connecteur AWS ELB pour obtenir des instructions d’installation.

Instructions d’installation :

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, utilisez des modèles CloudFormation pour configurer l’environnement afin d’envoyer des journaux à partir d’ALB, NLB et GLB à votre espace de travail Log Analytics.

Étapes de déploiement :

1. Accédez aux modèles de formation cloud, téléchargez les fichiers de modèle JSON.
2. Accédez à AWS CloudFormation Stacks.
3. Commencez par déployer le modèle OIDCWebIdProvider.json (ignorez si vous disposez déjà d’un fournisseur OIDC pour Microsoft Sentinel).
4. Déployez ensuite le modèle AWSS3ELB.json avec vos paramètres.
5. Notez les valeurs suivantes des sorties de pile :
   • IAMRoleArn
   • ALBSQSQueueURL
   • NLBSQSQueueURL
   • NLBFlowLogsSQSQueueURL
   • GLBFlowLogsSQSQueueURL

Configuration post-déploiement :

Une fois la pile CloudFormation déployée :

• Accédez à l’onglet Ressources dans la pile.
• Recherchez le nom du compartiment S3 créé.
• Dans le compartiment S3, créez manuellement les dossiers suivants :
  • ALBLogs
  • NLBAccessLogs
  • NLBFlowLogs
  • GLBFlowLogs

Envoi des journaux :

Après la création du dossier, configurez vos services AWS pour envoyer des journaux aux dossiers appropriés :

• Journaux d’accès ALB ->ALBLogs/
• Journaux d’accès de l’équilibrage de la charge réseau ->NLBAccessLogs/
• Journaux de flux d’équilibrage de la charge réseau ->NLBFlowLogs/
• Journaux de flux GLB ->GLBFlowLogs/

Ces journaux seront ingérés dans les tables correspondantes de votre espace de travail Log Analytics.

Mappage de table :

• Journaux d’accès ALB ->AWSALBAccessLogsData
• Journaux d’accès de l’équilibrage de la charge réseau ->AWSNLBAccessLogsData
• Journaux de flux NLB et GLB ->AWSELBFlowLogsData

Note: Dans la AWSELBFlowLogsData table, une colonne nommée LogType indique si une ligne provient des journaux de flux d’équilibrage de la charge réseau ou des journaux de flux GLB.

2. Connecter de nouveaux collecteurs Pour activer le connecteur, cliquez sur Ajouter un nouveau collecteur, entrez les informations requises, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Ce connecteur de données vous permet d’ingérer les journaux AWS Network Firewall dans Microsoft Sentinel pour la détection avancée des menaces et la surveillance de la sécurité. En tirant parti d’Amazon S3 et Amazon SQS, le connecteur transfère les journaux du trafic réseau, les alertes de détection d’intrusion et les événements de pare-feu vers Microsoft Sentinel, ce qui permet une analyse en temps réel et une corrélation avec d’autres données de sécurité

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

Ingestion des journaux AWS NetworkFirewall dans Microsoft Sentinel

Liste des ressources requises :

• Fournisseur d’identité web Open ID Connect (OIDC)
• Rôle IAM
• Compartiment Amazon S3
• Amazon SQS
• Configuration d’AWSNetworkFirewall
• Suivez ces instructions pour la configuration du connecteur de données AWS NetworkFirewall

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, deux modèles ont été générés pour configurer l’environnement AWS afin d’envoyer des journaux d’un compartiment S3 à votre espace de travail Log Analytics.

Pour chaque modèle, créez une pile dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Choisissez l’option « Spécifier le modèle », puis « Charger un fichier de modèle » en cliquant sur « Choisir un fichier » et en sélectionnant le fichier de modèle CloudFormation approprié fourni ci-dessous. cliquez sur « Choisir un fichier », puis sélectionnez le modèle téléchargé.
3. Cliquez sur « Suivant » et sur « Créer une pile ».

• Modèle 1 : Déploiement de l’authentification OpenID connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWSNetworkFirewall : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer AWS S3 pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Ce connecteur vous permet d’ingérer des journaux de service AWS, collectés dans des compartiments AWS S3, pour Microsoft Sentinel. Les types de données actuellement pris en charge sont les suivants :

• AWS CloudTrail
• Journaux de flux VPC
• AWS GuardDuty
• AWS CloudWatch

Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Environnement : les ressources AWS suivantes doivent être définies et configurées : S3, Service de file d’attente simple (SQS), rôles et stratégies d’autorisations IAM, et les services AWS dont vous souhaitez collecter les journaux.

Instructions d’installation :

1. Configurer votre environnement AWS

Il existe deux options pour configurer votre environnement AWS afin d’envoyer des journaux d’un compartiment S3 à votre espace de travail Log Analytics :

Configuration avec le script PowerShell (recommandé)

• Exécuter le script pour configurer l’environnement : <valeur de variable fournie au moment de l’installation>
• ID externe (ID d’espace de travail) : <valeur de variable fournie au moment de l’installation>

Configuration manuelle

Suivez les instructions du lien suivant pour configurer l’environnement : Connecter AWS S3 à Microsoft Sentinel

2. Ajouter une connexion

Pris en charge par :Microsoft Corporation

Ce connecteur permet l’ingestion des journaux DNS AWS Route 53 dans Microsoft Sentinel pour améliorer la visibilité et la détection des menaces. Il prend en charge les journaux de requête du programme de résolution DNS ingérés directement à partir de compartiments AWS S3, tandis que les journaux des requêtes DNS publics et les journaux d’audit Route 53 peuvent être ingérés à l’aide des connecteurs AWS CloudWatch et CloudTrail de Microsoft Sentinel. Des instructions complètes sont fournies pour vous guider tout au long de la configuration de chaque type de journal. Tirez parti de ce connecteur pour surveiller l’activité DNS, détecter les menaces potentielles et améliorer votre posture de sécurité dans les environnements cloud.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

AWS Route53

Ce connecteur permet l’ingestion des journaux DNS AWS Route 53 dans Microsoft Sentinel, offrant ainsi une visibilité améliorée de l’activité DNS et renforçant les fonctionnalités de détection des menaces. Il prend en charge l’ingestion directe des journaux des requêtes du programme de résolution DNS à partir de compartiments AWS S3, tandis que les journaux des requêtes DNS publics et les journaux d’audit Route 53 peuvent être ingérés via les connecteurs AWS CloudWatch et CloudTrail de Microsoft Sentinel. Des instructions de configuration détaillées sont fournies pour chaque type de journal. Utilisez ce connecteur pour surveiller le trafic DNS, identifier les menaces potentielles et améliorer votre posture de sécurité cloud.

Vous pouvez ingérer le type de journaux suivant à partir d’AWS Route 53 vers Microsoft Sentinel :

1. Journaux des requêtes du programme de résolution Route 53
2. Journaux des requêtes des zones hébergées publiques Route 53 (via Microsoft Sentinel connecteur CloudWatch)
3. Journaux d’audit Route 53 (via Microsoft Sentinel connecteur CloudTrail)

Ingérer les journaux des requêtes du programme de résolution Route53 dans Microsoft Sentinel

Liste des ressources requises :

• Fournisseur d’identité web Open ID Connect (OIDC)
• Rôle IAM
• Compartiment Amazon S3
• Amazon SQS
• Configuration de la journalisation des requêtes du programme de résolution Route 53
• VPC à associer à la configuration du journal des requêtes route53 Resolver

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, deux modèles ont été générés pour configurer l’environnement AWS afin d’envoyer des journaux d’un compartiment S3 à votre espace de travail Log Analytics.

Pour chaque modèle, créez une pile dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Choisissez l’option « Spécifier le modèle », puis « Charger un fichier de modèle » en cliquant sur « Choisir un fichier » et en sélectionnant le fichier de modèle CloudFormation approprié fourni ci-dessous. cliquez sur « Choisir un fichier », puis sélectionnez le modèle téléchargé.
3. Cliquez sur « Suivant » et sur « Créer une pile ».

• Modèle 1 : Déploiement de l’authentification OpenID connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWS Route53 : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer Amazon Web Services S3 DNS Route53 pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Ingérer les journaux des requêtes des zones hébergées publiques Route 53 (via Microsoft Sentinel connecteur CloudWatch)

Les journaux des requêtes de zone hébergée publique sont exportés vers le service CloudWatch dans AWS. Nous pouvons utiliser le connecteur « Amazon Web Services S3 » pour ingérer les journaux CloudWatch d’AWS vers Microsoft Sentinel.

Étape 1 : Configurer la journalisation pour les requêtes DNS publiques

1. Connectez-vous à AWS Management Console et ouvrez la console Route 53 sur AWS Route 53.
2. Accédez à Route 53 > Zones hébergées.
3. Choisissez la zone hébergée publique pour laquelle vous souhaitez configurer la journalisation des requêtes.
4. Dans le volet Détails de la zone hébergée, cliquez sur « Configurer la journalisation des requêtes ».
5. Choisissez un groupe de journaux existant ou créez-en un.
6. Sélectionnez Créer.

Étape 2 : Configurer le connecteur de données Amazon Web Services S3 pour AWS CloudWatch

Les journaux AWS CloudWatch peuvent être exportés vers un compartiment S3 à l’aide de la fonction lambda. Pour ingérer des requêtes DNS publiques de AWS CloudWatch à S3 compartiment, puis de Microsoft Sentinel, suivez les instructions fournies dans le connecteur Amazon Web Services S3.

Ingestion des journaux d’audit Route 53 (via Microsoft Sentinel connecteur CloudTrail)

Les journaux d’audit route 53, c’est-à-dire les journaux liés aux actions effectuées par l’utilisateur, le rôle ou le service AWS dans Route 53 peuvent être exportés vers un compartiment S3 via le service AWS CloudTrail. Nous pouvons utiliser le connecteur « Amazon Web Services S3 » pour ingérer les journaux CloudTrail d’AWS vers Microsoft Sentinel.

Étape 1 : Configurer la journalisation pour les journaux d’audit AWS Route 53

1. Connectez-vous à AWS Management Console et ouvrez la console CloudTrail sur AWS CloudTrail
2. Si vous n’avez pas de trace existante, cliquez sur « Créer une piste ».
3. Entrez un nom pour votre piste dans le champ Nom de la piste.
4. Sélectionnez Créer un compartiment S3 (vous pouvez également choisir d’utiliser un compartiment S3 existant).
5. Conservez les autres paramètres par défaut, puis cliquez sur Suivant.
6. Sélectionnez Type d’événement, vérifiez que Événements de gestion est sélectionné.
7. Sélectionner l’activité de l’API, « Lire » et « Écrire »
8. Cliquez sur Suivant.
9. Passez en revue les paramètres, puis cliquez sur « Créer une piste ».

Étape 2 : Configurer le connecteur de données Amazon Web Services S3 pour AWS CloudTrail

Pour ingérer les journaux d’audit et de gestion de AWS CloudTrail à Microsoft Sentinel, suivez les instructions fournies dans le connecteur Amazon Web Services S3

Pris en charge par :Microsoft Corporation

Ce connecteur vous permet d’ingérer des journaux d’activité WAF AWS, collectés dans des compartiments AWS S3, pour Microsoft Sentinel. Les journaux WAF AWS sont des enregistrements détaillés du trafic que les listes de contrôle d’accès web analysent, qui sont essentiels pour maintenir la sécurité et les performances des applications web. Ces journaux contiennent des informations telles que l’heure à laquelle AWS WAF a reçu la demande, les spécificités de la demande et l’action effectuée par la règle à laquelle la requête correspond.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, deux modèles ont été générés pour configurer l’environnement AWS afin d’envoyer des journaux d’un compartiment S3 à votre espace de travail Log Analytics.

Pour chaque modèle, créez une pile dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Choisissez l’option « Spécifier le modèle », puis « Charger un fichier de modèle » en cliquant sur « Choisir un fichier » et en sélectionnant le fichier de modèle CloudFormation approprié fourni ci-dessous. cliquez sur « Choisir un fichier », puis sélectionnez le modèle téléchargé.
3. Cliquez sur « Suivant » et sur « Créer une pile ».

• Modèle 1 : Déploiement de l’authentification OpenID connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWS WAF : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer AWS S3 pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Anvilogic

Le connecteur de données Anvilogic vous permet d’extraire des événements d’intérêt générés dans le cluster Anvilogic ADX dans votre Microsoft Sentinel

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• ID client et clé secrète client d’inscription d’application Anvilogic : pour accéder à Anvilogic ADX, nous avons besoin de l’ID client et de la clé secrète client à partir de l’inscription de l’application Anvilogic

Instructions d’installation :

Connectez-vous à Anvilogic pour commencer à collecter des événements d’intérêt dans Microsoft Sentinel

Remplissez le formulaire pour ingérer des alertes anviologiques dans votre Microsoft Sentinel

• Point de terminaison de jeton : (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
• Étendue ADX anvilogic : (<avl_adx_uri>/.default)
• URI de requête ADX anvilogic : (<avl_adx_uri>/v2/rest/query)

Pris en charge par :Microsoft Corporation

Relie la protection de l’API 42Crunch à Azure Log Analytics via l’interface API REST

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Instructions d’installation :

Étape 1 : Lire la documentation détaillée

Le processus d’installation est documenté en détail dans le dépôt GitHub Microsoft Sentinel integration. L’utilisateur doit consulter davantage ce dépôt pour comprendre l’installation et le débogage de l’intégration.

Étape 2 : Récupérer les informations d’identification d’accès à l’espace de travail

La première étape d’installation consiste à récupérer votre ID d’espace de travail et votre clé primaire à partir de la plateforme Microsoft Sentinel. Copiez les valeurs indiquées ci-dessous et enregistrez-les pour la configuration de l’intégration du redirecteur de journal d’API.

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Étape 3 : Installer la protection 42Crunch et le transporteur de troncs

L’étape suivante consiste à installer la protection 42Crunch et le redirection de journal pour protéger votre API. Les deux composants sont disponibles en conteneurs depuis le dépôt 42Crunch. L’installation exacte dépendra de votre environnement, consultez la documentation de protection 42Crunch pour tous les détails. Deux scénarios d’installation courants sont décrits ci-dessous :

Installation via Docker Compose

La solution peut être installée à l’aide d’un fichier compose Docker.

Installation via les cartes de Helm

La solution peut être installée à l’aide d’un tableau de helm.

Étape 4 : Tester l’ingestion des données

Pour tester l’ingestion de données, l’utilisateur doit déployer l’application httpbin d’exemple aux côtés de la protection 42Crunch et du retraiteur de journal décrits en détail ici.

4.1 Installer l’exemple

L’application d’exemple peut être installée localement à l’aide d’un fichier compose Docker qui installera le serveur API httpbin, la protection API 42Crunch et le redirection de journal Microsoft Sentinel. Définissez les variables d’environnement selon les besoins en utilisant les valeurs copiées de l’étape 2.

4.2 Lancer l’échantillon

En effet, la protection de l’API est connectée à la plateforme 42Crunch, puis exerce l’API localement sur le localhost au port 8080 en utilisant Postman, curl ou équivalent. Vous devriez voir un mélange d’appels API réussis et défaillants.

4.3 Vérifier l’ingestion des données sur Log Analytics

Après environ 20 minutes, accédez à l’espace de travail Log Analytics de votre installation Microsoft Sentinel, et trouvez la section Journaux personnalisés, vérifiez qu’une table apifirewall_log_1_CL existe. Utilisez les exemples de requêtes pour examiner les données.

Pris en charge par :Microsoft Corporation

Le connecteur SAP Application Vulnerability Report Service intègre les résultats de vulnérabilités dans les applications personnalisées déployées sur SAP BTP dans Microsoft Sentinel. Les résultats peuvent être corrélés à l’activité d’audit SAP BTP afin d’identifier les applications à risque et d’enquêter sur les événements de sécurité associés.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Identifiant client et secret client pour le service de rapport de vulnérabilité applicatif : Activez l’accès API dans BTP.

Instructions d’installation :

Étape 1 - Étapes de configuration pour le service de rapport de vulnérabilités des applications SAP

Configurez le service de rapport de vulnérabilité des applications SAP et créez une clé de service dédiée pour ce connecteur, voir Trouver l’API du service des fournisseurs. Notez l’URL (URL de l’API du fournisseur de recherche), uaa.url (URL du compte utilisateur et du serveur d’authentification) et le uaa.clientid associé.

REMARQUE : Ce connecteur utilise des identifiants distincts et ne partage pas la clé de service utilisée par le connecteur de journal d’audit SAP BTP.

Relier les résultats du SAP BTP AVL à Microsoft Sentinel

Se connecter à l’aide des informations d’identification du client OAuth

Connexions

Chaque ligne représente un sous-compte connecté

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :ARGOS Cloud Security

L’intégration d’ARGOS Cloud Security pour Microsoft Sentinel vous permet d’avoir tous vos événements importants de sécurité cloud au même endroit. Cela vous permet de créer facilement des tableaux de bord, des alertes et de mettre en corrélation des événements sur plusieurs systèmes. Dans l’ensemble, cela améliorera la posture de sécurité de votre organization et la réponse aux incidents de sécurité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Instructions d’installation :

1. S’abonner à ARGOS

Vérifiez que vous possédez déjà un abonnement ARGOS. Si ce n’est pas le cas, accédez à ARGOS Cloud Security et inscrivez-vous à ARGOS.

Vous pouvez également acheter ARGOS via Azure Marketplace.

2. Configurer Sentinel intégration à partir d’ARGOS

Configurez ARGOS pour transférer toutes les nouvelles détections à votre espace de travail Sentinel en fournissant ARGOS avec votre ID d’espace de travail et votre clé primaire.

Il n’est pas nécessaire de déployer une infrastructure personnalisée.

Entrez les informations dans la page de configuration Sentinel ARGOS.

Les nouvelles détections sont automatiquement transférées.

En savoir plus sur l’intégration

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Pris en charge par :Armis Corporation

Le connecteur Activités des alertes Armis permet d’ingérer des alertes et des activités Armis dans Microsoft Sentinel via l’API REST Armis. Pour plus d’informations, https://<YourArmisInstance>.armis.com/api/v1/docs reportez-vous à la documentation de l’API. Le connecteur permet d’obtenir des informations d’alerte et d’activité à partir de la plateforme Armis et d’identifier et de hiérarchiser les menaces dans votre environnement. Armis utilise votre infrastructure existante pour découvrir et identifier les appareils sans avoir à déployer d’agents.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification/autorisations de l’API REST : la clé secrète Armis est requise. Consultez la documentation pour en savoir plus sur l’API sur le https://<YourArmisInstance>.armis.com/api/v1/doc

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API Armis afin d’extraire ses journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application de fonction Azure.

NOTE: Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu, qui est déployé dans le cadre de la solution. Pour afficher le code de fonction dans Log Analytics, ouvrez le panneau Log Analytics/Microsoft Sentinel Journaux, cliquez sur Fonctions et recherchez l’alias ArmisActivities/ArmisAlerts et chargez le code de la fonction. L’activation de la fonction prend généralement 10 à 15 minutes après l’installation ou la mise à jour de la solution.

ÉTAPE 1 : Étapes de configuration de l’API Armis

Suivez ces instructions pour créer une clé secrète API Armis.

1. Connectez-vous à votre instance Armis
2. Accédez à Paramètres -> Gestion des API
3. Si la clé secrète n’a pas encore été créée, appuyez sur le bouton Créer pour créer la clé secrète
4. Pour accéder à la touche secrète, appuyez sur le bouton Afficher
5. La clé secrète peut désormais être copiée et utilisée pendant la configuration du connecteur Activités des alertes Armis

ÉTAPE 2 : Étapes d’inscription d’application pour l’application dans Microsoft Entra ID

Cette intégration nécessite une inscription d’application dans le Portail Azure. Suivez les étapes de cette section pour créer une application dans Microsoft Entra ID :

1. Connectez-vous au Portail Azure.
2. Recherchez et sélectionnez Microsoft Entra ID.
3. Sous Gérer, sélectionnez inscriptions d'applications > Nouvelle inscription.
4. Entrez un nom d’affichage pour votre application.
5. Sélectionnez Inscrire pour terminer l’inscription initiale de l’application.
6. Une fois l’inscription terminée, le Portail Azure affiche le volet Vue d’ensemble de l’inscription de l’application. Vous voyez l’ID d’application (client) et l’ID de locataire. L’ID client et l’ID de locataire sont requis en tant que paramètres de configuration pour l’exécution du connecteur de données des activités des alertes Armis.

Lien de référence :/azure/active-directory/develop/quickstart-register-app

ÉTAPE 3 : Ajouter une clé secrète client pour l’application dans Microsoft Entra ID

Parfois appelé mot de passe d’application, une clé secrète client est une valeur de chaîne requise pour l’exécution du connecteur de données des activités des alertes Armis. Suivez les étapes de cette section pour créer une clé secrète client :

1. Dans le Portail Azure, dans inscriptions d'applications, sélectionnez votre application.
2. Sélectionnez Certificats & secrets > secrets client > Nouvelle clé secrète client.
3. Ajoutez une description pour votre clé secrète client.
4. Sélectionnez une expiration pour le secret ou spécifiez une durée de vie personnalisée. La limite est de 24 mois.
5. Sélectionnez Ajouter.
6. Enregistrez la valeur du secret à utiliser dans le code de votre application cliente. Cette valeur de secret n’est plus jamais affichée une fois que vous avez quitté cette page. La valeur de secret est requise en tant que paramètre de configuration pour l’exécution du connecteur de données des activités des alertes Armis.

Lien de référence :/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ÉTAPE 4 : Obtenir l’ID d’objet de votre application dans Microsoft Entra ID

Après avoir créé l’inscription de votre application, suivez les étapes de cette section pour obtenir l’ID d’objet :

1. Allez à Microsoft Entra ID.
2. Sélectionnez Applications d’entreprise dans le menu de gauche.
3. Recherchez votre application nouvellement créée dans la liste (vous pouvez effectuer une recherche par le nom que vous avez fourni).
4. Cliquez sur l’application.
5. Dans la page vue d’ensemble, copiez l’ID d’objet. Il s’agit de l’AzureEntraObjectId nécessaire pour l’attribution de rôle de votre modèle ARM.

ÉTAPE 5 : Attribuer le rôle Contributeur à l’application dans Microsoft Entra ID

Suivez les étapes de cette section pour attribuer le rôle :

1. Dans le Portail Azure, accédez à Groupe de ressources et sélectionnez votre groupe de ressources.
2. Accédez à Contrôle d’accès (IAM) à partir du volet gauche.
3. Cliquez sur Ajouter, puis sélectionnez Ajouter une attribution de rôle.
4. Sélectionnez Contributeur comme rôle, puis cliquez sur Suivant.
5. Dans Attribuer l’accès à, sélectionnez User, group, or service principal.
6. Cliquez sur Ajouter des membres, tapez le nom de votre application que vous avez créée et sélectionnez-la.
7. Cliquez maintenant sur Vérifier + attribuer, puis cliquez à nouveau sur Vérifier + attribuer.

Lien de référence :/azure/role-based-access-control/role-assignments-portal

ÉTAPE 6 : Créer un coffre de clés

Suivez ces instructions pour créer un coffre de clés.

1. Dans le Portail Azure, accédez à Coffres de clés. Cliquez sur Créer.
2. Sélectionnez Subsciption, Resource Group (Groupe de ressources) et indiquez le nom unique du coffre de clés.

REMARQUE : Créez un coffre de clés distinct pour chaque clé API au sein d’un espace de travail.

ÉTAPE 7 : Créer une stratégie d’accès dans KeyVault

Suivez ces instructions pour créer une stratégie d’accès dans KeyVault.

1. Accédez aux coffres de clés, sélectionnez votre coffre de clés, puis accédez à Stratégies d’accès dans le panneau latéral gauche. Cliquez sur Créer.
2. Sélectionnez toutes les clés & autorisations de secrets. Cliquez sur Suivant.
3. Dans la section principal, recherchez par nom d’application qui a été généré à l’étape 2. Cliquez sur Suivant.

REMARQUE : Vérifiez que le modèle d’autorisation dans la configuration d’accès de Key Vault est défini sur « Stratégie d’accès au coffre »

ÉTAPE 8 - Choisissez l’une des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : Avant de déployer le connecteur de données Armis Device, ayez la ou les clés d’autorisation de l’API Armis facilement disponibles.

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur Armis.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.msaka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

3. Saisissez les informations ci-dessous : Nom de la fonction Nom de l’espace de travail
   Clé secrète Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nom de la table d’alerte Armis Nombre de la table d’activité Armis Sévérité (par défaut : faible) Armis Schedule KeyVault Nom Azure Identifiant client Azure Client Secret Azure Entrée ObjectID
   ID de locataire

4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.

5. Cliquez sur Acheter pour déployer.

Option 2 - Déploiement manuel de Azure Functions

Utilisez les instructions pas à pas suivantes pour déployer manuellement le connecteur de données Activités des alertes Armis avec Azure Functions (Déploiement via Visual Studio Code).

1. Déployer une application de fonction

NOTE: Vous devez préparer VS Code pour Azure développement de fonctions.

1. Téléchargez le fichier d’application de fonction Azure. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur à partir des fichiers extraits.

4. Choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur l’application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure Si vous êtes déjà connecté, passez à l’étape suivante.

5. Fournissez les informations suivantes aux invites :

   a. Sélectionnez le dossier : Choisissez un dossier dans votre espace de travail ou accédez à celui qui contient votre application de fonction.

   b. Sélectionnez Abonnement : Choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (Ne choisissez pas l’option Avancé)

   d. Entrez un nom global unique pour l’application de fonction : Tapez un nom valide dans un chemin d’URL. Le nom que vous tapez est validé pour vous assurer qu’il est unique dans Azure Functions. (par exemple, ARMISXXXXX).

   e. Sélectionnez une durée d’exécution : Choisir Python 3.12

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après la création de votre application de fonction et l’application du package de déploiement.

7. Accédez au portail Azure pour la configuration de l’application de fonction.

8. Configurer l’application de fonction

9. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

10. Sous l’onglet Paramètres de l’application, sélectionnez + Nouveau paramètre d’application.

11. Ajouter chacun des paramètres suivants individuellement, avec leurs valeurs respectives (sensibles aux majuscules) : Nom de l’espace de travail
    Clé secrète Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nom de la table d’alerte Armis Nombre de la table d’activité Armis Sévérité (par défaut : faible) Armis Schedule KeyVault Nom Azure Identifiant client Azure Client Secret Azure Entrée ObjectID
    Tenant Id logAnalyticsUri (optionnel)

• Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide ; pour Azure environnement cloud GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

4. Une fois que tous les paramètres d’application ont été entrés, cliquez sur Enregistrer.

Pris en charge par :Armis Corporation

Le connecteur d’appareil Armis permet d’ingérer des appareils Armis dans Microsoft Sentinel via l’API REST Armis. Pour plus d’informations, https://<YourArmisInstance>.armis.com/api/v1/docs reportez-vous à la documentation de l’API. Le connecteur permet d’obtenir des informations sur l’appareil à partir de la plateforme Armis. Armis utilise votre infrastructure existante pour découvrir et identifier les appareils sans avoir à déployer d’agents. Armis peut également s’intégrer à vos outils de gestion de la sécurité & informatiques existants pour identifier et classifier chaque appareil, géré ou non géré dans votre environnement.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification/autorisations de l’API REST : la clé secrète Armis est requise. Consultez la documentation pour en savoir plus sur l’API sur le https://<YourArmisInstance>.armis.com/api/v1/doc

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API Armis afin d’extraire ses journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application de fonction Azure.

REMARQUE : Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu. Suivez ces étapes pour créer l’alias de fonctions Kusto, ArmisDevice

ÉTAPE 1 : Étapes de configuration de l’API Armis

Suivez ces instructions pour créer une clé secrète API Armis.

1. Connectez-vous à votre instance Armis
2. Accédez à Paramètres -> Gestion des API
3. Si la clé secrète n’a pas encore été créée, appuyez sur le bouton Créer pour créer la clé secrète
4. Pour accéder à la touche secrète, appuyez sur le bouton Afficher
5. La clé secrète peut maintenant être copiée et utilisée pendant la configuration du connecteur d’appareil Armis

ÉTAPE 2 : Étapes d’inscription d’application pour l’application dans Microsoft Entra ID

Cette intégration nécessite une inscription d’application dans le Portail Azure. Suivez les étapes de cette section pour créer une application dans Microsoft Entra ID :

1. Connectez-vous au Portail Azure.
2. Recherchez et sélectionnez Microsoft Entra ID.
3. Sous Gérer, sélectionnez inscriptions d'applications > Nouvelle inscription.
4. Entrez un nom d’affichage pour votre application.
5. Sélectionnez Inscrire pour terminer l’inscription initiale de l’application.
6. Une fois l’inscription terminée, le Portail Azure affiche le volet Vue d’ensemble de l’inscription de l’application. Vous voyez l’ID d’application (client) et l’ID de locataire. L’ID client et l’ID de locataire sont requis comme paramètres de configuration pour l’exécution d’Armis Device Data Connector.

Lien de référence :/azure/active-directory/develop/quickstart-register-app

ÉTAPE 3 : Ajouter une clé secrète client pour l’application dans Microsoft Entra ID

Parfois appelé mot de passe d’application, une clé secrète client est une valeur de chaîne requise pour l’exécution d’Armis Device Data Connector. Suivez les étapes de cette section pour créer une clé secrète client :

1. Dans le Portail Azure, dans inscriptions d'applications, sélectionnez votre application.
2. Sélectionnez Certificats & secrets > secrets client > Nouvelle clé secrète client.
3. Ajoutez une description pour votre clé secrète client.
4. Sélectionnez une expiration pour le secret ou spécifiez une durée de vie personnalisée. La limite est de 24 mois.
5. Sélectionnez Ajouter.
6. Enregistrez la valeur du secret à utiliser dans le code de votre application cliente. Cette valeur de secret n’est plus jamais affichée une fois que vous avez quitté cette page. La valeur de secret est requise en tant que paramètre de configuration pour l’exécution d’Armis Device Data Connector.

Lien de référence :/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ÉTAPE 4 : Obtenir l’ID d’objet de votre application dans Microsoft Entra ID

Après avoir créé l’inscription de votre application, suivez les étapes de cette section pour obtenir l’ID d’objet :

1. Allez à Microsoft Entra ID.
2. Sélectionnez Applications d’entreprise dans le menu de gauche.
3. Recherchez votre application nouvellement créée dans la liste (vous pouvez effectuer une recherche par le nom que vous avez fourni).
4. Cliquez sur l’application.
5. Dans la page vue d’ensemble, copiez l’ID d’objet. Il s’agit de l’AzureEntraObjectId nécessaire pour l’attribution de rôle de votre modèle ARM.

ÉTAPE 5 : Attribuer le rôle Contributeur à l’application dans Microsoft Entra ID

Suivez les étapes de cette section pour attribuer le rôle :

1. Dans le Portail Azure, accédez à Groupe de ressources et sélectionnez votre groupe de ressources.
2. Accédez à Contrôle d’accès (IAM) à partir du volet gauche.
3. Cliquez sur Ajouter, puis sélectionnez Ajouter une attribution de rôle.
4. Sélectionnez Contributeur comme rôle, puis cliquez sur Suivant.
5. Dans Attribuer l’accès à, sélectionnez User, group, or service principal.
6. Cliquez sur Ajouter des membres, tapez le nom de votre application que vous avez créée et sélectionnez-la.
7. Cliquez maintenant sur Vérifier + attribuer, puis cliquez à nouveau sur Vérifier + attribuer.

Lien de référence :/azure/role-based-access-control/role-assignments-portal

ÉTAPE 6 : Créer un coffre de clés

Suivez ces instructions pour créer un coffre de clés.

1. Dans le Portail Azure, accédez à Coffres de clés. Cliquez sur Créer.
2. Sélectionnez Subsciption, Resource Group (Groupe de ressources) et indiquez le nom unique du coffre de clés.

REMARQUE : Créez un coffre de clés distinct pour chaque clé API au sein d’un espace de travail.

ÉTAPE 7 : Créer une stratégie d’accès dans KeyVault

Suivez ces instructions pour créer une stratégie d’accès dans KeyVault.

1. Accédez aux coffres de clés, sélectionnez votre coffre de clés, puis accédez à Stratégies d’accès dans le panneau latéral gauche. Cliquez sur Créer.
2. Sélectionnez toutes les clés & autorisations de secrets. Cliquez sur Suivant.
3. Dans la section principal, recherchez par nom d’application qui a été généré à l’étape 2. Cliquez sur Suivant.

REMARQUE : Vérifiez que le modèle d’autorisation dans la configuration d’accès de Key Vault est défini sur « Stratégie d’accès au coffre »

ÉTAPE 8 - Choisissez l’une des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : Avant de déployer le connecteur de données Armis Device, ayez la ou les clés d’autorisation de l’API Armis facilement disponibles.

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur Armis.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.msaka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

3. Saisissez les informations suivantes : Nom de la fonction Emplacement Nom de l’espace de travail Armis Secret Key Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Azure Client ID Azure Client Secret Azure Entra ObjectID Tenant

4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.

5. Cliquez sur Acheter pour déployer.

Option 2 - Déploiement manuel de Azure Functions

Suivez les instructions pas à pas suivantes pour déployer manuellement le connecteur de données Armis Device avec Azure Functions (Déploiement via Visual Studio Code).

1. Déployer une application de fonction

NOTE: Vous devez préparer VS Code pour Azure développement de fonctions.

1. Téléchargez le fichier d’application de fonction Azure. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur à partir des fichiers extraits.

4. Choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur l’application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure Si vous êtes déjà connecté, passez à l’étape suivante.

5. Fournissez les informations suivantes aux invites :

   a. Sélectionnez le dossier : Choisissez un dossier dans votre espace de travail ou accédez à celui qui contient votre application de fonction.

   b. Sélectionnez Abonnement : Choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (Ne choisissez pas l’option Avancé)

   d. Entrez un nom global unique pour l’application de fonction : Tapez un nom valide dans un chemin d’URL. Le nom que vous tapez est validé pour vous assurer qu’il est unique dans Azure Functions. (par exemple, ARMISXXXXX).

   e. Sélectionnez une durée d’exécution : Choisir Python 3.12

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après la création de votre application de fonction et l’application du package de déploiement.

7. Accédez au portail Azure pour la configuration de l’application de fonction.

8. Configurer l’application de fonction

9. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

10. Sous l’onglet Paramètres de l’application, sélectionnez + Nouveau paramètre d’application.

11. Ajoutez chacun des paramètres suivants individuellement, avec leurs valeurs respectives (sensible aux majuscules) : Emplacement Nom de l’espace de travail Armis Clé secrète URL Armis (https://< armis-instance.armis.com/api/v1/>) Nom de la table de périphérique Armis Schedule Nombre de la clé Azure identifiant client Azure secret client Azure Entra ObjectID Id locataire logAnalyticsUri (optionnel)

• Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide ; pour Azure environnement cloud GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

4. Une fois que tous les paramètres d’application ont été entrés, cliquez sur Enregistrer.

Pris en charge par :Microsoft Corporation

Le connecteur de données Atlassian Confluence Audit permet d’ingérer des événements d’enregistrements d’audit Confluence dans Microsoft Sentinel via l’API REST. Pour plus d’informations, reportez-vous à la documentation de l’API . Le connecteur permet la récupération d’événements pour évaluer les risques de sécurité potentiels, surveiller la collaboration et diagnostiquer et résoudre les problèmes de configuration.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Accès à l’API Atlassian Confluence : Le compte nécessite l’autorisation globale de l’administrateur Confluence. Les jetons API à portée de portée nécessitent également cette read:audit-log:confluence portée.

Instructions d’installation :

Connectez Atlassian Confluence à Microsoft Sentinel

Ajouter une connexion par site Atlassian Confluence. Suivez les instructions du jeton API Atlassian pour créer un jeton API.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de données Atlassian Jira Audit permet d’ingérer des événements Jira Audit Records dans Microsoft Sentinel via l’API REST. Pour plus d’informations, reportez-vous à la documentation de l’API . Le connecteur permet la récupération d’événements pour évaluer les risques de sécurité potentiels, surveiller la collaboration et diagnostiquer et résoudre les problèmes de configuration.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Accès à l’API Atlassian Jira : l’autorisation Administrer Jira est requise pour accéder à l’API journaux d’audit Jira. Consultez la documentation de l’API Jira pour en savoir plus sur l’API d’audit.

Instructions d’installation :

Pour activer le connecteur Atlassian Jira pour Microsoft Sentinel, cliquez pour ajouter un organization, remplissez le formulaire avec les informations d’identification de l’environnement Jira, puis cliquez sur Se connecter. Procédez comme suit pour créer un jeton d’API.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft

Le connecteur de données Atlassian Organization Audit Events offre la capacité d’intégrer les événements d’audit d’entreprise depuis Atlassian Cloud dans Microsoft Sentinel via l’API de sondage. Ce connecteur permet une surveillance complète de la sécurité et un audit de conformité sur tous les produits Atlassian Cloud, y compris Jira (Software/Service Desk/Core), Confluence, Bitbucket, Trello, Opsgenie, Statuspage et Loom. Le connecteur intègre des événements d’audit couvrant la gestion des utilisateurs, les activités d’authentification, les changements de groupe, les modifications d’accès aux produits, les actions administratives et les changements de politiques. Avec 180 jours de conservation des données dans Atlassian Cloud, ce connecteur offre une visibilité sur les accès accordés/révoqués par les utilisateurs, les échecs et succès d’authentification, les modifications de configuration MFA, la gestion des jetons API, les modifications de l’appartenance aux groupes, les cessions de licences produit, les mises à jour des politiques organisationnelles et les activités de vérification de domaine. Le connecteur utilise l’authentification par clé API avec portée OAuth en lecture seule (lire : events :admin) et est optimisé pour un polling continu avec pagination basée sur le curseur. Ce connecteur est construit sur le Microsoft Sentinel Codeless Connector Framework et prend en charge les transformations de temps d’ingestion basées sur DCR pour optimiser les performances des requêtes. Consultez la documentation de l’API Atlassian Organization Events pour plus d’informations.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Accès à l’API des événements organisationnels Atlassian : Une clé API avec le scope OAuth en lecture read:events:admin seule est nécessaire pour lire les événements d’audit de l’organisation. Consultez la documentation de l’API Atlassian Organization Events pour plus d’informations.

Instructions d’installation :

Conditions préalables

Avant de configurer ce connecteur, assurez-vous d’avoir les éléments suivants :

• Accès administrateur d’organisation Atlassian pour créer une clé API avec la read:events:admin portée OAuth.
• Votre identifiant d’organisation Atlassian (un UUID).
• Espace de travail Microsoft Sentinel avec des autorisations d’écriture pour configurer le connecteur de données.

1. Créer une clé API dans Atlassian

Suivez ces étapes pour créer une clé API avec les autorisations requises :

Créer une clé API

1. Naviguer vers l’administration atlassienne
2. Sélectionnez votre organisation (si vous en avez plusieurs)
3. Naviguez dans les Paramètres, puis sélectionnez les clés API
4. Cliquez sur Créer une clé API.
5. Configurez la clé API :
   • Nom : Microsoft Sentinel Integration (ou nom descriptif)
   • Expiration : Fixez une date d’expiration (maximum 1 an à partir de la création)
   • Lunettes : Select read:events:admin (accès en lecture seule aux événements d’audit)
6. Cliquez sur Créer.
7. IMPORTANT : Copiez immédiatement la clé API - elle ne sera plus affichée

2. Obtenez votre ID d’organisation

Votre identifiant d’organisation est nécessaire pour se connecter à l’API Atlassian :

Localiser l’ID d’organisation Votre identifiant d’organisation est un UUID (par exemple, 00000000-0000-0000-0000-000000000000)

Option 1 : Depuis l’URL de l’administration Atlassian

• Regardez l’URL dans votre console d’administration Atlassian
• Format : https://admin.atlassian.com/o/{orgId}/overview
• Copiez l’UUID entre /o/ et /overview

Option 2 : Lors de la création de la clé API

• L’identifiant de l’organisation est affiché lorsque vous créez une clé API
• Copiez-le avec votre clé API

Exemple :00000000-0000-0000-0000-000000000000

3. Connexion à Microsoft Sentinel

Ajouter une connexion par organisation Atlassian (locataire). Chaque connexion est identifiée par un alias de connexion unique et peut cibler une URL de base d’organisation ou d’API différente, vous permettant ainsi d’ingérer des événements provenant de plusieurs organisations Atlassian côte à côte.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de données Auth0 intègre les événements de journal locataire de l’API de gestion Auth0 dans Microsoft Sentinel. Construit sur le Codeless Connector Framework, il supporte la connexion de plusieurs hôtes Auth0 et tague chaque enregistrement avec son domaine Auth0.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Identifiants API Auth0 : Les identifiants API de gestion Auth0 sont requis : Domaine, ID client et secret client provenant d’une application machine-à-machine autorisée pour read:logs et read:logs_users.

Instructions d’installation :

Configurez l’application API de gestion Auth0

Suivez ces étapes pour obtenir les accréditations :

1. Dans le tableau de bord Auth0, allez dans Applications > Applications.
2. Sélectionnez (ou créez) une application machine-à-machine autorisée contre l’API de gestion Auth0 avec au moins les permissions read :logs et read :logs_users .
3. Depuis les paramètres de l’application, copiez le Domaine (il doit commencer par https://), ID du client et Secret du client.

Pour collecter les journaux de plusieurs hôtes Auth0, ajoutez une connexion séparée pour chaque hôte. Chaque enregistrement est tagué avec son Auth0Domain pour que vous puissiez différencier les hôtes.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Vous pouvez diffuser en continu les journaux d’audit à partir du serveur SQL WebCTRL hébergé sur des machines Windows connectées à votre Microsoft Sentinel. Cette connexion vous permet d’afficher des tableaux de bord, de créer des alertes personnalisées et d’améliorer l’investigation. Cela donne des insights sur vos systèmes de contrôle industriel qui sont surveillés ou contrôlés par l’application WebCTRL BAS.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

1. Installez et intégrez l’agent Microsoft pour Windows.

Découvrez la configuration de l’agent et l’intégration des événements Windows.

Vous pouvez ignorer cette étape si vous avez déjà installé l’agent Microsoft pour Windows

2. Configurer la tâche Windows pour lire les données d’audit et les écrire dans des événements Windows

Installez et configurez la tâche planifiée Windows pour lire les journaux d’audit dans SQL et les écrire en tant qu’événements Windows. Ces événements Windows sont collectés par l’agent et transférés à Microsoft Sentinel.

Notez que les données de toutes les machines seront stockées dans l’espace de travail sélectionné

2.1 Copiez les fichiers d’installation vers un emplacement sur le serveur.

2.2 Mettez à jour les paramètres de script ALC-WebCTRL-AuditPull.ps1 (copiés à l’étape ci-dessus), comme le nom de la base de données cible et l’ID d’événement Windows. Pour plus d’informations, reportez-vous aux commentaires du script.

2.3 Mettez à jour les paramètres de tâche Windows dans le fichier ALC-WebCTRL-AuditPullTaskConfig.xml qui a été copié à l’étape ci-dessus en fonction des exigences. Pour plus d’informations, reportez-vous aux commentaires du fichier.

2.4 Installer des tâches Windows à l’aide des configurations mises à jour copiées dans les étapes ci-dessus

• Exécutez la commande suivante dans PowerShell à partir du répertoire où les fichiers d’installation sont copiés à l’étape 2.1 : <valeur de variable fournie au moment de l’installation>

3. Valider la connexion

Suivez les instructions pour valider votre connectivité :

Ouvrez Log Analytics pour case activée si les journaux sont reçus à l’aide du schéma d’événement.

La connexion peut prendre environ 20 minutes avant que la connexion diffuse des données vers votre espace de travail.

Si les journaux ne sont pas reçus, vérifiez les étapes ci-dessous pour tout problème d’exécution :

1. Assurez-vous que la tâche planifiée est créée et qu’elle est en cours d’exécution dans le Planificateur de tâches Windows.

2. Rechercher les erreurs d’exécution des tâches dans l’onglet Historique du Planificateur de tâches Windows pour la tâche nouvellement créée à l’étape 2.4

3. Assurez-vous que la table d’audit SQL contient de nouveaux enregistrements pendant l’exécution de la tâche Windows planifiée.

Pris en charge par :Microsoft Corporation

Le connecteur de données AWS EKS permet d’ingérer les journaux d’audit d’Amazon Elastic Kubernetes Service dans Microsoft Sentinel. Ce connecteur se concentre sur les journaux d’audit EKS (format JSON) qui contiennent des informations détaillées sur les demandes de serveur d’API, les décisions d’authentification et les activités de cluster. Le connecteur utilise AWS SQS pour recevoir des notifications lorsque de nouveaux fichiers journaux d’audit sont exportés vers S3, garantissant ainsi la surveillance de la sécurité et le suivi de la conformité en temps réel pour vos clusters Kubernetes.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

1. Déploiement d’AWS CloudFormation

Utilisez les modèles CloudFormation fournis pour configurer l’environnement AWS pour l’envoi de journaux à partir d’AWS EKS à votre espace de travail Log Analytics.

Déployer des modèles CloudFormation dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Cliquez sur Créer une pile, puis sélectionnez Avec de nouvelles ressources.
3. Choisissez Charger un fichier de modèle, puis cliquez sur Choisir un fichier pour charger le modèle CloudFormation approprié (modèle 1 et 2 ci-dessous) fourni.
4. Suivez les invites et cliquez sur Suivant pour terminer la création de la pile.
5. Une fois les piles créées, accédez à la section Sorties . Exécutez les scripts à l’étape 1 et 2 à partir de la section de sortie. Ils diffusent le journal de eks vers sqs.
6. Dans la même section des sorties, notez l’URL d’ARN de rôle et de file d’attente SQS qui seront utilisées dans le connecteur de connexion.

• Modèle 1 : Déploiement du fournisseur d’authentification OpenID Connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWS EKS : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs

Pour activer le connecteur AWS Security Hub pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• SentinelRoleArn : (ARN du rôle AWS IAM pour l’accès entre comptes (par exemple, arn :aws :iam ::123456789012 :role/SentinelRole))
• SentinelSQSQueueURL : (URL complète de la file d’attente AWS EKS (par exemple, https://sqs.region.amazonaws.com/account-id/queue-name))

3. Se connecter

Activez le connecteur AWS EKS.

• Activer/désactiver la connexion

Pris en charge par :Microsoft Corporation

Ce connecteur vous permet d’ingérer les journaux d’accès au serveur AWS S3 dans Microsoft Sentinel. Ces journaux contiennent des enregistrements détaillés pour les demandes adressées aux compartiments S3, notamment le type de demande, la ressource consultée, les informations du demandeur et les détails de la réponse. Ces journaux sont utiles pour analyser les modèles d’accès, déboguer les problèmes et garantir la conformité de la sécurité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Environnement : les ressources AWS suivantes doivent être définies et configurées : Compartiment S3, Service de file d’attente simple (SQS), rôles IAM et stratégies d’autorisations.

Instructions d’installation :

1. Déploiement AWS CloudFormation Pour configurer l’accès sur AWS, deux modèles ont été générés pour configurer l’environnement AWS afin d’envoyer les journaux d’accès d’un serveur AWS S3 à votre espace de travail Log Analytics.

Déployer des modèles CloudFormation dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Cliquez sur Créer une pile, puis sélectionnez Avec de nouvelles ressources.
3. Choisissez Charger un fichier de modèle, puis cliquez sur Choisir un fichier pour charger le modèle CloudFormation approprié fourni.
4. Suivez les invites et cliquez sur Suivant pour terminer la création de la pile.
5. Une fois les piles créées, notez l’URL de file d’attente DU rôle ARN et SQS.

• Modèle 1 : Déploiement du fournisseur d’authentification OpenID Connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources d’accès au serveur AWS : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer aws S3 Server Access Logs Connector pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Ce connecteur permet l’ingestion des résultats d’AWS Security Hub, qui sont collectés dans des compartiments AWS S3, dans Microsoft Sentinel. Il permet de simplifier le processus de surveillance et de gestion des alertes de sécurité en intégrant les résultats d’AWS Security Hub aux fonctionnalités avancées de détection et de réponse aux menaces de Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Environnement : les ressources AWS suivantes doivent être définies et configurées : AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, compartiment S3, service de file d’attente simple (SQS), rôles IAM et stratégies d’autorisations.

Instructions d’installation :

1. Déploiement AWS CloudFormation Utilisez les modèles CloudFormation fournis pour configurer l’environnement AWS pour l’envoi de journaux d’AWS Security Hub à votre espace de travail Log Analytics.

Déployer des modèles CloudFormation dans AWS :

1. Accédez à AWS CloudFormation Stacks.
2. Cliquez sur Créer une pile, puis sélectionnez Avec de nouvelles ressources.
3. Choisissez Charger un fichier de modèle, puis cliquez sur Choisir un fichier pour charger le modèle CloudFormation approprié fourni.
4. Suivez les invites et cliquez sur Suivant pour terminer la création de la pile.
5. Une fois les piles créées, notez l’URL de file d’attente DU rôle ARN et SQS.

• Modèle 1 : Déploiement du fournisseur d’authentification OpenID Connect : <valeur de variable fournie au moment de l’installation>
• Modèle 2 : Déploiement des ressources AWS Security Hub : <valeur de variable fournie au moment de l’installation>

2. Connecter de nouveaux collecteurs Pour activer le connecteur AWS Security Hub pour Microsoft Sentinel, cliquez sur le bouton Ajouter un nouveau collecteur, renseignez les informations requises dans le volet contextuel, puis cliquez sur Se connecter.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Azure journal d’activité est un journal d’abonnement qui fournit des informations sur les événements au niveau de l’abonnement qui se produisent dans Azure, y compris les événements provenant de Azure Resource Manager données opérationnelles, les événements d’intégrité du service, les opérations d’écriture effectuées sur les ressources de votre abonnement et la status des activités effectuées dans Azure. Pour plus d’informations, consultez la documentation Microsoft Sentinel .

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :Microsoft Corporation

Azure Batch Account est une entité identifiée de manière unique au sein du service Batch. La plupart des solutions Batch utilisent stockage Azure pour stocker les fichiers de ressources et les fichiers de sortie, de sorte que chaque compte Batch est généralement associé à un compte de stockage correspondant. Ce connecteur vous permet de diffuser en continu votre compte Azure Batch diagnostics journaux dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez votre compte Azure Batch diagnostics à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une seule Azure Batch configuration de streaming de journaux de compte à une collection d’instances, définie en tant qu’étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics des journaux à partir de votre compte Azure Batch à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Palo Alto Networks

Cloud Next-Generation Firewall by Palo Alto Networks ( un service isv natif Azure ) est palo Alto Networks Next-Generation Firewall (NGFW) fourni en tant que service natif cloud sur Azure. Vous pouvez découvrir cloud NGFW dans la place de marché Azure et l’utiliser dans vos réseaux virtuels Azure. Avec Cloud NGFW, vous pouvez accéder aux principales fonctionnalités NGFW telles que l’ID d’application et les technologies basées sur le filtrage d’URL. Il assure la prévention et la détection des menaces par le biais de services de sécurité fournis dans le cloud et de signatures de prévention des menaces. Le connecteur vous permet de connecter facilement vos journaux CLOUD NGFW à Microsoft Sentinel, d’afficher des tableaux de bord, de créer des alertes personnalisées et d’améliorer l’investigation. Cela vous donne plus d’informations sur le réseau de votre organization et améliore vos fonctionnalités d’opération de sécurité. Pour plus d’informations, consultez la documentation cloud NGFW pour Azure.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

Connecter Cloud NGFW by Palo Alto Networks à Microsoft Sentinel

Activez les paramètres de journal sur tous les NGFW cloud de Palo Alto Networks.

À l’intérieur de votre ressource CLOUD NGFW :

1. Accédez aux paramètres du journal à partir de la page d’accueil.
2. Vérifiez que la case Activer les paramètres de journal est cochée.
3. Dans la liste déroulante Paramètres du journal , choisissez l’espace de travail Log Analytics souhaité.
4. Confirmez vos sélections et configurations.
5. Cliquez sur Enregistrer pour appliquer les paramètres.

Pris en charge par :Microsoft Corporation

Recherche cognitive Azure est un service de recherche cloud qui fournit aux développeurs une infrastructure, des API et des outils pour créer une expérience de recherche enrichie sur du contenu privé hétérogène dans les applications web, mobiles et d’entreprise. Ce connecteur vous permet de diffuser en continu vos journaux Recherche cognitive Azure diagnostics dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez vos journaux Recherche cognitive Azure diagnostics à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une seule Recherche cognitive Azure configuration de streaming de journaux à une collection d’instances, définie en tant qu’étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics les journaux de votre Recherche cognitive Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Connectez-vous à Azure journaux DDoS Protection Standard via les journaux de diagnostic d’adresse IP publique. En plus de la protection DDoS de base dans la plateforme, Azure protection DDoS Standard fournit des fonctionnalités avancées d’atténuation DDoS contre les attaques réseau. Il est automatiquement paramétré pour protéger vos ressources Azure spécifiques. La protection est simple à activer lors de la création de nouveaux réseaux virtuels. Elle peut également être effectuée après la création et ne nécessite aucune modification de l’application ou des ressources. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :Microsoft Corporation

Le connecteur de données Azure Les journaux d’audit DevOps vous permet d’ingérer des événements d’audit de Azure DevOps dans Microsoft Sentinel. Ce connecteur de données est créé à l’aide de l’infrastructure de connecteur sans code Microsoft Sentinel, ce qui garantit une intégration transparente. Il tire parti de l’API Azure Journaux d’audit DevOps pour extraire des événements d’audit détaillés et prend en charge les transformations de temps d’ingestion basées sur DCR. Ces transformations permettent l’analyse des données d’audit reçues dans une table personnalisée pendant l’ingestion, ce qui améliore les performances des requêtes en éliminant la nécessité d’une analyse supplémentaire. En utilisant ce connecteur, vous pouvez améliorer la visibilité de votre environnement Azure DevOps et simplifier vos opérations de sécurité. Cette version permet de connecter plusieurs organisations Azure DevOps : chaque organisation est ajoutée comme sa propre connexion depuis la grille ci-dessous, et tous les événements d’audit s’enchaînent dans la même table ADOAuditLogs_CL.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Azure Prérequis DevOps : vérifiez les points suivants :
  1. Inscrivez une application Entra dans Microsoft Entra Administration Center sous Inscriptions d’applications.
  2. Dans « Autorisations d’API », ajoutez autorisations à « Azure DevOps - vso.auditlog ».
  3. Dans « Certificats & secrets », générez « Clé secrète client ».
  4. Dans « Authentification », ajoutez l’URI de redirection ci-dessous dans le champ correspondant.
  5. Dans le Azure paramètres DevOps, activez le journal d’audit et définissez Afficher le journal d’audit pour l’utilisateur. Azure Audit DevOps.
  6. Vérifiez que l’utilisateur affecté à la connexion du connecteur de données dispose de l’autorisation Afficher les journaux d’audit explicitement définie sur Autoriser à tout moment. Cette autorisation est essentielle pour la réussite de l’ingestion des journaux. Si l’autorisation est révoquée ou non accordée, l’ingestion des données échoue ou est interrompue.

Instructions d’installation :

**Connectez les organisations Azure DevOps pour commencer à collecter les journaux d’audit dans Microsoft Sentinel. **

Utilisez Ajouter une organisation pour connecter chaque organisation Azure DevOps. Les organisations connectées sont listées ci-dessous et peuvent être supprimées individuellement.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Azure Event Hubs est une plateforme de streaming Big Data et un service d’ingestion d’événements. Il peut recevoir et traiter des millions d’événements par seconde. Ce connecteur vous permet de diffuser en continu vos journaux Azure Event Hub diagnostics dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez vos journaux d’diagnostics Event Hub Azure à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une seule Azure configuration de streaming de journaux Event Hub à une collection d’instances, définie comme une étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics journaux à partir de votre Azure Event Hub à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Connectez-vous à Pare-feu Azure. Pare-feu Azure est un service de sécurité réseau cloud managé qui protège vos ressources Azure Réseau virtuel. Il s’agit d’un pare-feu en tant que service avec état avec une haute disponibilité intégrée et une scalabilité cloud illimitée. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Pris en charge par :Microsoft Corporation

Azure Key Vault est un service cloud pour le stockage et l’accès sécurisés aux secrets. Un secret est tout ce que vous souhaitez contrôler étroitement l’accès, comme les clés API, les mots de passe, les certificats ou les clés de chiffrement. Ce connecteur vous permet de diffuser en continu vos journaux Azure Key Vault diagnostics dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité dans toutes vos instances. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :Microsoft Corporation

Azure Kubernetes Service (AKS) est un service d’orchestration de conteneurs open source entièrement managé qui vous permet de déployer, de mettre à l’échelle et de gérer des conteneurs Docker et des applications basées sur des conteneurs dans un environnement de cluster. Ce connecteur vous permet de diffuser en continu vos journaux d’diagnostics Azure Kubernetes Service (AKS) dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité dans toutes vos instances. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :Microsoft Corporation

Azure Logic Apps est une plateforme cloud permettant de créer et d’exécuter des workflows automatisés qui intègrent vos applications, données, services et systèmes. Ce connecteur vous permet de diffuser en continu vos journaux Azure Logic Apps diagnostics dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez vos journaux d’diagnostics Logic Apps à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une seule Azure configuration de streaming de journaux Logic Apps à une collection d’instances, définie en tant qu’étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics les journaux de votre Azure Logic Apps à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Azure Resource Graph connecteur fournit des informations plus détaillées sur les événements Azure en ajoutant des détails sur les abonnements Azure et les ressources Azure.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : autorisation de rôle propriétaire sur les abonnements Azure

Instructions d’installation :

Connecter Azure Resource Graph à Microsoft Sentinel

Pris en charge par :Microsoft Corporation

Azure Service Bus est un répartiteur de messages d’entreprise entièrement managé avec des files d’attente de messages et des rubriques de publication/abonnement (dans un espace de noms). Ce connecteur vous permet de diffuser en continu vos journaux Azure Service Bus diagnostics dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez vos journaux Azure Service Bus diagnostics à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une configuration de streaming de journaux d’activité unique Azure Service Bus à une collection d’instances, définie en tant qu’étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics les journaux de votre Azure Service Bus à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Azure SQL est un moteur de base de données PaaS (Platform-as-a-Service) complètement managé qui gère la plupart des fonctions de gestion de base de données, telles que la mise à niveau, la mise à jour corrective, les sauvegardes et la surveillance, sans intervention de l’utilisateur. Ce connecteur vous permet de diffuser en continu vos journaux d’audit et de diagnostic Azure SQL bases de données dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité dans toutes vos instances.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :Microsoft Corporation

Azure compte de stockage est une solution cloud pour les scénarios de stockage de données modernes. Il contient tous vos objets de données : objets blob, fichiers, files d’attente, tables et disques. Ce connecteur vous permet de diffuser en continu Azure comptes de stockage diagnostics journaux dans votre espace de travail Microsoft Sentinel, ce qui vous permet de surveiller en permanence l’activité dans toutes vos instances et de détecter les activités malveillantes dans votre organization. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez votre compte de stockage Azure diagnostics à Sentinel.

Ce connecteur utilise un ensemble de stratégies de Azure pour appliquer une configuration de streaming de journaux à une collection d’instances, définie comme une étendue. Suivez les instructions ci-dessous pour créer et appliquer des stratégies à toutes les instances actuelles et futures. Pour tirer le meilleur parti de la journalisation des diagnostics du compte de stockage à partir du compte de stockage Azure, nous vous recommandons d’activer la journalisation des diagnostics à partir de tous les services du compte de stockage Azure ( Blob, File d’attente, Table et Fichier). Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics des journaux à partir de votre compte de stockage Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Stream diagnostics les journaux à partir de votre service Blob stockage Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Stream diagnostics des journaux à partir de votre service file d’attente de stockage Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Stream diagnostics les journaux à partir de votre service table de stockage Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Stream diagnostics des journaux à partir de votre service de fichiers de stockage Azure à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Azure Stream Analytics est un moteur d'analyse en temps réel et de traitement d'événements complexes conçu pour analyser et traiter de gros volumes de données rapides en continu provenant de plusieurs sources simultanément. Ce connecteur vous permet de diffuser en continu votre hub Azure Stream Analytics diagnostics journaux dans Microsoft Sentinel, ce qui vous permet de surveiller en continu l’activité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Stratégie : rôle propriétaire attribué pour chaque étendue d’attribution de stratégie

Instructions d’installation :

Connectez vos journaux diagnostics Azure Stream Analytics à Sentinel.

Ce connecteur utilise Azure Policy pour appliquer une seule configuration de streaming de journaux Azure Stream Analytics à une collection d’instances, définie comme une étendue. Suivez les instructions ci-dessous pour créer et appliquer une stratégie à toutes les instances actuelles et futures. Notez que vous disposez peut-être déjà d’une stratégie active pour ce type de ressource.

Stream diagnostics les journaux de votre Azure Stream Analytics à grande échelle

**Lancez l’Assistant Affectation Azure Policy et suivez les étapes. **

1. Sous l’onglet Informations de base, cliquez sur le bouton avec les trois points sous Étendue pour sélectionner votre abonnement.
2. Sous l’onglet Paramètres, choisissez votre espace de travail Microsoft Sentinel dans la liste déroulante Espace de travail Log Analytics, puis laissez marqué « True » toutes les catégories de journaux que vous souhaitez ingérer.
3. Pour appliquer la stratégie sur vos ressources existantes, marquez la zone Créer une tâche de correction case activée dans l’onglet Correction.

Pris en charge par :Microsoft Corporation

Connectez-vous au Azure Web Application Firewall (WAF) pour Application Gateway, Front Door ou CDN. Ce WAF protège vos applications contre les vulnérabilités web courantes telles que l’injection de code SQL et les scripts intersites, et vous permet de personnaliser les règles pour réduire les faux positifs. Des instructions pour diffuser en continu vos journaux de pare-feu d’applications web Microsoft dans Microsoft Sentinel sont affichées pendant le processus d’installation. Pour plus d’informations, consultez la documentation Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Pris en charge par :BeyondTrust

Le connecteur de données BeyondTrust Privilege Management Cloud permet d’ingérer des journaux d’audit d’activité et des journaux d’événements client à partir de BeyondTrust PM Cloud dans Microsoft Sentinel.

Ce connecteur utilise Azure Functions pour extraire des données de l’API Cloud BeyondTrust PM et les ingérer dans des tables Log Analytics personnalisées.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification de l’API cloud BeyondTrust PM : l’ID client OAuth et la clé secrète client BeyondTrust PM Cloud sont requis. Le compte d’API nécessite les autorisations suivantes : Audit - Lecture seule et Création de rapports - Lecture seule

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API Cloud BeyondTrust PM afin d’extraire les journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

NOTE: Ce connecteur utilise le flux d’informations d’identification du client OAuth 2.0 pour s’authentifier auprès de l’API cloud BeyondTrust PM.

ÉTAPE 1 : Obtenir les informations d’identification de l’API Cloud BeyondTrust PM

Créez un compte d’API dans votre instance cloud BeyondTrust PM avec les informations d’identification de l’API OAuth (ID client et clé secrète client). Le compte d’API nécessite les autorisations suivantes :

• Audit - Lecture seule
• Création de rapports - Lecture seule

ÉTAPE 2 : Déployer le connecteur et la fonction Azure associée

Utilisez cette méthode pour le déploiement automatisé du connecteur de données Cloud BeyondTrust PM à l’aide d’un modèle ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   portal.azure.com

2. Sélectionnez l’abonnement, le groupe de ressources (doit contenir votre espace de travail Log Analytics) et l’emplacement par défaut.

3. Entrez les paramètres requis :

   • Nom de l’espace de travail : nom de votre espace de travail Log Analytics (par exemple, beyondtrust-pmcloud)
   • BeyondTrust PM Cloud Base URL : URL de votre locataire (par exemple, https://yourcompany.beyondtrustcloud.com)
   • BeyondTrust Client ID : ID client OAuth de l’étape 1
   • Clé secrète client BeyondTrust : clé secrète client OAuth de l’étape 1
   • Intervalle d’interrogation des audits d’activité : fréquence de collecte des audits d’activité (par défaut : 15 minutes)
   • Intervalle d’interrogation des événements client : fréquence de collecte des événements client (par défaut : 5 minutes)
   • Niveau de journalisation : niveau de journalisation pour la résolution des problèmes (par défaut : Informations)
   • Période des données historiques : date de collecte des données lors de la première exécution (par défaut : 1 jour)

4. Passez en revue les paramètres avancés (référence SKU du plan d’hébergement, type de compte de stockage) et ajustez-les si nécessaire.

5. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.

6. Cliquez sur Acheter pour déployer.

7. Le déploiement crée toutes les ressources nécessaires : application de fonction, compte de stockage, point de terminaison de collecte de données, règles de collecte de données et tables Log Analytics personnalisées.

8. Les données doivent commencer à circuler dans les 15 à 30 minutes suivant le déploiement.

Pris en charge par :BigID

Le connecteur de données BigID DSPM permet d’ingérer des cas bigID DSPM avec des objets affectés et des informations de source de données dans Microsoft Sentinel.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Accès à l’API BigID DSPM : l’accès à l’API BigID DSPM via un jeton BigID est requis.

Instructions d’installation :

Connectez-vous à l’API BigID DSPM pour commencer à collecter les cas de DSPM BigID et les objets affectés dans Microsoft Sentinel

Indiquez votre nom de domaine BigID comme « customer.bigid.cloud » et votre jeton BigID. Générez un jeton dans la console BigID via Paramètres -> Gestion des accès -> Utilisateurs -> Sélectionner un utilisateur et générer un jeton.

• Nom de domaine complet BigID : (Nom de domaine complet BigID)
• Jeton BigID : (Jeton BigID)
• Activer/désactiver la connexion

Pris en charge par :Microsoft Corporation

Le connecteur de données Bitglass permet de récupérer les journaux des événements de sécurité des services Bitglass et d’autres événements dans Microsoft Sentinel via l’API REST. Le connecteur permet la récupération d’événements pour évaluer les risques de sécurité potentiels, surveiller la collaboration et diagnostiquer et résoudre les problèmes de configuration.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification/autorisations de l’API REST : BitglassToken et BitglassServiceURL sont nécessaires pour effectuer des appels d’API.

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API Stockage Blob Azure afin d’extraire des journaux dans Microsoft Sentinel. Cela peut entraîner des coûts supplémentaires pour l’ingestion des données et le stockage des données dans Stockage Blob Azure coûts. Pour plus d’informations, consultez la page de tarification Azure Functions et Stockage Blob Azure page de tarification.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application de fonction Azure.

NOTE: Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu Bitglass, qui est déployé avec la solution Microsoft Sentinel.

ÉTAPE 1 : Étapes de configuration pour l’API de récupération des journaux Bitglass

Suivez les instructions pour obtenir les informations d’identification.

1. Contactez le support Bitglass et obtenez les ntations BitglassToken et BitglassServiceURL ].
2. Enregistrez les informations d’identification à utiliser dans le connecteur de données.

ÉTAPE 2 : choisissez l’une des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT: Avant de déployer le connecteur de données Bitglass, disposez de l’ID d’espace de travail et de la clé primaire de l’espace de travail (peuvent être copiés à partir de ce qui suit).

• ID de l’espace de travail : <valeur de variable fournie au moment de l’installation>
• Clé primaire : <valeur de variable fournie au moment de l’installation>

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur de données Bitglass à l’aide d’un modèle ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

NOTE: Dans le même groupe de ressources, vous ne pouvez pas combiner des applications Windows et Linux dans la même région. Sélectionnez un groupe de ressources existant sans applications Windows ou créez un groupe de ressources. 3. Entrez BitglassToken, BitglassServiceURL et déployez. 4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus. 5. Cliquez sur Acheter pour déployer.

Option 2 - Déploiement manuel de Azure Functions

Suivez les instructions pas à pas suivantes pour déployer manuellement le connecteur de données Bitglass avec Azure Functions (Déploiement via Visual Studio Code).

1. Déployer une application de fonction

NOTE: Vous devez préparer VS Code pour Azure développement de fonctions.

1. Téléchargez le fichier d’application de fonction Azure. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur à partir des fichiers extraits.

4. Choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur l’application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure Si vous êtes déjà connecté, passez à l’étape suivante.

5. Fournissez les informations suivantes aux invites :

   a. Sélectionnez le dossier : Choisissez un dossier dans votre espace de travail ou accédez à celui qui contient votre application de fonction.

   b. Sélectionnez Abonnement : Choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (Ne choisissez pas l’option Avancé)

   d. Entrez un nom global unique pour l’application de fonction : Tapez un nom valide dans un chemin d’URL. Le nom que vous tapez est validé pour vous assurer qu’il est unique dans Azure Functions. (par exemple, BitglassXXXXX).

   e. Sélectionnez un runtime : Choisissez Python 3.11.

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après la création de votre application de fonction et l’application du package de déploiement.

7. Accédez au portail Azure pour la configuration de l’application de fonction.

8. Configurer l’application de fonction

9. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

10. Sous l’onglet Paramètres de l’application, sélectionnez Nouveau paramètre d’application.

11. Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (respectant la casse) : BitglassToken BitglassServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (facultatif)

• Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide ; pour Azure environnement cloud GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

4. Une fois que tous les paramètres d’application ont été entrés, cliquez sur Enregistrer.

Pris en charge par :Bitwarden Inc

Ce connecteur fournit des informations sur l’activité de votre organization Bitwarden, comme l’activité de l’utilisateur (connexion, changement de mot de passe, 2fa, etc.), l’activité de chiffrement (créée, mise à jour, supprimée, partagée, etc.), l’activité de collecte, l’activité organization, etc.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Id client bitwarden et clé secrète client : votre clé API se trouve dans la console d’administration bitwarden organization. Pour plus d’informations , consultez la documentation Bitwarden .

Instructions d’installation :

Connecter les journaux des événements bitwarden à Microsoft Sentinel

Votre clé API se trouve dans la console d’administration bitwarden organization. Pour plus d’informations , consultez la documentation Bitwarden . Les serveurs Bitwarden auto-hébergés peuvent avoir besoin de reconfigurer l’URL de leur installation.

• URL de l’identité bitwarden : (https://identity.bitwarden.com)
• URL de l’API Bitwarden : (https://api.bitwarden.com)

Pris en charge par :blacklens.io Support

Le connecteur de données blacklens.io vous permet d’ingérer des alertes de gestion des surfaces d’attaque de blacklens.io dans Microsoft Sentinel à l’aide d’une application logique webhook et de l’API d’ingestion des journaux Azure Monitor.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Abonnement Azure : les autorisations Contributeur ou Propriétaire sur le groupe de ressources sont nécessaires pour déployer l’infrastructure d’ingestion de données (point de terminaison de collecte de données, règle de collecte de données, table personnalisée et application logique).
• compte blacklens.io : un compte blacklens.io avec des fonctionnalités d’intégration de webhook est requis.

Instructions d’installation :

Étape 1 : Déployer l’infrastructure d’ingestion de données

Cette étape déploie les ressources Azure requises : un point de terminaison de collecte de données, une règle de collecte de données, une table Log Analytics personnalisée (blacklens_CL) et une application logique déclenchée par webhook.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   portal.azure.com

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement où réside votre espace de travail Microsoft Sentinel.

3. Entrez le nom de l’espace de travail de votre espace de travail Log Analytics.

4. Cliquez sur Vérifier + créer, puis sur Créer.

Étape 2 : Copier l’URL du webhook

1. Une fois le déploiement réussi, cliquez sur l’onglet Sorties de la page de déploiement.
2. Copiez la valeur webhookUrl .

Vous pouvez également accéder à Vue d’ensemble de Logic Apps >la-blacklens-alert-log-ingestion> et copier l’URL du flux de travail.

Étape 3 : Configurer blacklens.io

1. Connectez-vous au portail blacklens.io.
2. Accédez aux paramètres d’intégration du webhook.
3. Collez l’URL du webhook copiée à l’étape 2.
4. Enregistrez la configuration.
5. Liez l’intégration du webhook à au moins une stratégie de notification afin que les alertes soient envoyées au webhook.

Après quelques minutes, un incident de test doit apparaître dans Microsoft Sentinel.

Pris en charge par :SpecterOps

BloodHound Enterprise de SpecterOps est une plateforme de gestion des chemins d’attaque d’identité : elle cartographie comment les attaquants peuvent traverser les relations d’identité pour atteindre des actifs critiques afin que les équipes puissent prioriser et corriger ces chemins, et pas seulement les détecter. Cela apporte de la clarté à la dispersion d’identité dans Active Directory, Azure et au-delà, y compris une protection de type zone de privilèges autour de ce qui compte le plus dans votre environnement.

Ce connecteur Microsoft Sentinel ajoute le contexte du chemin d’attaque BloodHound Enterprise dans votre espace de travail, ainsi que des journaux et des alertes, afin d’enrichir les enquêtes, de vous concentrer sur les résultats à forte valeur ajoutée et de suivre l’exposition, l’activité d’audit et les actifs de niveau zéro en un seul endroit.

Ce que fait ce connecteur

• Se connecte à l’API REST de BloodHound Enterprise en utilisant vos identifiants configurés (voir Travailler avec l’API) et s’exécute selon un planning que vous définissez lors du déploiement de la fonction Azure. Les données sont collectées via Azure Functions et stockées dans des tables Log Analytics personnalisées avec des règles de collecte de données (DCR) dédiées et des points de terminaison de collecte de données (DCE).

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Accès à l’API BloodHound Enterprise : L’ID du jeton, la clé du token et l’URL de votre base de locataire sont nécessaires pour s’authentifier à l’API REST de BloodHound Enterprise (les requêtes sont signées selon le modèle API SpecterOps, voir Travailler avec l’API).

Instructions d’installation :

Étape 1. Créer des identifiants API BloodHound Enterprise

Dans votre locataire BloodHound Enterprise, créez des identifiants API (identifiant de token et clé de jeton) utilisés pour signer les requêtes vers l’API REST. Suivez Travailler avec l’API pour créer des identifiants API puis stocker les valeurs de manière sécurisée.

Étape 2. Créer une application Microsoft Entra

Créez une application Microsoft Entra ID (Azure AD) utilisée pour l’ingestion de Log Analytics (par exemple pour l’accès lié à DCE/DCR). Suivez Créer une application Microsoft Entra pour créer une application Microsoft Entra et ses identifiants, puis enregistrez l’ID de l’application (client), la valeur secrète du client et tout autre ID dont votre administrateur a besoin. Conservez le client secret en lieu sûr.

Étape 3. Déployer l’application de fonctions

REMARQUE : Ce connecteur utilise Azure Functions pour extraire les données de BloodHound Enterprise dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

IMPORTANT : Avant de déployer le connecteur BloodHound Enterprise, ayez le nom de l’espace de travail (voir ci-dessous), l’URL du locataire BloodHound Enterprise, l’ID de jeton et la clé de jeton, l’ID de l’application Microsoft Entra (client) et le secret client, ainsi que les filtres d’environnement et de type de recherche souhaités (ou utilisez des modèles par défaut comme Tous).

• Nom de l’espace de travail : <valeur de variable fournie au moment de l’installation>

Déployez toutes les ressources liées au connecteur de données

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   aka.ms

2. Sélectionnez l’abonnement, le groupe de ressources et l’emplacement préférés.

3. Saisissez le nom de l’application Fonction, le nom de l’espace de travail Log Analytics (espace de travail Microsoft Sentinel), le domaine locataire BloodHound Enterprise (URL), l’ID et la clé du token BloodHound (paramètres sécurisés), l’ID de l’application Microsoft Entra (client) et le secret client de l’application Microsoft Entra.

4. Optionnel : définir les jours de recherche (rétrospection historique), les environnements BloodHound sélectionnés (séparés par virgules ou Tous), et les types de recherche sélectionnés (ou Tous) comme décrit dans le modèle.

5. Cliquez sur Examiner + créer, puis sur Créer pour déployer.

Pris en charge par :Microsoft Corporation

Le connecteur de données Box permet d’ingérer des événements d’entreprise Box dans Microsoft Sentinel à l’aide de l’API REST Box. Pour plus d’informations, reportez-vous à la documentation box .

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Informations d’identification de l’API Box : l’API Box nécessite un ID client d’application Box et une clé secrète client pour s’authentifier. Pour plus d’informations, consultez Octroi d’informations d’identification du client
• Id d’entreprise Box : l’ID Box Enterprise est requis pour établir la connexion. Consultez la documentation pour trouver l’ID d’entreprise

Instructions d’installation :

NOTE: Ce connecteur utilise Connecor Platform (CCF) sans code pour se connecter à l’API REST Box afin d’extraire les journaux dans Microsoft Sentinel.

NOTE: Ce connecteur dépend d’un analyseur basé sur kusto Function pour fonctionner comme prévu BoxEvents qui est déployé avec la solution Microsoft Sentinel.

ÉTAPE 1 : Créer une application personnalisée Box

Consultez la documentation pour configurer l’authentification des informations d’identification du client

ÉTAPE 2 : Récupérer les valeurs d’ID client et de clé secrète client

Vous devrez peut-être configurer 2FA pour récupérer le secret.

ÉTAPE 3 : Saisir l’ID d’entreprise Box à partir de Box Administration Console

Consultez la documentation pour trouver l’ID d’entreprise

Connectez-vous à Box pour commencer à collecter les journaux des événements sur Microsoft Sentinel

Fournissez les valeurs requises ci-dessous :

• Id d’entreprise Box : (123456)

Soutenu par :BlueVoyant

BV-ClaudeCompliance (via Codeless Connector Framework)

Ce connecteur intègre les données de l’API ClaudeCompliance dans Microsoft Sentinel via RestApiPoller.

Collecte de données

• URL de base de l’API : https://api.anthropic.com/
• Authentification : APIKey
• Nombre de points d’extrémité : 1

Tables

• ComplianceActivities ->BV_ClaudeCompliance_ComplianceActivities_CL

Exemple de requête

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Instructions d’installation :

Connectez-BV-ClaudeCompliance (via Codeless Connector Framework) à Microsoft Sentinel

Pour obtenir une clé API de conformité Claude, suivez les instructions disponibles ici : Accéder à l’API de conformité.

La clé API créée doit inclure la read:compliance_activities portée pour une ingestion correcte des données.

Collez la clé ci-dessous et sélectionnez Connecter.

• Clé API : (Entrer la clé API)
• Activer/désactiver la connexion

Soutenu par :Cato Networks

Le connecteur Cato Networks transfère la télémétrie de sécurité et réseau de l’application Cato Management vers Microsoft Sentinel en quasi temps réel, en utilisant le motif Push du Codeless Connector Framework (CCF). Les données s’installent dans une table Log Analytics personnalisée, prête pour la chasse, l’analyse et la visualisation. Voir le schéma d’événement Cato pour les champs portés sur chaque enregistrement.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Microsoft Entra : autorisation de créer une inscription d’application dans Microsoft Entra ID. En règle générale, nécessite Entra id du rôle Développeur d’applications ou supérieur.
• Microsoft Azure : autorisation d’attribuer le rôle d’éditeur de métriques de surveillance sur la règle de collecte de données (DCR). Nécessite généralement Azure rôle Propriétaire RBAC ou Administrateur de l’accès utilisateur.
• Application de gestion Cato : Un compte administrateur sur l’application de gestion Cato avec la permission de créer un connecteur de sortie de données Microsoft Sentinel.

Instructions d’installation :

1. Créer des ressources ARM et fournir les autorisations requises

Ce connecteur permet au Cato Cloud d’envoyer les événements directement vers Microsoft Sentinel via l’API d’ingestion des logs Azure Monitor.

Configuration automatisée et ingestion sécurisée des données avec l’application Entra Cliquer sur « Déployer » déclenchera la création d’une table Log Analytics et d’une règle de collecte de données (DCR). Il crée ensuite une application Entra, lie la DCR à celle-ci et définit le secret entré dans l’application. Cette configuration permet l’envoi sécurisé des données à la DCR à l’aide d’un jeton Entra.

Un connecteur par espace de travail

La règle de collecte de données et la CatoNetworksEvents_CL table sont nommées à partir de cet espace de travail, donc déployer à nouveau le connecteur dans le même espace de travail Log Analytics les réutilise plutôt que de créer un second ensemble. Un espace de travail contient un connecteur Cato.

Les événements provenant de plus d’un compte Cato peuvent être envoyés au même connecteur ; ils partagent la table et sont distingués par account_id et account_name. Pour garder les flux dans des tables séparées, avec leur propre contrôle de rétention ou d’accès, utilisez un espace de travail Log Analytics séparé pour chacun.

2. Configurez le connecteur dans l’application de gestion Cato

Dans l’application de gestion Cato, allez dans Intégrations > de ressources > Intégrées configurées, cliquez sur Nou, sélectionnez Microsoft Sentinel, et entrez les valeurs ci-dessous. Pour les instructions complètes de configuration, voir Intégration des événements Cato avec Microsoft Sentinel.

• ID de locataire (ID d’annuaire) : <valeur de variable fournie au moment de l’installation>
• ID d’application d’inscription d’application Entra : <valeur de variable fournie au moment de l’installation>
• Entra Secret d’inscription d’application : <valeur de variable fournie au moment de l’installation>
• URI du point de terminaison de collecte de données : <valeur de variable fournie au moment de l’installation>
• ID immuable de la règle de collecte de données : <valeur de variable fournie au moment de l’installation>
• Nom du flux d’événements : <valeur variable fournie au moment de l’installation>

3. Maintenir le schéma à jour

Cato ajoute périodiquement des champs à son schéma d’événements. Comme la mise à niveau de cette solution laisse la table personnalisée existante de votre connecteur et la règle de collecte de données inchangées, de nouveaux champs doivent être appliqués séparément à l’aide du modèle dédié de mise à jour du schéma.

Appliquez le schéma actuel

Déploie de la mise à jour du schéma

Sélectionnez l’abonnement et le groupe de ressources qui contient cet espace de travail, puis entrez le nom de l’espace de travail. C’est la seule valeur que vous apportez.

Votre URL d’ingestion, votre application Entra et le secret client restent inchangés, et rien n’a besoin d’être réentré dans l’application de gestion Cato. L’ingestion continue tout au long du processus.

Prévoyez jusqu’à 30 minutes pour que de nouveaux champs commencent à arriver. Les événements sont toujours acceptés pendant cette fenêtre et les nouveaux champs sont simplement vides, donc confirmez par une requête plutôt que de supposer un échec.

Supporté par :Soutien Cayosoft

Le connecteur de données Cayosoft Guardian intègre automatiquement les alertes de menace de Cayosoft Guardian dans Microsoft Sentinel. Cayosoft Guardian écrit des alertes de menace dans le journal d’événements Windows sous l’identifiant d’événement 2. L’Azure Monitor Agent (AMA) collecte ces événements en utilisant les règles de collecte de données (DCR) et envoie les données analysées vers la table personnalisée de Log Analytics nommée CayosoftThreatAlerts_CL. Après l’ingéré des données, Microsoft Sentinel peut les utiliser pour la surveillance, l’analyse, la création d’incidents, l’enquête et la réponse automatisée dans votre environnement d’identité hybride.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données : Non pris en charge actuellement

Conditions préalables:

• Cayosoft Guardian Server : doit être connecté à Azure Arc ou exécuté comme une machine virtuelle Azure, avec l’agent Azure Monitor installé.
• Règles de collecte de données : Les autorisations de lecture et d’écriture pour les règles de collecte de données sont requises pour associer la règle de collecte de données au serveur compatible Azure Arc ou à la machine virtuelle Azure qui exécute Cayosoft Guardian.

Instructions d’installation :

1. Prérequis et mise en place de l’infrastructure

Avant de configurer l’intégration, assurez-vous que les exigences suivantes sont remplies :

• Vous avez un espace de travail Microsoft Sentinel.
• Le Windows Server qui héberge Cayosoft Guardian est connecté à Azure Arc ou fonctionne comme une machine virtuelle Azure.
• L’Azure Monitor Agent (AMA) est installé sur le serveur Cayosoft Guardian.

2. Déploiement de la règle de collecte de données (DCR)

Cayosoft Guardian diffuse les alertes de menace via l’agent Azure Monitor, qui nécessite une règle de collecte de données (DCR) liée à votre serveur compatible Arc ou à votre machine virtuelle Azure. Il s’agit d’un déploiement unique, séparé de l’installation de la solution.

1. Cliquez sur le bouton ci-dessous.

   portal.azure.com

2. Sélectionnez votre abonnement, votre groupe de ressources et votre région.

3. Saisissez votre nom d’espace de travail (l’espace de travail Log Analytics compatible Microsoft Sentinel) et le nom de la machine Arc (le nom exact du serveur compatible Arc ou de la VM Azure exécutant Cayosoft Guardian).

4. Cliquez sur Réviser + Créer, puis sur Créer.

3. Configurer la journalisation Cayosoft Guardian

Activez la génération du journal d’événements au sein du produit :

1. Ouvre Cayosoft Guardian.
2. Naviguez dans Paramètres > Paramètres > du service Paramètres du journal des événements Windows.
3. Vérifiez que le journal des événements Windows pour les alertes est activé. Cayosoft Guardian écrit des alertes de menace pour les applications et services du journal > des événements Windows Alertes > Cayosoft Guardian

4. Installer le Classeur d’exercices

La solution Cayosoft Guardian inclut un cahier d’exercices préassemblé qui visualise les alertes et incidents de menace, y compris la répartition de la gravité, les alertes par type de système, les tendances d’alerte au fil du temps, ainsi que les incidents et alertes récents.

1. Dans Microsoft Sentinel, allez sur Content Hub.
2. Cherchez Cayosoft Guardian et vérifiez que la solution est installée. Si ce n’est pas installé, installez-le.
3. Allez dans les Livres d’exercices et sélectionnez l’onglet Modèles .
4. Sélectionnez Cayosoft Guardian - Tableau de bord des incidents, cliquez sur Enregistrer, choisissez la région Azure où vous souhaitez enregistrer le classeur, puis cliquez sur Voir le classeur enregistré.
5. Le cahier d’exercices est disponible sous Mes cahiers. Épinglez éventuellement sur un tableau de bord Azure pour un accès rapide.

5. Activation des règles d’analytique

La solution Cayosoft Guardian inclut également des modèles de règles analytiques programmées qui convertissent les alertes de menace Cayosoft Guardian en incidents Microsoft Sentinel.

1. Dans Microsoft Sentinel, allez dans Analytics.
2. Sélectionnez l’onglet Modèles de règle .
3. Trouvez par exemple les modèles de règles d’analyse du Cayosoft Guardian :
   • Cayosoft Guardian - Menaces à la sécurité des applications cloud
   • Cayosoft Guardian - Menaces fondamentales d’identité et d’infrastructure
4. Cliquez sur Créer une règle, relisez le planning, la correspondance des entités et les paramètres d’incident, puis cliquez sur Réviser + Créer.
5. Vérifiez que la règle apparaît comme Activée dans l’onglet Règles actives. Les règles d’analyse génèrent les SecurityIncident enregistrements utilisés par la table Incidents & alertes récentes du cahier d’exercices .

6. Vérifier l’intégration

Après avoir configuré le connecteur, vérifiez que Microsoft Sentinel reçoit les données d’alerte de menace Cayosoft Guardian :

1. Dans Microsoft Sentinel, ouvrez l’espace de travail Log Analytics connecté à votre instance Microsoft Sentinel.
2. Journaux ouverts.
3. Exécutez la requête suivante :CayosoftThreatAlerts_CL | sort by TimeGenerated desc | take 50
4. Confirmez que de nouvelles lignes sont disponibles dans le tableau. Pour des informations détaillées, des guides étape par étape et des problèmes connus, veuillez consulter la documentation officielle.

Pris en charge par :Check Point

Le connecteur de données CloudGuard permet l’ingestion d’événements de sécurité à partir de l’API CloudGuard dans Microsoft Sentinel ™, à l’aide de l’infrastructure de connecteur sans code de Microsoft Sentinel. Le connecteur prend en charge les transformations de temps d’ingestion basées sur DCR qui analysent les données d’événement de sécurité entrantes dans des colonnes personnalisées. Ce processus de pré-analyse élimine la nécessité d’analyser le temps des requêtes, ce qui améliore les performances des requêtes de données.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Clé API CloudGuard : reportez-vous aux instructions fournies ici pour générer une clé API.

Instructions d’installation :

Connecter des événements de sécurité CloudGuard à Microsoft Sentinel

Pour activer le connecteur CloudGuard pour Microsoft Sentinel, entrez les informations requises ci-dessous, puis sélectionnez Se connecter.

• ID de clé API : (api_key)
• Secret de clé API : (api_secret)
• URL du point de terminaison CloudGuard : (par exemple https://api.dome9.com, )
• Filtre : (Coller le filtre à partir de CloudGuard)
• Activer/désactiver la connexion

Pris en charge par :Check Point

Cyberint, une société Check Point, fournit une intégration Microsoft Sentinel pour simplifier les alertes critiques et intégrer des informations enrichies sur les menaces de la solution Infinity External Risk Management dans Microsoft Sentinel. Cela simplifie le processus de suivi de l’status des tickets avec des mises à jour de synchronisation automatiques entre les systèmes. À l’aide de cette nouvelle intégration pour Microsoft Sentinel, les clients Cyberint et Microsoft Sentinel existants peuvent facilement extraire des journaux en fonction des résultats de Cyberint dans Microsoft Sentinel plateforme.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Clé API Check Point Cyberint, URL Argos, Nom du Client : La clé API du connecteur, l’URL Argos et le Nom du Client sont requis. Incluez les pièces jointes CSV car le JSON est optionnel.

Instructions d’installation :

Connecter les alertes cyberint de point de contrôle à Microsoft Sentinel

Pour activer le connecteur, fournissez les informations requises ci-dessous, puis cliquez sur Se connecter.

URL Argos — URL API Cyberint pour votre locataire (par https://your_tenant.cyberint.ioexemple ) Token API — Token d’accès API Cyberint Nom client — Nom de l’entreprise (client) associé à votre instance Cyberint Sévérité — Liste des sévérités à récupérer (faible, moyenne, élevée, very_high). Si elle est vide, toutes les gravités sont récupérées. Environnements — Liste des environnements à récupérer (par exemple Production, Staging). Si elle est vide, tous les environnements sont récupérés. Intervalle de sondage — À quelle fréquence interroger les nouvelles alertes, en minutes (par défaut : 5) Inclure les pièces jointes CSV en JSON — Inclure des pièces jointes CSV comme contenu JSON dans les alertes (par défaut : faux)

• URL Argos : (https://your_tenant.cyberint.io)
• Jeton d’API : (Jeton d’accès à l’API Cyberint)
• Nom du client : (nom de la société (client) associé à votre instance Cyberint)
• Gravité : (liste séparée par des virgules (par exemple, faible, moyen, élevé, very_high))
• Environnements : (Liste séparée par virgules)
• Intervalle d’interrogation (minutes) : (Fréquence d’interrogation en minutes)
• Inclure des pièces jointes CSV au format JSON : (vrai ou faux)
• Activer/désactiver la connexion

Pris en charge par :Check Point

Cyberint, une société Check Point, fournit une intégration Microsoft Sentinel pour ingérer des indicateurs de compromission (IOC) de la solution Infinity External Risk Management dans Microsoft Sentinel. Ce connecteur extrait automatiquement le flux IOC quotidien, y compris les adresses IP, les domaines, les URL et les hachages de fichiers malveillants, enrichi avec le contexte de menace, tel que la gravité, la confiance et l’activité détectée.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Check Point clé API Cyberint, URL Argos et nom du client : la clé API du connecteur, l’URL Argos et le nom du client sont requises

Instructions d’installation :

Connecter Check Point flux CIO Cyberint à Microsoft Sentinel

Pour activer le connecteur, fournissez les informations requises ci-dessous, puis cliquez sur Se connecter.

URL Argos — URL de l’API Cyberint pour votre locataire (par exemplehttps://your_tenant.cyberint.io, ) Jeton d’API — Jeton d’accès à l’API Cyberint Nom du client — Nom de la société (client) associée à votre cyberint instance

• URL Argos : (https://your-company.cyberint.io)
• Jeton d’API : (jeton d’API)
• Nom du client : (nom de la société (client) associé à votre instance Cyberint)
• Activer/désactiver la connexion

Pris en charge par :Check Point

Check Point propose une intégration Microsoft Sentinel pour intégrer les indicateurs de compromission haute fidélité (IoC) de la solution Infinity External Risk Management dans Microsoft Sentinel. Ce connecteur extrait progressivement le flux IOC premium — y compris les adresses IP malveillantes, les domaines, les URL et les hachages de fichiers — enrichi de confiance, de gravité, de classification malveillante, de stade de chaîne d’arrêt, de flags de blocage et d’unicité, de types de malwares, ainsi que d’associations CVE/campagnes.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Check Point clé API Cyberint, URL Argos et nom du client : la clé API du connecteur, l’URL Argos et le nom du client sont requises

Instructions d’installation :

Connectez le flux d’intelligence EM EM THREATCLOUD Check Point à Microsoft Sentinel

Pour activer le connecteur, fournissez les informations requises ci-dessous, puis cliquez sur Se connecter.

URL Argos — URL de l’API Cyberint pour votre locataire (par exemplehttps://your_tenant.cyberint.io, ) Jeton d’API — Jeton d’accès à l’API Cyberint Nom du client — Nom de la société (client) associée à votre cyberint instance

• URL Argos : (https://your-company.cyberint.io)
• Jeton d’API : (jeton d’API)
• Nom du client : (nom de la société (client) associé à votre instance Cyberint)
• Activer/désactiver la connexion

Pris en charge par :Microsoft Corporation

Le connecteur de données Check Point Email Security (Harmony Email Collaboration) offre la capacité d'intégrer les événements de sécurité et les journaux d'audit de la plateforme Email Security de Check Point dans Microsoft Sentinel via l'API REST. Le connecteur offre une visibilité sur les menaces avancées par email, y compris les menaces zero-day, le phishing, la prise de contrôle de comptes, la fuite de données et la découverte de shadow IT. Il intègre les événements de sécurité, les exceptions anti-phishing, les exceptions anti-spam et les journaux d’audit dans Microsoft Sentinel, aidant les organisations à maintenir la visibilité en matière de sécurité et de conformité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Identifiants de l’API de API de sécurité des emails Check Point : Deux clés API distinctes du portail Check Point Infinity sont requises. Une clé API Harmony Email & Collaboration (ID + client, client secret) est utilisée pour les événements de sécurité et les exceptions. Une clé API distincte Logs as a Service (ID + clientd’audit, Audit Client Secret) est requise pour les journaux d’audit. Générez les deux à partir de votre portail Check Point Infinity dans les clés d’API des paramètres > globaux.

Instructions d’installation :

Connectez la sécurité des emails Check Point à Microsoft Sentinel

Pour recueillir des données auprès de Check Point Email Security, vous devez fournir les identifiants suivants :

1. URL de base API - L’URL de base pour votre tenant Check Point Email Security (spécifique à la région).

2. ID client - ID client de la clé API Harmony Email & Collaboration (utilisée pour les événements et exceptions de sécurité).

3. Client Secret - Secret (clé d’accès) de la clé API Harmony Email & Collaboration.

4. ID client d’audit - ID client d’un Logs séparé en tant que clé API de service (utilisée pour les journaux d’audit).

5. Audit Client Secret - Secret (clé d’accès) des journaux en tant que clé API de service.

Pour obtenir ces identifiants, connectez-vous à votre portail Check Point Infinity et allez dans la section Clés API sous Paramètres globaux. Créez une clé API avec le service Harmony Email & Collaboration pour l’ID client/Secret, et une seconde clé API avec le service Logs as a Service pour l’ID/Secret du client d’audit.

Prise en charge multi-locataires : Ce connecteur prend en charge l’ingestion de données provenant de plusieurs locataires Check Point Email Security en parallèle. Cliquez sur Ajouter une connexion une fois par locataire, en fournissant l’URL de base de l’API et les identifiants de ce locataire – chaque connexion est suivie et gérée indépendamment dans la grille ci-dessous.

• Grille des connecteurs de données (configurer dans le portail)

Pris en charge par :Microsoft Corporation

Le connecteur de pare-feu Cisco ASA vous permet de connecter facilement vos journaux Cisco ASA à Microsoft Sentinel, d’afficher des tableaux de bord, de créer des alertes personnalisées et d’améliorer l’investigation. Cela vous donne plus d’informations sur le réseau de votre organization et améliore vos fonctionnalités d’opération de sécurité.

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Pour collecter des données à partir de machines virtuelles non Azure, Azure Arc doit être installé et activé. En savoir plus

Instructions d’installation :

Activer la règle de collecte de données

Les journaux des événements Cisco ASA/FTD sont collectés uniquement à partir d’agents Linux.

• Install Agent : <valeur de variable fournie au moment de l’installation>

Exécutez la commande suivante pour installer et appliquer le collecteur Cisco ASA/FTD :

• Valeur : <valeur de variable fournie au moment de l’installation>

Pris en charge par :Microsoft Corporation

La solution Cisco Cloud Security pour Microsoft Sentinel vous permet d’ingérer les journauxCisco Secure Access et Cisco Umbrella stockés dans Amazon S3 dans Microsoft Sentinel à l’aide de l’API REST Amazon S3. Pour plus d’informations, reportez-vous à la documentation sur la gestion des journaux cisco Cloud Security .

Table(s) Log Analytics :

Prise en charge des règles de collecte de données :DCR de transformation de l’espace de travail

Conditions préalables:

• Autorisations Microsoft.Web/sites : des autorisations de lecture et d’écriture pour Azure Functions créer une application de fonction sont requises. Pour plus d’informations, consultez Azure Functions.
• Informations d’identification/autorisations de l’API REST Amazon S3 : L’ID de la clé d’accès AWS, la clé d’accès au secret AWS, le nom du compartiment AWS S3 sont requis pour l’API REST Amazon S3.

Instructions d’installation :

NOTE: Ce connecteur utilise Azure Functions pour se connecter à l’API REST Amazon S3 afin d’extraire les journaux dans Microsoft Sentinel. Cela peut entraîner des coûts d’ingestion de données supplémentaires. Pour plus d’informations, consultez la page de tarification Azure Functions.

NOTE: Ce connecteur a été mis à jour pour prendre en charge le schéma de journal Cisco Cloud Security version 14.

(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clé. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Functions.

REMARQUE : ce connecteur utilise un analyseur basé sur une fonction Kusto pour normaliser les champs. Procédez comme suit pour créer l’alias de fonction Kusto Cisco_Umbrella.