Trasmettere avvisi alle soluzioni di monitoraggio

Microsoft Defender per il cloud può trasmettere avvisi di sicurezza in varie soluzioni di Security Information and Event Management (SIEM), Security Orchestration Automated Response (SOAR) e IT Service Management (ITSM). Gli avvisi di sicurezza vengono generati quando vengono rilevate minacce sulle risorse. Defender per il cloud dà priorità e elenca gli avvisi nella pagina Avvisi, insieme alle informazioni necessarie per indagare rapidamente sul problema. Vengono forniti passaggi dettagliati per facilitare il rimedio della minaccia rilevata. Tutti i dati degli avvisi vengono mantenuti per 90 giorni.

Sono disponibili strumenti Azure integrati per assicurarti di visualizzare i dati degli avvisi nelle seguenti soluzioni:

• Microsoft Sentinel
• Splunk Enterprise e Splunk Cloud
• Power BI
• ServiceNow
• IBM QRadar
• Palo Alto Networks
• ArcSight
• Dynatrace

Trasmettere avvisi a Defender XDR con l'API Defender XDR

Defender per il cloud si integra nativamente con Microsoft Defender XDR per permetterti di utilizzare l'API di incidenti e avvisi di Defender XDR per trasmettere avvisi e incidenti verso soluzioni non Microsoft. I clienti di Defender per il cloud possono accedere a un'API per tutti i prodotti di sicurezza Microsoft e possono usare questa integrazione come modo più semplice per esportare avvisi e incidenti.

Informazioni su come integrare gli strumenti SIEM con Defender XDR.

Trasmettere gli avvisi a Microsoft Sentinel

Defender per il cloud si integra nativamente con Microsoft Sentinel, la soluzione cloud SIEM e SOAR di Azure.

Connettori di Microsoft Sentinel per Defender per il cloud

Microsoft Sentinel include connettori predefiniti per Microsoft Defender per il cloud a livello di abbonamento e di tenant.

È possibile:

• Trasmettere avvisi a Microsoft Sentinel a livello di abbonamento.
• Connettere tutti gli abbonamenti nel tenant a Microsoft Sentinel.

Quando si connette Defender per il cloud a Microsoft Sentinel, lo stato degli avvisi di Defender per il cloud inseriti in Microsoft Sentinel viene sincronizzato tra i due servizi. Ad esempio, quando un avviso viene chiuso in Defender per il cloud, viene visualizzato anche come chiuso in Microsoft Sentinel. Quando si modifica lo stato di un avviso in Defender per il cloud, viene aggiornato anche lo stato dell'avviso in Microsoft Sentinel. Tuttavia, gli stati di qualsiasi incidente di Microsoft Sentinel che contengono l'avviso sincronizzato di Microsoft Sentinel non vengono aggiornati.

È possibile abilitare la funzionalità di sincronizzazione degli avvisi bidirezionali per sincronizzare automaticamente lo stato degli avvisi originali di Defender per il cloud con gli incidenti di Microsoft Sentinel che contengono le copie degli avvisi di Defender per il cloud. Ad esempio, quando chiudi un incidente Microsoft Sentinel che contiene un avviso Defender per il cloud, Defender per il cloud chiude automaticamente l'avviso originale corrispondente.

Informazioni su come connettere gli avvisi da Microsoft Defender per il cloud.

Configurare l'inserimento di tutti i log di controllo in Microsoft Sentinel

Puoi anche indagare sugli avvisi di Defender per il cloud in Microsoft Sentinel trasmettendo i tuoi log di audit su Microsoft Sentinel:

• Connettere gli eventi di sicurezza di Windows
• Raccogliere dati da origini basate su Linux usando Syslog
• Connettere i dati dal log attività di Azure

Trasmettere avvisi a QRadar e Splunk

Per esportare gli avvisi di sicurezza in Splunk e QRadar, è necessario usare Hub eventi e un connettore predefinito. È possibile usare uno script di PowerShell o il portale di Azure per configurare i requisiti per l'esportazione degli avvisi di sicurezza per l'abbonamento o il tenant. Dopo aver stabilito i requisiti, installa il connettore nella tua piattaforma SIEM seguendo i passaggi QRadar o Splunk descritti più avanti in questo articolo.

Prerequisiti

Prima di configurare i servizi Azure per l'esportazione degli avvisi, assicurati di avere:

• Una sottoscrizione di Azure (Creare un account gratuito)

• Un gruppo di risorse di Azure (Creare un nuovo gruppo di risorse)

• Ruolo del proprietario nell'ambito degli avvisi (abbonamento, gruppo di gestione o inquilino), oppure questi permessi specifici:

  • Autorizzazioni di scrittura per Hub eventi e criteri Hub eventi
  • Creare autorizzazioni per applicazioni Microsoft Entra, se non si usa un'applicazione Microsoft Entra esistente
  • Assegnare le autorizzazioni per i criteri, se si usa il criterio di Azure 'DeployIfNotExist'

Configurare i servizi di Azure

Configura il tuo ambiente Azure per supportare l'esportazione continua usando uno script PowerShell o il portale Azure.

Usa lo script PowerShell (consigliato)

Per configurare i servizi Azure usando uno script PowerShell, segui questi passaggi:

1. Scarica ed esegui gli script PowerShell per l'integrazione con SIEM di terze parti di Defender per il cloud.

2. Immettere i parametri richiesti.

3. Esegui lo script.

Lo script esegue automaticamente tutti i passaggi. Al termine dello script, usare l'output per installare la soluzione nella piattaforma SIEM.

Usare il portale di Azure

Per creare le risorse richieste nel portale Azure, segui questi passaggi:

1. Accedi al portale di Azure.

2. Cerca e seleziona Hub Eventi.

3. Creare uno spazio dei nomi di Hub eventi e un hub eventi.

4. Definire un criterio per l'hub eventi con autorizzazioni Send.

   • Se stai trasmettendo avvisi su QRadar:

     1. Creare un criterio hub eventi Listen.
     2. Copiare e salvare la stringa di connessione del criterio da usare in QRadar.
     3. Creare un gruppo di consumer.
     4. Copiare e salvare il nome da usare nella piattaforma SIEM.
     5. Abilitare l'esportazione continua degli avvisi di sicurezza nell'hub eventi definito.
     6. Creare un account di archiviazione.
     7. Copiare e salvare la stringa di connessione dell'account da usare in QRadar.

     Per maggiori informazioni sulla configurazione di QRadar, vedi Prepara le risorse Azure per l'esportazione su Splunk e QRadar.

   • Se stai trasmettendo gli avvisi su Splunk:

     1. Crea un'applicazione Entra.
     2. Salvare il tenant, l'ID app e la password dell'app.
     3. Dai i permessi all'applicazione Entra di leggere dall'hub eventi che hai creato in precedenza.

     Per maggiori informazioni sulla configurazione di Splunk, vedi Prepara le risorse Azure per l'esportazione su Splunk e QRadar.

Connettere l'hub eventi alla soluzione preferita usando i connettori predefiniti

Ogni piattaforma SIEM dispone di uno strumento che le consente di ricevere avvisi dagli Event Hub. Installare lo strumento per la piattaforma per iniziare a ricevere avvisi.

Trasmettere gli avvisi con l'esportazione continua

Per trasmettere gli avvisi su ArcSight, SumoLogic, server Syslog, LogRhythm, sulla piattaforma Logz.io Cloud Observability, Dynatrace e su altre soluzioni di monitoraggio, connettere Defender per il cloud usando l'esportazione continua e l'Hub eventi di Azure.

Per trasmettere gli avvisi con l'esportazione continua:

1. Abilitare l'esportazione continua:

   • A livello di abbonamento con esportazione continua.
   • Impostare un criterio di Azure a livello di gruppo di gestione.

2. Connettere l'hub eventi alla soluzione preferita usando i connettori predefiniti:

   Strumento	Ospitato su Azure	Descrizione
   SumoLogic	No	Le istruzioni per configurare SumoLogic per il consumo dei dati di un hub eventi sono disponibili alla pagina Raccogliere log per l'app di audit da hub eventi.
   ArcSight	No	Il connettore intelligente dell'Hub eventi di Azure è disponibile nella raccolta di connettori intelligenti ArcSight.
   Server Syslog	No	Se si vuole trasmettere i dati di Monitoraggio di Azure direttamente a un server syslog, è possibile usare una soluzione basata su una funzione di Azure.
   LogRhythm	No	Le istruzioni per configurare LogRhythm per raccogliere log da un event hub sono disponibili su Six tips per proteggere il tuo ambiente cloud Azure.
   Logz.io	Yes	Per altre informazioni, consultare Introduzione al monitoraggio e alla registrazione con Logz.io per app Java in esecuzione in Azure
   Dynatrace	No	Per istruzioni su come configurare l'integrazione in Dynatrace, vedere Inserire gli eventi di sicurezza di Microsoft Defender per il cloud

3. (Facoltativo) Trasmettere i log non elaborati all'hub eventi e connettersi alla soluzione preferita. Per altre informazioni, consultare Dati di monitoraggio disponibili.

Per visualizzare gli schemi eventi dei tipi di dati esportati, consultare gli schemi di eventi di Hub eventi.

Usare l'API Microsoft Graph Security per trasmettere avvisi ad applicazioni non Microsoft

Defender per il cloud include un'integrazione integrata con API Microsoft Graph Security che puoi utilizzare per trasmettere gli avvisi senza ulteriori necessità di configurazione.

Usa questa API per trasmettere avvisi dall'intero tenant e dati di molti prodotti Microsoft Security verso SIEM non Microsoft e altre piattaforme popolari:

• Splunk Enterprise e Splunk Cloud: Usa il API Microsoft Graph Security Add-On per Splunk.
• Power BI: Connettersi a API Microsoft Graph Security in Power BI Desktop.
• ServiceNow: Installa e configura l'applicazione API Microsoft Graph Security dal ServiceNow Store.
• QRadar: Usa il modulo di supporto ai dispositivi IBM per Microsoft Defender per il cloud tramite Microsoft API Graph.
• Palo Alto Networks, Anomali, Lookout, InSpark e altri: Usa la API Microsoft Graph Security.

Contenuti correlati

• Che cos'è Microsoft Sentinel?
• Validazione degli avvisi in Microsoft Defender per il cloud
• Esportazione continua dei dati di Defender per il cloud