Gebruik Azure Functions om Microsoft Sentinel te verbinden met uw gegevensbron

U kunt Azure Functions gebruiken in combinatie met verschillende coderingstalen, zoals PowerShell of Python, om een serverloze connector te maken voor de REST API-eindpunten van uw compatibele gegevensbronnen. Met Azure Function Apps kunt u Microsoft Sentinel vervolgens verbinden met de REST API van uw gegevensbron om logboeken op te halen.

In dit artikel wordt beschreven hoe u Microsoft Sentinel configureert voor het gebruik van Azure-functie-apps. Mogelijk moet u ook uw bronsysteem configureren en vindt u koppelingen naar leverancier- en productspecifieke informatie op de pagina van elke gegevensconnector in de portal of in de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors.

Opmerking

  • Zodra de gegevens zijn opgenomen in Microsoft Sentinel, worden ze opgeslagen op de geografische locatie van de werkruimte waarin u Microsoft Sentinel uitvoert.

    Voor langetermijnretentie kunt u ook gegevens opslaan in logboektypen, zoals hulplogboeken. Zie Bewaarplannen vastleggen in Microsoft Sentinel voor meer informatie.

  • Het gebruik van Azure Functions om gegevens op te nemen in Microsoft Sentinel kan leiden tot extra kosten voor gegevensopname. Zie de pagina met prijzen voor Azure Functions voor meer informatie.

Vereisten

Zorg ervoor dat u over de volgende machtigingen en referenties beschikt voordat u Azure Functions gebruikt om Microsoft Sentinel te verbinden met uw gegevensbron en de logboeken in Microsoft Sentinel op te halen:

  • U moet lees- en schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte.

  • U moet leesmachtigingen hebben voor gedeelde sleutels voor de werkruimte. Meer informatie over werkruimtesleutels.

  • U moet lees- en schrijfmachtigingen hebben voor Azure Functions om een functie-app te maken. Voor meer informatie, zie de Azure Functions-documentatie.

  • U hebt ook referenties nodig voor toegang tot de API van het product: een gebruikersnaam en wachtwoord, een token, een sleutel of een andere combinatie. Mogelijk hebt u ook andere API-gegevens nodig, zoals een eindpunt-URI.

    Zie voor meer informatie de documentatie voor de service waarmee u verbinding maakt en het gedeelte voor uw service op de pagina Naslaginformatie voor Microsoft Sentinel-gegevensconnectoren.

  • Installeer de oplossing die uw connector op basis van Azure Functions bevat vanuit de Content Hub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

Uw gegevensbron configureren en verbinden

Volg deze stappen om je API-inloggegevens te verkrijgen, de connector uit te rollen en de bijbehorende Azure Function App te configureren.

Opmerking

runtime-configuratie van Azure Functions

Opmerking

Microsoft Sentinel-connectors die gebruikmaken van Azure Functions bevatten voorgecompileerde Python-afhankelijkheden. De Azure Function App-runtime, inclusief de Python-versie, is vooraf geconfigureerd in de arm-sjabloon (Solution Azure Resource Manager) en mag niet worden gewijzigd.

Stap 1: de API-referenties van uw bronsysteem ophalen

Volg de instructies van uw bronsysteem om de API-referenties/autorisatiesleutels/tokens op te halen. Kopieer en plak ze in een tekstbestand voor later.

U vindt details over de exacte aanmeldingsgegevens die u nodig hebt, en koppelingen naar de instructies voor uw product om deze te vinden of te maken, op de pagina met gegevensconnectors in de portal en in de sectie voor uw service op de pagina referentiepagina voor Microsoft Sentinel-gegevensconnectors.

Mogelijk moet u ook logboekregistratie of andere instellingen configureren op uw bronsysteem. Voor configuratie-instructies, zie de data connector-pagina in het portaal en de sectie voor uw dienst op de referentiepagina van Microsoft Sentinel data connectors.

Stap 2: de connector en de bijbehorende Azure-functie-app implementeren

Een implementatieoptie kiezen

De ARM-template-implementatiemethode biedt een geautomatiseerde implementatie van je op Azure Function gebaseerde connector.

  1. Selecteer gegevensconnectors in de Microsoft Sentinel-portal. Selecteer in de lijst de connector die gebruikmaakt van Azure Functions en open vervolgens de connectorpagina.

  2. Kopieer onder Configuratie de Microsoft Sentinel werkruimte-id en primaire sleutel en plak deze opzij.

  3. Selecteer Implementeren in Azure. (Mogelijk moet u omlaag schuiven om de knop te vinden.)

  4. Het scherm Aangepaste implementatie wordt weergegeven.

    • Selecteer een abonnement, resourcegroep en regio waarin u uw functie-app wilt implementeren.

    • Voer je API-inloggegevens / autorisatiesleutels / tokens in die je hebt opgeslagen in Download de API-inloggegevens van je bronsysteem.

    • Voer uw Microsoft Sentinel Werkruimte-id en Werkruimtesleutel (primaire sleutel) in die u hebt gekopieerd en opzij hebt gezet.

      Opmerking

      Als u Azure Key Vault geheimen gebruikt voor een van de bovenstaande waarden, gebruikt u het @Microsoft.KeyVault(SecretUri={Security Identifier}) schema in plaats van de tekenreekswaarden. Zie Key Vault-verwijzingen gebruiken voor Azure App Service en Azure Functions voor meer informatie.

    • Vul alle andere velden in het formulier in op het scherm Aangepaste implementatie . Zie de pagina van uw gegevensconnector in de portal of de sectie voor uw service op de referentiepagina voor Microsoft Sentinel-gegevensconnectors.

    • Selecteer Beoordelen en maken. Wanneer de validatie is voltooid, selecteert u Maken.

Uw gegevens zoeken

Nadat een geslaagde verbinding tot stand is gebracht, worden de gegevens weergegeven in Logboeken onder CustomLogs, in de tabellen die worden vermeld in de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors.

Als u query's wilt uitvoeren op gegevens, voert u een van de tabelnamen in die voor uw service worden vermeld op de referentiepagina Microsoft Sentinel gegevensconnectors ( of de relevante Kusto-functiealias ) in het queryvenster.

Zie het tabblad Volgende stappen op de connectorpagina voor enkele nuttige voorbeeldquery's.

Connectiviteit valideren

Het kan tot 20 minuten duren voordat uw logboeken worden weergegeven in Log Analytics.

Verwante onderwerpen

In dit document hebt u geleerd hoe u Microsoft Sentinel kunt verbinden met uw gegevensbron met behulp van connectors op basis van Azure Functions. Voor meer informatie over de zichtbaarheid, dreigingsdetectie en monitoring van Microsoft Sentinel, zie de volgende artikelen:

  • Last updated on