Uw platform voor bedreigingsinformatie verbinden met Microsoft Sentinel met de upload-API (preview)

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Veel organisaties gebruiken oplossingen van het platform voor bedreigingsinformatie (TIP) om feeds van bedreigingsinformatie uit verschillende bronnen te aggregeren. Vanuit de geaggregeerde feed worden de gegevens gecureerd om toe te passen op beveiligingsoplossingen zoals netwerkapparaten, EDR-/XDR-oplossingen of SIEM-oplossingen (Security Information and Event Management), zoals Microsoft Sentinel. De industriestandaard voor het beschrijven van cyberdreigingsinformatie wordt 'Structured Threat Information Expression' of STIX genoemd. Met behulp van de upload-API die STIX-objecten ondersteunt, gebruikt u een meer expressieve manier om bedreigingsinformatie te importeren in Microsoft Sentinel.

De upload-API neemt bedreigingsinformatie op in Microsoft Sentinel zonder dat er een gegevensconnector nodig is. Dit artikel beschrijft wat je nodig hebt om een TIP of aangepaste oplossing aan te sluiten op Microsoft Sentinel. Zie het referentiedocument Microsoft Sentinel api uploaden voor meer informatie over de API-details.

Schermopname van het importpad voor bedreigingsinformatie.

Zie Bedreigingsinformatie voor meer informatie over bedreigingsinformatie.

Belangrijk

De Microsoft Sentinel api voor het uploaden van bedreigingsinformatie is in preview. Zie de Aanvullende gebruiksvoorwaarden voor Microsoft Azure Previews voor meer juridische voorwaarden die van toepassing zijn op Azure functies die in bètaversie, preview of anderszins nog niet algemeen beschikbaar zijn.

Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal. Vanaf juli 2025 worden veel nieuwe klanten automatisch aangemeld en omgeleid naar de Defender-portal.

Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden. Zie It’s Time to Move: Retiring Microsoft Sentinel’s Azure portal for greater security voor meer informatie.

Opmerking

Zie voor informatie over de beschikbaarheid van functies in clouds van de Amerikaanse overheid de Microsoft Sentinel tabellen in Beschikbaarheid van cloudfuncties voor klanten van de Amerikaanse overheid.

Vereisten

  • U moet lees- en schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte om uw STIX-objecten voor bedreigingsinformatie op te slaan.
  • U moet een Microsoft Entra-toepassing kunnen registreren.
  • Uw Microsoft Entra-toepassing moet op werkruimteniveau de rol Microsoft Sentinel Contributor krijgen toegewezen.

Stappen om de upload API-verbinding te configureren

Volg deze stappen om STIX-objecten te importeren uit uw TIP of aangepaste oplossing in Microsoft Sentinel:

  1. Registreer een Microsoft Entra toepassing en noteer vervolgens de toepassings-id.
  2. Genereer en noteer een clientgeheim voor uw Microsoft Entra toepassing.
  3. Wijs uw Microsoft Entra-toepassing de rol Microsoft Sentinel Contributor of een gelijkwaardige rol toe.
  4. Configureer uw TIP-oplossing of aangepaste toepassing.

Een Microsoft Entra-toepassing registreren

Met de standaardmachtigingen voor gebruikersrollen kunnen gebruikers toepassingsregistraties maken. Als de registratietoestemming voor applicaties is veranderd naar Nee, heb je toestemming nodig om applicaties te beheren in Microsoft Entra. Een van de volgende Microsoft Entra rollen bevat de vereiste machtigingen:

  • Toepassingsbeheerder
  • Toepassingsontwikkelaar
  • Cloudtoepassingsbeheerder

Zie Een toepassing registreren voor meer informatie over het registreren van uw Microsoft Entra-toepassing.

Nadat u uw toepassing hebt geregistreerd, registreert u de toepassings-id (client) op het tabblad Overzicht van de toepassing.

Een rol toewijzen aan de toepassing

De upload-API neemt bedreigingsinformatieobjecten op het niveau van de werkruimte op en vereist de rol van Microsoft Sentinel Inzender.

  1. Ga vanuit de Azure Portal naar Log Analytics-werkruimten.

  2. Selecteer Toegangsbeheer (IAM).

  3. Selecteer Toevoegen>Roltoewijzing toevoegen.

  4. Selecteer op het tabblad Rol de Microsoft Sentinel rol Inzender en selecteer vervolgens Volgende.

  5. Selecteer op het tabblad Ledende optie Toegang toewijzen aan>gebruiker, groep of service-principal.

  6. Selecteer leden. Standaard worden Microsoft Entra toepassingen niet weergegeven in de beschikbare opties. Als u uw toepassing wilt vinden, zoekt u deze op naam.

    Schermopname waarop te zien is dat de rol Microsoft Sentinel-inzender aan de toepassing is toegewezen op het niveau van de werkruimte.

  7. Selecteer Beoordelen en toewijzen.

Zie Een rol toewijzen aan de toepassing voor meer informatie over het toewijzen van rollen aan toepassingen.

Uw oplossing voor bedreigingsinformatieplatform of aangepaste toepassing configureren

De volgende configuratiegegevens zijn vereist voor de upload-API:

  • Toepassings-id (client)
  • Microsoft Entra toegangstoken met OAuth 2.0-verificatie
  • Microsoft Sentinel werkruimte-id

Voer deze waarden waar nodig in de configuratie van uw geïntegreerde TIP of aangepaste oplossing in.

  1. Verzend de bedreigingsinformatie naar de upload-API. Zie Microsoft Sentinel api uploaden voor meer informatie.
  2. Binnen een paar minuten moeten bedreigingsinformatieobjecten naar uw Microsoft Sentinel werkruimte stromen. Zoek de nieuwe STIX-objecten op de pagina Bedreigingsinformatie, die toegankelijk is vanuit het menu Microsoft Sentinel.

Verwante onderwerpen

Lees deze artikelen voor meer informatie:

  • Last updated on