Microsoft Sentinel verbinden met andere Microsoft-services met een gegevensconnector op basis van een Windows-agent

In dit artikel wordt beschreven hoe u Microsoft Sentinel kunt verbinden met andere Microsoft-services via verbindingen op basis van de Windows-agent. Microsoft Sentinel gebruikt de Azure Monitor-agent om ingebouwde service-naar-service-ondersteuning te bieden voor gegevensopname van veel Azure- en Microsoft 365-services, Amazon Web Services en verschillende Windows Server-services.

De Azure Monitor Agent maakt gebruik van gegevensverzamelingsregels (DCR's) om de gegevens te definiëren die van elke agent moeten worden verzameld. Regels voor gegevensverzameling bieden u twee verschillende voordelen:

• Beheer verzamelingsinstellingen op grote schaal en sta toch unieke, afgebakende configuraties toe voor specifieke groepen machines. Ze zijn onafhankelijk van de werkruimte en onafhankelijk van de virtuele machine, wat betekent dat ze eenmaal kunnen worden gedefinieerd en opnieuw kunnen worden gebruikt op verschillende machines en omgevingen. Zie Gegevensverzameling configureren voor de Azure Monitor-agent.

• Bouw aangepaste filters om de exacte gebeurtenissen te kiezen die u wilt opnemen. De Azure Monitor-agent gebruikt deze regels om de gegevens bij de bron te filteren en alleen de gewenste gebeurtenissen op te nemen, terwijl alles achterblijft. Dit kan u veel geld besparen in kosten voor gegevensopname.

Vereisten

• U moet lees- en schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte.

• Als u gebeurtenissen wilt verzamelen van een systeem dat geen Azure virtuele machine is, moet op het systeem Azure Arc zijn geïnstalleerd en ingeschakeld voordat u de connector op basis van Azure Monitor Agent inschakelt.

  Dit zijn:

  • Windows-servers die zijn geïnstalleerd op fysieke machines
  • Windows-servers die zijn geïnstalleerd op on-premises virtuele machines
  • Windows-servers die zijn geïnstalleerd op virtuele machines in niet-Azure clouds

• Voor de gegevensconnector voor doorgestuurde gebeurtenissen van Windows:

  • Windows Event Collection (WEC) moet zijn ingeschakeld en uitgevoerd, waarbij de Azure Monitor Agent is geïnstalleerd op de WEC-computer.
  • U wordt aangeraden de ASIM-parsers (Advanced Security Information Model) te installeren om volledige ondersteuning voor gegevensnormalisatie te garanderen. U kunt deze parsers implementeren vanuit de Azure-Sentinel GitHub-opslagplaats met behulp van de knop Implementeren naar Azure daar.
  • Gebeurtenissen die via Windows Event Forwarding worden verzameld, worden naar de WindowsEvent tabel geschreven, inclusief gebeurtenissen die vanuit het Windows-beveiliging-logboek worden doorgestuurd. Ze zijn niet op tafel SecurityEvent geschreven.

• Installeer de gerelateerde Microsoft Sentinel-oplossing vanuit de Content Hub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

Regels voor gegevensverzameling maken via de GUI

Voer de volgende stappen uit om een regel voor gegevensverzameling te maken in de Microsoft Sentinel-portal.

1. Ga in Microsoft Sentinel naar Configuratie>Gegevensconnectors. Selecteer uw connector in de lijst en selecteer vervolgens Connectorpagina openen in het detailvenster. Volg vervolgens de instructies op het scherm onder het tabblad Instructies en voltooi de resterende stappen in deze procedure.

2. Controleer of u over de juiste machtigingen beschikt, zoals beschreven in de sectie Vereisten op de connectorpagina. U hebt minimaal lees- en schrijfmachtigingen nodig voor de Microsoft Sentinel werkruimte.

3. Selecteer onder Configuratiede optie +Regel voor gegevensverzameling toevoegen. De wizard Regel voor gegevensverzameling maken wordt aan de rechterkant geopend.

4. Voer onder Basisbeginselen een regelnaam in en geef een abonnement en resourcegroep op waar de regel voor gegevensverzameling (DCR) wordt gemaakt. Dit hoeft niet dezelfde resourcegroep of hetzelfde abonnement te zijn waarin de bewaakte machines en hun koppelingen zich bevinden, zolang ze zich in dezelfde tenant bevinden.

5. Selecteer op het tabblad Resourcesde optie +Resource(s) toevoegen om machines toe te voegen waarop de regel voor gegevensverzameling van toepassing is. Het dialoogvenster Een bereik selecteren wordt geopend en u ziet een lijst met beschikbare abonnementen. Vouw een abonnement uit om de resourcegroepen te bekijken en vouw een resourcegroep uit om de beschikbare machines te zien. U ziet Azure virtuele machines en Azure servers met Arc in de lijst. U kunt de selectievakjes van abonnementen of resourcegroepen markeren om alle computers te selecteren die ze bevatten, of u kunt afzonderlijke computers selecteren. Selecteer Toepassen wanneer u al uw computers hebt gekozen. Aan het einde van dit proces wordt de Azure Monitor Agent geïnstalleerd op alle geselecteerde computers waarop deze nog niet is geïnstalleerd.

6. Kies op het tabblad Verzamelen de gebeurtenissen die u wilt verzamelen: selecteer Alle gebeurtenissen of Aangepast om andere logboeken op te geven of om gebeurtenissen te filteren met behulp van XPath-query's. Voer expressies in het vak in die specifieke XML-criteria voor het verzamelen van gebeurtenissen evalueren en selecteer vervolgens Toevoegen. U kunt maximaal 20 expressies invoeren in één vak en maximaal 100 vakken in een regel.

   Zie de documentatie Azure Monitor voor meer informatie.

   Opmerking

   • De Windows-beveiliging Events-connector biedt nog twee andere vooraf gedefinieerde gebeurtenissensets waaruit u kunt kiezen om te verzamelen: Algemeen en Minimaal.

   • De Azure Monitor Agent ondersteunt alleen XPath-query's voor XPath versie 1.0.

   Als u de geldigheid van een XPath-query wilt testen, gebruikt u de PowerShell-cmdlet Get-WinEvent met de parameter -FilterXPath . Bijvoorbeeld:

   $XPath = '*[System[EventID=1035]]'
   Get-WinEvent -LogName 'Application' -FilterXPath $XPath
   

   • Als gebeurtenissen worden geretourneerd, is de query geldig.
   • Als u het bericht 'Er zijn geen gebeurtenissen gevonden die overeenkomen met de opgegeven selectiecriteria' ontvangt, is de query mogelijk geldig, maar zijn er geen overeenkomende gebeurtenissen op de lokale computer.
   • Als u het bericht 'De opgegeven query is ongeldig' ontvangt, is de querysyntaxis ongeldig.

7. Wanneer u alle gewenste filterexpressies hebt toegevoegd, selecteert u Volgende: Controleren en maken.

8. Wanneer u het bericht Validatie geslaagd ziet, selecteert u Maken.

U ziet al uw regels voor het verzamelen van gegevens, inclusief de regels die u maakt met behulp van de API, onder Configuratie op de connectorpagina. Van daaruit kunt u bestaande regels bewerken of verwijderen.

Regels voor gegevensverzameling maken met behulp van de API

Je kunt ook dataverzamelingsregels maken met de API, wat het leven makkelijker kan maken als je veel regels maakt, bijvoorbeeld als je een managed security service provider (MSSP) bent. Hier is een voorbeeld (voor de connector Windows-beveiligingsgebeurtenissen via AMA) dat u als sjabloon kunt gebruiken om een regel te maken:

Verzend de volgende PUT-aanvraag om een regel voor gegevensverzameling te maken of bij te werken waarmee de gebeurtenisbronnen, de doel-Log Analytics werkruimte en de gegevensstroom ertussen worden gedefinieerd.

Aanvraag-URL en header

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Aanvraagtekst

De volgende JSON-hoofdtekst definieert de DCR-configuratie, inclusief de Windows gegevensbronnen voor gebeurtenislogboeken, de doel-Log Analytics-werkruimte en de gegevensstromen die de verzamelde gebeurtenissen naar die werkruimte routeren.

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Zie voor meer informatie:

• Regels voor gegevensverzameling (DDR's) in Azure Monitor
• API-schema voor regels voor gegevensverzameling

Volgende stappen

Zie voor meer informatie:

• catalogus met Microsoft Sentinel oplossingen
• Integratie van bedreigingsinformatie in Microsoft Sentinel