Suportado por:1Password

A solução 1Password para Microsoft Sentinel permite-lhe ingerir tentativas de início de sessão, utilização de itens e eventos de auditoria da sua conta 1Password Business com a API de Relatórios de Eventos 1Password. Isto permite-lhe monitorizar e investigar eventos no 1Password no Microsoft Sentinel juntamente com as outras aplicações e serviços que a sua organização utiliza.

Tecnologias Subjacentes da Microsoft utilizadas:

Esta solução depende das seguintes tecnologias e algumas das quais podem estar no estado de Pré-visualização ou podem incorrer em ingestão ou custos operacionais adicionais:

• Azure Functions

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• 1 Token de API de Eventos de Palavra-passe: é necessário um Token de API de Eventos de Palavra-passe 1. Para obter mais informações, veja a API 1Password.

Nota: É necessária uma conta 1Password Business

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar a 1Password para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados de Azure. Consulte a página de preços do Azure Functions para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

PASSO 1 – Passos de configuração para a API de Relatórios de Eventos 1Password

Siga estas instruções fornecidas pelo 1Password para obter um Token de API de Relatórios de Eventos. Nota: É necessária uma conta 1Password Business

PASSO 2 – Implementar a functionApp com o botão DeployToAzure para criar a tabela, dcr e a Função de Azure associada

IMPORTANTE: Antes de implementar o conector 1Password, é necessário criar uma tabela personalizada.

Opção 1 - Modelo de Azure Resource Manager (ARM)

Este método fornece uma implementação automatizada do conector 1Password com um Arm Tempate.

1. Clique no botão Implementar para Azure abaixo.

   aka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

3. Introduza o Nome da Área de Trabalho, o Nome da Área de Trabalho, a Chave de API de Eventos de Palavra-passe e o URI.

• O Intervalo de Tempo predefinido está definido como cinco (5) minutos. Se quiser modificar o intervalo, pode ajustar o Acionador de Temporizador da Aplicação de Funções em conformidade (no ficheiro function.json, pós-implementação) para impedir a sobreposição da ingestão de dados.
• Nota: se utilizar Azure Key Vault segredos para qualquer um dos valores acima, utilize o@Microsoft.KeyVault(SecretUri={Security Identifier})esquema em vez dos valores da cadeia. Veja Key Vault documentação de referências para obter mais detalhes.

4. Marque a caixa de verificação etiquetada Concordo com os termos e condições indicados acima.
5. Clique em Comprar para implementar.

Suportado por:1Password

O conector CCF 1Password permite que o utilizador ingira 1Password Audit, Signin & ItemUtilize eventos em Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Token da API de 1Password: é necessário um Token de API de Palavra-passe 1. Veja a documentação 1Password sobre como criar um token de API.

Instruções de Configuração:

PASSO 1 – Criar um token da API 1Password:

Siga a documentação 1Password para obter orientações sobre este passo.

PASSO 2 – escolha o URL base correto:

Existem vários servidores 1Password que podem alojar os seus eventos. O servidor correto depende da sua licença e região. Siga a documentação 1Password para escolher o servidor correto. Introduza o URL base conforme apresentado pela documentação (incluindo "https://" e sem um "/" à direita).

PASSO 3 – Introduza os detalhes de 1Password:

Introduza o URL base 1Password & Token da API abaixo:

• URL Base: (Introduza o URL Base)
• Token de API: (Introduza o Token de API)
• Ativar/Desativar Ligação

Suportado por:Microsoft Corporation

Conecta a proteção da API 42Crunch ao Microsoft Sentinel via interface da API REST do Azure Monitor DCE/DCR. A integração utiliza contêineres Docker (API Firewall e Log Forwarder) para encaminhar logs de tráfego API para o Microsoft Sentinel para detecção e análise de ameaças.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Microsoft. Insights/dataCollectionEndpoints: Data Collection Endpoint é necessário para que o conector push moderno receba dados do sistema de segurança externo.
• Microsoft. Insights/dataCollectionRules: A Regra de Coleta de Dados é necessária para definir o esquema e as transformações dos dados recebidos.
• Microsoft. Autorização/função Atribuições: A atribuição de função é necessária para conceder permissões à aplicação Entra para enviar dados para a Regra de Coleta de Dados.
• Requisito do firewall da API 42Crunch: Os contêineres Docker do Firewall e Log Forwarder da API 42Crunch devem ser implantados e operando. Obtenha seu token API Firewall (42C_FIREWALL_TOKEN) e a URL da plataforma (42C_PLATFORM_URL) da plataforma 42Crunch em https://platform.42crunch.com. Instruções completas de implantação estão disponíveis em https://github.com/42Crunch/azure-sentinel-integration.

Instruções de Configuração:

1. Criar Recursos arm e Fornecer as Permissões Necessárias

Esse conector recebe dados de sistemas de segurança externos que enviam logs para o Microsoft Sentinel. O sistema externo deve ser configurado para enviar dados brutos de eventos para a API de Ingestão do Microsoft Sentinel. Clicar em Implantar acionará a criação de tabelas Log Analytics e uma Regra de Coleta de Dados (DCR). Em seguida, criará uma aplicação Entra, ligará o DCR à mesma e definirá o segredo introduzido na aplicação. Esta configuração permite que os dados sejam enviados de forma segura para o DCR com um token de Entra.

Saiba mais sobre o processo de configuração dos conectores

Azure Resource Deployment

O processo de implantação criará os seguintes recursos:

• Tabelas(ões) personalizada(s) do Log Analytics
• Ponto Final de Recolha de Dados (DCE)
• Regra de Coleta de Dados (DCR)
• Inscrição de Inscrição no Entra ID
• Atribuições de funções para ingestão de dados

Valores de configuração

Após a implantação, copie os seguintes valores para configurar seu sistema de segurança externo:

• ID do Inquilino (ID do Diretório): <valor variável fornecido no momento da instalação>
• Entra ID da Aplicação de Registo de Aplicações: <valor variável fornecido no momento da instalação>
• Entra Segredo do Registo de Aplicações: <valor variável fornecido no momento da instalação>
• URL do Endpoint de Coleta de Dados: <valor variável fornecido no momento da instalação>
• ID Imutável da Regra de Recolha de Dados: <valor variável fornecido no momento da instalação>
• Nome do fluxo (FortyTwoCrunchAPIProtectionV2):< valor variável fornecido no momento da instalação>

Nota: Mantenha esses valores seguros. Você vai precisar deles para configurar seu sistema de segurança externo.

2. Configure seu sistema externo para enviar logs

Use os seguintes parâmetros para configurar seu sistema de segurança externo para enviar logs ao workspace.

Etapas de configuração

1. Acesse a interface de configuração do seu sistema de segurança externo.
2. Navegue até as configurações de encaminhamento, integração ou SIEM de dados.
3. Selecione Azure Monitor ou Microsoft Sentinel como destino.
4. Selecione Data Collection Endpoint como método de autenticação.
5. Configure os campos necessários usando os valores da etapa anterior:
   • ID do Inquilino: Cópia do que foi mencionado acima
   • ID da Aplicação (Cliente): Cópia acima
   • Segredo do Cliente: Cópia do que foi mencionado acima
   • Endpoint de Coleta de Dados: Copiar de cima
   • Regra de Coleta de Dados ID Imutável: Copiar acima
   • Nome do Stream: Copie o nome apropriado do stream acima
6. Salve a configuração e ative/inicie o encaminhador.

Validation

Nota: Os dados aparecerão na tabela FortyTwoCrunchAPIProtectionV2 do seu espaço de trabalho Log Analytics em poucos minutos.

Para verificar se os dados estão sendo recebidos, execute a seguinte consulta no seu espaço de trabalho Log Analytics:

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Resolução de problemas

Se os dados não estiverem aparecendo:

• Verifique se os valores de configuração estão corretos

• Verifique se o encaminhador/integração está ativado e em execução

• Revise os logs no seu sistema de segurança externo para detectar quaisquer erros

• Garanta conectividade de rede do seu sistema para o Azure

• Verifique se o aplicativo Entra possui as permissões corretas

  Após implantar os recursos do Azure, configure o contêiner Docker do 42Crunch Log Forwarder para enviar dados aos endpoints DCE/DCR implantados, em vez da API legada HTTP Data Collector.

Atualizar variáveis de ambiente do Docker Compose / Helm Chart

Nota: Essa etapa se aplica se você já tiver uma implantação existente do 42Crunch Log Forwarder usando a API legada HTTP Data Collector. Migre substituindo as variáveis legadas WORKSPACE_ID e WORKSPACE_KEY de ambiente pela nova configuração DCE/DCR:

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

Nota: Se você não tem uma implantação Docker existente ou precisa de um exemplo para seguir, use os passos abaixo.

1. Baixe o exemplo de implantação

Baixe a sample-deployment pasta do repositório Azure-Sentinel. Ele contém o docker-compose.yml, .env.example, e o encaminhador de log usado para enviar dados ao Microsoft Sentinel.

2. Crie seu .env arquivo

Copie .env.example para .env e preencha seus valores antes de executar docker compose up.

• Por padrão, essa amostra roda no modo online e requer um token da plataforma 42Crunch.
• Para rodar no modo offline (sem necessidade de token), defina PROTECTION_TOKEN=NOTUSED e descomente PLATFORM_CONNECTIVITY=NONE em docker-compose.yml.

SEGURANÇA: NÃO coloque CLIENT_SECRET no .env arquivo. Passe como uma variável de ambiente shell. O Docker Compose funde automaticamente as variáveis do ambiente do shell com o .env arquivo.

PowerShell
$env:CLIENT_SECRET = (Read-Host -Prompt "CLIENT_SECRET" -AsSecureString | ConvertFrom-SecureString -AsPlainText)
docker compose up --build

Bash/Linux
read -rs CLIENT_SECRET && export CLIENT_SECRET
docker compose up --build

3. Obtenha seu token de proteção 42Crunch

Da plataforma 42Crunch (platform.42crunch.com):

• Modo online: obtenha o token de Proteger > sua API >> Proteção Firewall Instâncias > Adicionar instância.

• Modo offline (sem conta na plataforma): defina PROTECTION_TOKEN=NOTUSED e descomente PLATFORM_CONNECTIVITY=NONE em docker-compose.yml.

  A URL do endpoint DCE e o ID imutável do DCR são exibidos após a implantação dos recursos ARM na Etapa 1. Para detalhes completos de configuração, consulte a documentação da integração do Microsoft Sentinel do 42Crunch.

  Para um guia completo de migração, veja o Guia de Migração de Proteção de API do 42Crunch.

Importante: Status da Conexão

Este é um conector baseado em push - ele recebe dados do 42Crunch Log Forwarder e não mantém uma conexão ativa de polling. O conector aparece como Conectado quando dados foram recebidos nos últimos 7 dias.

Desinstalar conector

Siga estes passos para desconectar e excluir a instância do conector.

Exclua a Instância do Conector

1. Para desconectar o conector e revogar seu acesso, selecione o botão Revogar acesso .
2. Retorne à página de conectores de dados, selecione o menu de transbordo do conector (os três pontos) e escolha Excluir para remover a instância do conector.
3. Navegue até o hub de Conteúdo, localize a solução correspondente e a exclua para completar a remoção.

Isso remove a instância do conector push. Os dados históricos no seu espaço de trabalho do Log Analytics serão mantidos.

Suportado por:Segurança Anormal

O conector Abnormal Security envia eventos de segurança em tempo real (ameaças, casos, logs de auditoria, relatórios de caixas de correio de abuso, mudanças de postura, casos ATO, remediações e casos de fornecedores) da plataforma de segurança de e-mail em nuvem da Abnormal para o Microsoft Sentinel usando o padrão Push Codeless Connector Framework (CCF). Os eventos são roteados para tabelas do tipo evento que correspondem à convenção de nomes dos conectores legados, permitindo uma migração contínua.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Microsoft Entra: permissão para criar um registo de aplicação no Microsoft Entra ID. Normalmente, requer Entra função de Programador de Aplicações de ID ou superior.
• Microsoft Azure: Permissão para atribuir a função de Editor de Métricas de Monitorização na regra de recolha de dados (DCR). Normalmente, requer Azure função de Proprietário de RBAC ou Administrador de Acesso de Utilizador.
• Segurança Anormal: Assinatura ativa de Segurança Anormal com acesso às configurações de integração SIEM.

Instruções de Configuração:

1. Implementar Recursos do Conector

Esse conector permite que a Abnormal Security envie eventos de segurança em tempo real diretamente para o Microsoft Sentinel via Azure Monitor Ingestion API.

Configuração Automatizada Clicar em Implantar criará:

• 9 tabelas de logs personalizadas para roteamento por tipo evento
• Regra de Coleta de Dados (DCR) com 9 fluxos
• Data Collection Endpoint (DCE) para ingestão
• Aplicação Microsoft Entra com credenciais OAuth
• Atribuições obrigatórias de funções IAM (Monitoring Metrics Publisher)

Isso permite que a Abnormal Security envie eventos com segurança usando credenciais de cliente OAuth 2.0.

2. Configurar Segurança Anormal

Use os seguintes parâmetros para configurar a integração do Microsoft Sentinel no Portal de Segurança Anormal.

• ID do Inquilino (ID do Diretório): <valor variável fornecido no momento da instalação>
• ID da Aplicação (Cliente):< valor variável fornecido no momento da instalação>
• Segredo do Cliente: <valor variável fornecido no momento da instalação>
• URI do Ponto Final da Recolha de Dados: <valor variável fornecido no momento da instalação>
• Regra de Coleta de Dados ID Imutável: <valor da variável fornecido no momento> da instalação Configurar no Portal de Segurança Anormal

1. Faça login no Portal de Segurança Anormal
2. Navegue até Configurações > Integrações > SIEM
3. Select Microsoft Sentinel (Azure Monitor CCF)
4. Insira todos os 7 valores acima
5. Clique em Verificar Credenciais para testar a conexão
6. Clique em Salvar e Ativar a integração Roteamento multi-tabela: Os eventos são automaticamente roteados para tabelas por tipo de evento (por exemplo, registros de ameaças → ABNORMAL_SECURITY_THREAT_LOG_CL, casos → ABNORMAL_SECURITY_CASE_CL). Tipos de eventos desconhecidos vão para a tabela ABNORMAL_SECURITY_LOGS_CLde reserva.

3. Verificar a Ingestão de Dados

Confirme que os eventos estão fluindo de Segurança Anormal para Sentinela.

Espere de 5 a 10 minutos após ativar a integração, então execute esta consulta KQL:

ABNORMAL_SECURITY_THREAT_LOG_CL de união, ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | onde TimeGenerated > ago(1h) | estende event_type = tostring(abx_metadata.event_type) | resume count() por event_type | order por count_ desc

Se nenhum dado aparecer após 15 minutos, verifique credenciais no Portal de Segurança Anormal e verifique o Azure Monitor para erros de ingestão.

Suportado por:Segurança Anormal

O conector de dados de Segurança Anormal fornece a capacidade de ingerir ameaças e registos de casos em Microsoft Sentinel através da API Rest de Segurança Anormal.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Token de API de Segurança Anormal: é necessário um Token de API de Segurança Anormal. Para obter mais informações, veja API de Segurança Anormais. Nota: É necessária uma conta de Segurança Anormal

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API REST da Segurança Anormal para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

PASSO 1 – Passos de configuração para a API de Segurança Anormal

Siga estas instruções fornecidas pela Segurança Anormal para configurar a integração da API REST. Nota: É necessária uma conta de Segurança Anormal

PASSO 2 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implementar o conector de dados De Segurança Anormal, tenha o ID da Área de Trabalho e a Chave Primária da Área de Trabalho (podem ser copiados do seguinte), bem como o Token de Autorização de API de Segurança Anormal, prontamente disponível.

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Opção 1 - Modelo de Azure Resource Manager (ARM)

Este método fornece uma implementação automatizada do conector de Segurança Anormal com um Modelo do ARM.

1. Clique no botão Implementar para Azure abaixo.

   aka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

3. Introduza o ID da Área de Trabalho Microsoft Sentinel, Microsoft Sentinel Chave Partilhada e Chave de API REST de Segurança Anormal.

• O Intervalo de Tempo predefinido está definido para extrair os últimos cinco (5) minutos de dados. Se o intervalo de tempo precisar de ser modificado, recomenda-se que altere o Acionador do Temporizador da Aplicação de Funções em conformidade (no ficheiro function.json, pós-implementação) para evitar a sobreposição da ingestão de dados.

4. Marque a caixa de verificação etiquetada Concordo com os termos e condições indicados acima.
5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados de Segurança Anormal com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, AbnormalSecurityXX).

   e. Selecione um runtime: Selecione Python 3.11.

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione + Nova definição da aplicação.

11. Adicione cada uma das seguintes definições de aplicação individualmente, com os respetivos valores de cadeia (sensíveis às maiúsculas e minúsculas): SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (opcional) (adicione quaisquer outras definições exigidas pela Aplicação de Funções) Defina o uri valor como: <add uri value>

Nota: se utilizar Azure Key Vault segredos para qualquer um dos valores acima, utilize o@Microsoft.KeyVault(SecretUri={Security Identifier})esquema em vez dos valores da cadeia. Veja Azure Key Vault documentação de referências para obter mais detalhes.

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato:https://<CustomerId>.ods.opinsights.azure.us.

4. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Microsoft Corporation

Agent 365 conector de dados fornece informações mais avançadas sobre a atividade do agente de IA ao trazer telemetria do agente de IA de Agent 365, AI Foundry e Copilot no data lake do Microsoft Sentinel para investigar o comportamento do agente, a utilização de ferramentas e a execução com fluxos de trabalho de investigação, gráfico e MCP. Os dados deste conector são utilizados para investigar o comportamento do agente de IA, a utilização de ferramentas e a execução no Microsoft Sentinel. Se tiver ativado estes fluxos de trabalho, desativar este conector impedirá que essas investigações sejam realizadas.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Instruções de Configuração:

Suportado por:Airlock Digital

O conector SaaS Digital Airlock periodicamente extrai histórico de execução e registros de atividade do servidor da API SaaS Digital da Airlock, autenticando com uma chave API de usuário junto com seus identificadores de diretório e inquilino. Ele é o conector de pesquisas para a oferta SaaS hospedada da Airlock Digital e não coleta registros de alterações de políticas. Para servidores autohospedados ou Airlock Digital SaaS rodando v7.0 ou superior, o conector Airlock Digital (Push) entrega eventos quase em tempo real e também coleta mudanças de políticas. Para servidores autohospedados mais antigos que a v7.0, use o conector Airlock Digital (Poll ).

NOTA: Use um conector por servidor Airlock Digital. Se o mesmo servidor for coletado por mais de um conector Airlock Digital, dados duplicados são preenchidos nas tabelas.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Credenciais da API SaaS da Airlock Digital: Uma chave de API do usuário, ID de diretório e ID de inquilino para sua instância SaaS Digital da Airlock.

Instruções de Configuração:

Configurar o acesso à API Digital SaaS da Câmara de Ar

Configure o acesso à API no seu tenant SaaS Digital Airlock antes de conectar.

A URL do seu servidor vem do endereço do portal: pegue https://portal.au.YourDomain.com/tenant/XYZ/dashboard e retire o portal. prefixo e tudo depois do domínio de nível superior, deixando https://au.YourDomain.com.

A chave da API do usuário, o ID do diretório e o ID do locatário estão no Airlock Digital, no Menu > do Usuário Meu Perfil.

Os registros são consultados a cada cinco minutos.

Conecte instâncias SaaS digitais Airlock ao Microsoft Sentinel

Esse conector suporta múltiplas conexões simultâneas. Adicione uma conexão por cada instância de SaaS Digital Airlock; cada conexão ingere os tipos de dados selecionados em paralelo. Use a grade abaixo para revisar conexões existentes ou adicionar uma nova.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Airlock Digital

O conector Airlock DigitalPoll periodicamente extrai o histórico de execução e os registros de atividade do servidor da API REST de um servidor Airlock Digital auto-hospedado, autenticando com uma chave API de usuário. Ele é destinado a servidores anteriores à v7.0 que não suportam logging baseado em push, e não coleta logs de mudanças de políticas. Para servidores auto-hospedados ou Airlock Digital SaaS rodando v7.0 ou superior, o conector Airlock Digital (Push) entrega eventos quase em tempo real; para Airlock Digital SaaS, o conector Airlock Digital (Poll - SaaS) também está disponível.

NOTA: Use um conector por servidor Airlock Digital. Se o mesmo servidor for coletado por mais de um conector Airlock Digital, dados duplicados são preenchidos nas tabelas.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Chave API Airlock Digital: Uma chave API para seu servidor Airlock Digital.

Instruções de Configuração:

Configurar o acesso à Airlock Digital API

Configure o acesso à API no seu servidor Airlock Digital antes de conectar.

A API Airlock Digital REST ouve na porta 3129 por padrão, então a URL do seu servidor parece .https://airlock.company.com:3129 O servidor deve ser acessível pelo Azure.

Crie uma chave API no Airlock Digital no Menu do Usuário > Meu Perfil > Chaves API.

Os registros são consultados a cada cinco minutos.

Conecte servidores Airlock Digital ao Microsoft Sentinel

Esse conector suporta múltiplas conexões simultâneas. Adicionar uma conexão por servidor Airlock Digital; Cada conexão ingere os tipos de dados selecionados em paralelo. Use a grade abaixo para revisar conexões existentes ou adicionar uma nova.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Airlock Digital

O conector Airlock DigitalPush transmite histórico de execução, atividade do servidor e registros de mudanças de políticas para o Microsoft Sentinel quase em tempo real. Ele suporta tanto servidores autohospedados quanto Airlock Digital SaaS rodando v7.0 ou superior. Os eventos são enviados pelo recurso de registro externo do Airlock à medida que ocorrem, então não há atraso na sondagem, e a autenticação usa um aplicativo Microsoft Entra. Este é o conector recomendado para Airlock Digital v7.0 e versões superiores. Para servidores autohospedados mais antigos que a v7.0, use o conector Airlock Digital (Poll ).

NOTA: Use um conector por servidor Airlock Digital. Se o mesmo servidor for coletado por mais de um conector Airlock Digital, dados duplicados são preenchidos nas tabelas.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Microsoft Entra: permissão para criar um registo de aplicação no Microsoft Entra ID. Normalmente requer a função de Desenvolvedor de Aplicações ou superior.
• Microsoft Azure: Permissão para atribuir o papel de Monitoring Metrics Publisher na regra de coleta de dados. Normalmente requer o Proprietário ou Administrador de Acesso ao Usuário.

Instruções de Configuração:

1. Implantar os recursos push

Essa etapa prevê a regra de coleta de dados, tabela personalizada e o aplicativo Microsoft Entra que a Airlock usa para enviar logs para o Microsoft Sentinel.

Nota: O Segredo do Cliente nunca é armazenado. Ele aparece apenas uma vez, logo após você selecionar Deploy, e a página do conector pode apagar em poucos segundos, então use o ícone de copiar ao lado do campo para copiar imediatamente. Se você perder, abra o Microsoft Entra ID Registros de aplicativo, selecione o app chamado Airlock Digital Log Push OAuth, vá em Certificados & Segredos, crie um novo segredo do cliente e copie seu valor. Lá, ele fica visível até você sair dessa página.

2. Configurar registro externo da câmara de descompressão

No seu servidor Airlock Digital, acesse Configurações > Logging > Externo e adicione um receptor de log Microsoft Sentinel CEF - HTTP(S) usando os valores abaixo.

• ID do inquilino: <valor variável fornecido no momento da instalação>
• ID da Aplicação (Cliente):< valor variável fornecido no momento da instalação>
• Segredo do Cliente: <valor variável fornecido no momento da instalação>
• URI do Ponto Final da Recolha de Dados: <valor variável fornecido no momento da instalação>
• ID Imutável DCR: <valor variável fornecido no momento da instalação>
• Stream Nome: <valor variável fornecido no momento da instalação>

Suportado por:Microsoft Corporation

O conector Do Airlock Digital coleta logs de controle de aplicativo e execução do servidor Digital airlock, fornecendo visibilidade sobre execuções de arquivos, atividades de servidor e resumos de eventos de segurança em Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Chave de API Digital do Airlock: Chave de API com acesso de leitura a pontos de extremidade de log. Gerar da interface do usuário da Web digital do Airlock: Chaves de API de Configurações > do Menu > do Usuário.

Instruções de Configuração:

1. Configurar o acesso à API Digital do Airlock

Fornecer detalhes de conexão da API para o Airlock Digital

Antes de começar:

• Acesso ao servidor Digital do Airlock
• Chave de API do Airlock Digital (Chaves de API de Configurações > do Menu > do Usuário)
• O servidor deve estar acessível de Azure (garantir que o firewall permita conexões)

URL base: Insira a URL do servidor Digital do Airlock. A porta padrão é 3129 para a API REST. Exemplo: https://airlock.company.com:3129

O conector coleta:

• Atividades do servidor: ações administrativas, alterações de política, check-ins do agente e atualizações do repositório
• Históricos de execução: eventos de execução de arquivo, incluindo execuções bloqueadas, auditadas e confiáveis com hashes de arquivo, editores e detalhes do usuário
• Resumo da Atividade de Arquivo: estatísticas agregadas sobre atividade de arquivo, eventos de segurança e tendências de execução Atualização de dados: Os logs são recuperados a cada 5 minutos. Os dados devem aparecer dentro de 5 a 10 minutos após a conexão.

2. Conecte servidores Airlock Digital ao Microsoft Sentinel

Esse conector suporta múltiplas conexões simultâneas. Adicionar uma conexão por servidor Airlock Digital; Cada conexão ingere os tipos de dados selecionados em paralelo. Use a grade abaixo para revisar conexões existentes ou adicionar uma nova.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:AIShield

O conector AIShield permite que os utilizadores se liguem aos registos do mecanismo de defesa personalizado AIShield com Microsoft Sentinel, permitindo a criação de Dashboards dinâmicos, Livros, Blocos de Notas e Alertas personalizados para melhorar a investigação e impedir ataques a sistemas de IA. Fornece aos utilizadores mais informações sobre a postura de segurança dos recursos de IA da organização e melhora as capacidades de operação de segurança dos sistemas de IA. AIShield.GuArdIan analisa o conteúdo gerado pelo LLM para identificar e mitigar conteúdo prejudicial, salvaguardando contra violações legais, políticas, baseadas em funções e violações baseadas na utilização

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Nota: os utilizadores devem ter utilizado a oferta de SaaS AIShield para realizar a análise de vulnerabilidades e implementar mecanismos de defesa personalizados gerados juntamente com o respetivo recurso de IA. Clique aqui para saber mais ou entrar em contacto.

Instruções de Configuração:

NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado AIShield, que é implementado com a Solução Microsoft Sentinel.

IMPORTANTE: Antes de implementar o Conector AIShield, tenha o ID da Área de Trabalho e a Chave Primária da Área de Trabalho (pode ser copiado do seguinte).

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Apoiado por:Akamai Suporte Guardicore

O conector Akamai Guardicore utiliza o Codeless Connector Framework (CCF) para importar Agentes, Ativos, Aplicações e Regras de Política de uma instância Guardicore Centra para o Microsoft Sentinel via ingestão de Regras de Coleta de Dados (DCR). O conector é consultado a cada 10 minutos via o tempo de execução CCF do Microsoft Sentinel; nenhum Azure Function App é implantado.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Instruções de Configuração:

Conecte Akamai Guardicore ao Microsoft Sentinel

Pré-requisitos

1. Você deve ter uma instância de gerenciamento Akamai Guardicore Centra acessível com acesso à API habilitado.
2. Crie (ou obtenha) um usuário de API no Guardicore Centra com a função Somente Leitura . Esta conta deve estar autorizada a chamar /api/v3.0/authenticate, /api/v3.0/agents, /api/v3.0/assets, /api/v3.0/workflow/projects, e /api/v3.0/visibility/policy/rules.
3. Tenha a URL de gerenciamento do Guardicore (por exemplo https://<tenant>.cloud.guardicore.com) e o nome de usuário e senha da conta de serviço prontos.
4. O conector é questionado a cada 10 minutos via o tempo de execução CCF do Microsoft Sentinel. Nenhum Azure Function App é implantado.

Forneça os dados da sua conta de serviço Guardicore Centra e clique em Conectar para iniciar a pesquisa.

• URL de gerenciamento da Guardicore: (https://< tenant.cloud.guardicore.com>)
• Nome de usuário Guardicore: (nome de usuário da conta de serviço)
• Senha Guardicore: (senha da conta de serviço)
• Ativar/Desativar Ligação

Suportado por:Microsoft Corporation

O Akamai SIEM Connector ingere eventos de segurança do firewall de aplicações web (WAF) da API de Integração Akamai SIEM no Microsoft Sentinel. O conector coleta dados detalhados de eventos de segurança, incluindo informações de ataque, contexto geográfico e metadados de requisição/resposta HTTP. A autenticação usa o Akamai EdgeGrid - forneça suas três credenciais EdgeGrid (client_token, access_token, client_secret) além do nome de host da API do seu arquivo .edgerc. O runtime da plataforma calcula um novo cabeçalho de Autorização assinado por HMAC-SHA-256 em cada solicitação de consulta conforme a especificação EdgeGrid.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Credenciais da API Akamai EdgeGrid: Token do Cliente, Token de Acesso e Segredo do Cliente são necessários para a autenticação EdgeGrid HMAC-SHA-256. Essas credenciais são geradas a partir do Centro de Controle Akamai sob Clientes API de Identidade e Acesso>.

Instruções de Configuração:

Passo 1 - Habilitar a coleta de dados para SIEM no Centro de Segurança Akamai

Ative a integração SIEM na sua configuração de segurança Akamai e anote o ID de Configuração de Segurança Web.

1. Faça login no Centro de Segurança Akamai.
2. Selecione sua configuração de segurança e abra a seção de Integração SIEM .
3. Configure a coleta de dados para SIEM em Ativada.
4. Em Ativar integração SIEM para, selecione as políticas de segurança a monitorar (ou escolha Todas as Políticas de Segurança).
5. Escolha uma Versão de Evento SIEM (recomendada a Versão 01 do SIEM).
6. Copie o ID de Configuração de Segurança Web mostrado na página – você precisará dele na Etapa 3 abaixo.

Passo 2 - Provisionar credenciais da API EdgeGrid

Crie um cliente API Akamai EdgeGrid com a função Gerenciar SIEM e baixe o arquivo de credenciais .edgerc.

1. No Centro de Controle Akamai, vá para Identidade e Acesso > a Usuários.
2. Crie um novo usuário (ou selecione uma conta de serviço existente) e atribua a função Gerenciar SIEM .
3. Vá em Identidade & Clientes de API de Acesso > e clique em Criar cliente > API Rápido.
4. Selecione o serviço API SIEM e conceda acesso READ .
5. Clique em Criar e depois baixe para salvar o .edgerc arquivo.
6. O .edgerc arquivo contém os quatro valores que você inserirá no Passo 3:

[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

A plataforma de conector calcula um cabeçalho de Autorização assinado por HMAC-SHA-256 em cada pesquisa – você não precisa assinar nada manualmente.

Passo 3 - Conecte o Akamai SIEM ao Microsoft Sentinel

Suporte multi-inquilino: Este conector suporta a ingestão de eventos de segurança de múltiplas configurações de segurança Akamai em paralelo. Clique em Adicionar Conexão uma vez por configuração, fornecendo as credenciais EdgeGrid dessa configuração, nome do host e ID de configuração. Cada conexão é rastreada e gerenciada de forma independente na grade abaixo.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de dados Alibaba Cloud ActionTrail fornece a capacidade de obter eventos actiontrail armazenados no Alibaba Cloud Simple Log Service e armazená-los em Microsoft Sentinel através da API REST SLS. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Credenciais/permissões da API REST SLS: AliCloudAccessKeyId e AliCloudAccessKeySecret são necessários para fazer chamadas à API. A declaração de política de RAM com a ação de, pelo menos log:GetLogStoreLogs , sobre o recurso acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} é necessária para conceder a um utilizador de RAM as permissões para chamar esta operação.

Instruções de Configuração:

Configurar o acesso à API SLS do AliCloud

Antes de utilizar a API, tem de preparar a sua conta de identidade e o par de chaves de acesso para aceder eficazmente à API.

1. Recomendamos que utilize um utilizador da Gestão de Acesso a Recursos (RAM) para chamar operações de API. Para obter mais informações, veja Criar um utilizador de RAM e autorizar o utilizador da RAM a aceder ao Simple Log Service.
2. Obtenha o par de chaves de acesso para o utilizador da RAM. Para obter detalhes, veja Obter o par da Chave de Acesso.

Tenha em atenção os detalhes do par de chaves de acesso para o próximo passo.

Adicionar ActionTrail Logstore

Para ativar o conector Alibaba Cloud ActionTrail para Microsoft Sentinel, clique em adicionar ActionTrail Logstore, preencha o formulário com a configuração do ambiente da Alibaba Cloud e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de dados alibaba Cloud Networking fornece a capacidade de ingerir dados de rede da Alibaba Cloud em Microsoft Sentinel através da API REST do Simple Log Service (SLS). Veja a documentação da API para obter mais informações. O conector fornece a capacidade de obter Registos de Fluxo de VPC, Registos de WAF e Registos de Gateway de API da Alibaba Cloud.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Acesso à API do Alibaba Cloud SLS: é necessário acesso ao Alibaba Cloud Simple Log Service para a API SLS.

Instruções de Configuração:

Configurar o acesso à API SLS do AliCloud

Antes de utilizar a API, tem de preparar a sua conta de identidade e o par de chaves de acesso para aceder eficazmente à API.

1. Recomendamos que utilize um utilizador da Gestão de Acesso a Recursos (RAM) para chamar operações de API. Para obter mais informações, veja Criar um utilizador de RAM e autorizar o utilizador da RAM a aceder ao Simple Log Service.
2. Obtenha o par de chaves de acesso para o utilizador da RAM. Para obter detalhes, veja Obter o par da Chave de Acesso.

Tenha em atenção os detalhes do par de chaves de acesso para o próximo passo.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de dados do AliCloud fornece a capacidade de obter registos de aplicações na cloud com a API da Cloud e armazenar eventos em Microsoft Sentinel através da API REST. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST: AliCloudAccessKeyId e AliCloudAccessKey são necessários para fazer chamadas à API.

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API de Armazenamento de Blobs do Azure para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais para a ingestão de dados e para armazenar dados em custos de Armazenamento de Blobs do Azure. Consulte a página de preços do Azure Functions e Armazenamento de Blobs do Azure página de preços para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado, o AliCloud, que é implementado com o Microsoft Sentinel Solution.

PASSO 1 – Passos de configuração para a API do AliCloud

Siga as instruções para obter as credenciais.

1. Obtenha o AliCloudAccessKeyId e AliCloudAccessKey: inicie sessão na conta, clique em Gestão de Chaves de Acesso e, em seguida, clique em Ver Segredo.
2. Guarde as credenciais para utilizar no conector de dados.

PASSO 2 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implementar o conector de dados do AliCloud, tenha o ID da Área de Trabalho e a Chave Primária da Área de Trabalho (pode ser copiado do seguinte).

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Opção 1 - Modelo de Azure Resource Manager (ARM)

Utilize este método para a implementação automatizada do conector de dados do AliCloud com um Modelo do ARM.

1. Clique no botão Implementar para Azure abaixo.

   aka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

NOTA: No mesmo grupo de recursos, não pode misturar o Windows e Linux aplicações na mesma região. Selecione o grupo de recursos existente sem aplicações do Windows ou crie um novo grupo de recursos. 3. Introduza o WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects e AppInsightsWorkspaceResourceID e implemente. 4. Marque a caixa de verificação identificada como Concordo com os termos e condições acima indicados. 5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados do AliCloud com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, AliCloudXXXXX).

   e. Selecione um runtime: Selecione Python 3.11.

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione Nova definição da aplicação.

11. Adicione cada uma das seguintes definições de aplicação individualmente, com os respetivos valores de cadeia (sensíveis às maiúsculas e minúsculas): WorkspaceID WorkspaceKey AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

4. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Microsoft Corporation

As instruções para ligar ao AWS e transmitir em fluxo os registos do CloudTrail para Microsoft Sentinel são apresentadas durante o processo de instalação. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Suportado por:Microsoft Corporation

Este conector de dados permite a integração de registos do AWS CloudFront com Microsoft Sentinel para suportar a deteção avançada de ameaças, investigação e monitorização de segurança. Ao utilizar o Amazon S3 para armazenamento de registos e o Amazon SQS para colocação de mensagens em fila, o conector ingere de forma fiável os registos de acesso do CloudFront no Microsoft Sentinel

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

Ingerir registos do AWS CloudFront no Microsoft Sentinel

Lista de Recursos Necessários:

• Abrir o fornecedor de identidade Web do ID Connect (OIDC)
• Função IAM
• Registo do Amazon S3
• Amazon SQS
• Configuração do AWS CloudFront

1. Implementação do CloudFormation do AWS Para configurar o acesso no AWS, foram gerados dois modelos para configurar o ambiente do AWS para enviar registos de um registo S3 para a área de trabalho do Log Analytics.

Para cada modelo, crie o Stack no AWS:

1. Aceda a AWS CloudFormation Stacks.
2. Selecione a opção "Especificar modelo" e, em seguida, "Carregar um ficheiro de modelo", clicando em "Escolher ficheiro" e selecionando o ficheiro de modelo CloudFormation adequado indicado abaixo. clique em "Escolher ficheiro" e selecione o modelo transferido.
3. Clique em "Seguinte" e em "Criar pilha".

• Modelo 1: implementação de autenticação do OpenID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: implementação de recursos do AWSCloudFront: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o AWS S3 para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de Balanceamento de Carga Elástico (ELB) do AWS para Microsoft Sentinel permite-lhe ingerir registos de acesso e registos de fluxo de Balanceadores de Carga de Aplicações (ALB) do AWS, Balanceadores de Carga de Rede (NLB) e Balanceadores de Carga de Gateway (GLB) para Microsoft Sentinel. Estes registos fornecem informações detalhadas sobre os pedidos processados pelos balanceadores de carga e fluxos de tráfego VPC, permitindo a monitorização de segurança, a deteção de ameaças e a análise de tráfego.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• ARN da Função IAM do AWS e Fila sqS: é necessário um ARN da Função IAM do AWS com acesso entre contas e um URL de Fila sqS configurado para notificações de eventos S3. Veja a documentação do conector ELB do AWS para obter instruções de configuração.

Instruções de Configuração:

1. Implementação de CloudFormation do AWS Para configurar o acesso no AWS, utilize modelos cloudFormation para configurar o ambiente para enviar registos do ALB, NLB e GLB para a área de trabalho do Log Analytics.

Passos de implementação:

1. Aceda aos Modelos de Formação da Cloud e transfira os ficheiros de modelo JSON.
2. Aceda a AWS CloudFormation Stacks.
3. Primeiro, implemente o modelo de OIDCWebIdProvider.json (ignore se já tiver um fornecedor OIDC para Microsoft Sentinel).
4. Em seguida, implemente o modelo AWSS3ELB.json com os parâmetros.
5. Anote os seguintes valores das saídas da pilha:
   • IAMRoleArn
   • ALBSQSQueueURL
   • NLBSQSQueueURL
   • NLBFlowLogsSQSQueueURL
   • GLBFlowLogsSQSQueueURL

Configuração pós-implementação:

Assim que a pilha CloudFormation for implementada com êxito:

• Aceda ao separador Recursos na pilha.
• Localize o nome do registo S3 criado.
• No registo S3, crie manualmente as seguintes pastas:
  • ALBLogs
  • NLBAccessLogs
  • NLBFlowLogs
  • GLBFlowLogs

A Enviar Registos:

Após a criação da pasta, configure os serviços do AWS para enviar registos para as pastas adequadas:

• Registos de acesso do ALB ->ALBLogs/
• Registos de acesso do NLB ->NLBAccessLogs/
• Registos de fluxo do NLB ->NLBFlowLogs/
• Registos de fluxo do GLB ->GLBFlowLogs/

Estes registos serão ingeridos nas tabelas correspondentes na área de trabalho do Log Analytics.

Mapeamento de Tabelas:

• Registos de acesso do ALB ->AWSALBAccessLogsData
• Registos de acesso do NLB ->AWSNLBAccessLogsData
• Registos de fluxo de NLB e GLB ->AWSELBFlowLogsData

Nota: Na tabela, uma coluna com o AWSELBFlowLogsData nome LogType indicará se uma linha provém dos registos de fluxo do NLB ou dos registos de fluxo do GLB.

2. Ligar novos recoletores Para ativar o conector, clique em Adicionar novo recoletor, introduza os detalhes necessários e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

Este conector de dados permite-lhe ingerir registos da Firewall de Rede do AWS no Microsoft Sentinel para deteção avançada de ameaças e monitorização de segurança. Ao tirar partido do Amazon S3 e do Amazon SQS, o conector reencaminha registos de tráfego de rede, alertas de deteção de intrusões e eventos de firewall para Microsoft Sentinel, permitindo a análise e correlação em tempo real com outros dados de segurança

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

Ingerir registos do AWS NetworkFirewall no Microsoft Sentinel

Lista de Recursos Necessários:

• Abrir o fornecedor de identidade Web do ID Connect (OIDC)
• Função IAM
• Registo do Amazon S3
• Amazon SQS
• Configuração de AWSNetworkFirewall
• Siga estas instruções para a configuração do conector de Dados AWS NetworkFirewall

1. Implementação do CloudFormation do AWS Para configurar o acesso no AWS, foram gerados dois modelos para configurar o ambiente do AWS para enviar registos de um registo S3 para a área de trabalho do Log Analytics.

Para cada modelo, crie o Stack no AWS:

1. Aceda a AWS CloudFormation Stacks.
2. Selecione a opção "Especificar modelo" e, em seguida, "Carregar um ficheiro de modelo", clicando em "Escolher ficheiro" e selecionando o ficheiro de modelo CloudFormation adequado indicado abaixo. clique em "Escolher ficheiro" e selecione o modelo transferido.
3. Clique em "Seguinte" e em "Criar pilha".

• Modelo 1: implementação de autenticação do OpenID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: implementação de recursos AWSNetworkFirewall: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o AWS S3 para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

Este conector permite-lhe ingerir registos do serviço AWS, recolhidos em registos do AWS S3, para Microsoft Sentinel. Os tipos de dados atualmente suportados são:

• AWS CloudTrail
• Registos do Fluxo de VPC
• AWS GuardDuty
• AWS CloudWatch

Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Ambiente: tem de ter os seguintes recursos do AWS definidos e configurados: S3, Simple Queue Service (SQS), funções E políticas de permissões do IAM e os serviços do AWS cujos registos pretende recolher.

Instruções de Configuração:

1. Configurar o ambiente do AWS

Existem duas opções para configurar o ambiente do AWS para enviar registos de um registo S3 para a área de trabalho do Log Analytics:

Configurar com o script do PowerShell (recomendado)

• Execute o script para configurar o ambiente: <valor variável fornecido no momento da instalação>
• ID externa (ID da Área de Trabalho): <valor variável fornecido no momento da instalação>

Configuração manual

Siga as instruções na seguinte ligação para configurar o ambiente: Ligar o AWS S3 ao Microsoft Sentinel

2. Adicionar ligação

Suportado por:Microsoft Corporation

Este conector permite a ingestão de registos DNS do AWS Route 53 no Microsoft Sentinel para uma maior visibilidade e deteção de ameaças. Suporta registos de consultas DNS Resolver ingeridos diretamente a partir de registos do AWS S3, enquanto os registos de consultas DNS Públicos e os registos de auditoria da Rota 53 podem ser ingeridos com os conectores do AWS CloudWatch e cloudTrail do Microsoft Sentinel. São fornecidas instruções abrangentes para o orientar ao longo da configuração de cada tipo de registo. Tire partido deste conector para monitorizar a atividade DNS, detetar potenciais ameaças e melhorar a sua postura de segurança em ambientes na cloud.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

AWS Route53

Este conector permite a ingestão de registos DNS do AWS Route 53 no Microsoft Sentinel, proporcionando visibilidade melhorada sobre a atividade DNS e reforçando as capacidades de deteção de ameaças. Suporta a ingestão direta de registos de consultas DNS Resolver a partir de registos do AWS S3, enquanto os registos de consultas DNS Públicos e os registos de auditoria da Rota 53 podem ser ingeridos através dos conectores do AWS CloudWatch e cloudTrail do Microsoft Sentinel. São fornecidas instruções de configuração detalhadas para cada tipo de registo. Utilize este conector para monitorizar o tráfego DNS, identificar potenciais ameaças e melhorar a postura de segurança da cloud.

Pode ingerir o seguinte tipo de registos da Rota 53 do AWS para Microsoft Sentinel:

1. Registos de consultas do Route 53 Resolver
2. Registos de consultas de zonas Alojadas Públicas da Rota 53 (através do conector do CloudWatch Microsoft Sentinel)
3. Logs de auditoria da Route 53 (via conector Microsoft Sentinel CloudTrail)

Ingerir registos de consultas do Route53 Resolver no Microsoft Sentinel

Lista de Recursos Necessários:

• Abrir o fornecedor de identidade Web do ID Connect (OIDC)
• Função IAM
• Registo do Amazon S3
• Amazon SQS
• Route 53 Resolver query logging configuration (Configuração do registo de consultas de Resolução do Route 53)
• VPC para associar à configuração do registo de consultas resolver route53

1. Implementação do CloudFormation do AWS Para configurar o acesso no AWS, foram gerados dois modelos para configurar o ambiente do AWS para enviar registos de um registo S3 para a área de trabalho do Log Analytics.

Para cada modelo, crie o Stack no AWS:

1. Aceda a AWS CloudFormation Stacks.
2. Selecione a opção "Especificar modelo" e, em seguida, "Carregar um ficheiro de modelo", clicando em "Escolher ficheiro" e selecionando o ficheiro de modelo CloudFormation adequado indicado abaixo. clique em "Escolher ficheiro" e selecione o modelo transferido.
3. Clique em "Seguinte" e em "Criar pilha".

• Modelo 1: implementação de autenticação do OpenID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: implementação de recursos do AWS Route53: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o Amazon Web Services S3 DNS Route53 para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Ingerir registos de consultas de zonas Alojadas Públicas da Rota 53 (através do conector cloudWatch Microsoft Sentinel)

Os registos de consultas de zona alojada pública são exportados para o serviço CloudWatch no AWS. Podemos utilizar o conector "Amazon Web Services S3" para ingerir registos do CloudWatch do AWS para Microsoft Sentinel.

Passo 1: Configurar o registo para consultas DNS Públicas

1. Inicie sessão na Consola de Gestão do AWS e abra a consola do Route 53 na AWS Route 53.
2. Navegue para a Rota 53 > Zonas alojadas.
3. Selecione a zona alojada pública para a qual pretende configurar o registo de consultas.
4. No painel Detalhes da zona alojada, clique em "Configurar o registo de consultas".
5. Escolha um grupo de registos existente ou crie um novo grupo de registos.
6. Escolha Criar.

Passo 2: Configurar o conector de dados S3 do Amazon Web Services para o AWS CloudWatch

Os registos do AWS CloudWatch podem ser exportados para um registo S3 com a função lambda. Para ingerir consultas DNS públicas de AWS CloudWatch para S3 bucket e, em seguida, para Microsoft Sentinel, siga as instruções fornecidas no conector Amazon Web Services S3.

Ingerir registos de auditoria da Rota 53 (através do conector CloudTrail do Microsoft Sentinel)

Registos de auditoria da Rota 53, ou seja, os registos relacionados com ações realizadas pelo utilizador, função ou serviço AWS na Rota 53 podem ser exportados para um registo S3 através do serviço CloudTrail do AWS. Podemos utilizar o conector "Amazon Web Services S3" para ingerir registos CloudTrail do AWS para Microsoft Sentinel.

Passo 1: Configurar o registo para registos de Auditoria da Rota 53 do AWS

1. Inicie sessão na Consola de Gestão do AWS e abra a consola CloudTrail no AWS CloudTrail
2. Se não tiver um registo existente, clique em "Criar registo"
3. Introduza um nome para o seu registo no campo Nome do registo.
4. Selecione Criar novo registo S3 (também pode optar por utilizar um registo S3 existente).
5. Deixe as outras definições como predefinição e clique em Seguinte.
6. Selecione Tipo de evento, certifique-se de que a opção Eventos de gestão está selecionada.
7. Selecione Atividade da API, "Leitura" e "Escrita"
8. Clique em Avançar.
9. Reveja as definições e clique em "Criar registo".

Passo 2: Configurar o conector de dados S3 do Amazon Web Services para o AWS CloudTrail

Para ingerir registos de auditoria e gestão de AWS CloudTrail para Microsoft Sentinel, siga as instruções fornecidas no conector Amazon Web Services S3

Suportado por:Microsoft Corporation

Este conector permite-lhe ingerir registos WAF do AWS, recolhidos em registos do AWS S3, para Microsoft Sentinel. Os registos waf do AWS são registos detalhados do tráfego que as listas de controlo de acesso Web (ACLs) analisam, que são essenciais para manter a segurança e o desempenho das aplicações Web. Estes registos contêm informações como a hora em que a WAF do AWS recebeu o pedido, as especificidades do pedido e a ação tomada pela regra com que o pedido correspondeu.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

1. Implementação do CloudFormation do AWS Para configurar o acesso no AWS, foram gerados dois modelos para configurar o ambiente do AWS para enviar registos de um registo S3 para a área de trabalho do Log Analytics.

Para cada modelo, crie o Stack no AWS:

1. Aceda a AWS CloudFormation Stacks.
2. Selecione a opção "Especificar modelo" e, em seguida, "Carregar um ficheiro de modelo", clicando em "Escolher ficheiro" e selecionando o ficheiro de modelo CloudFormation adequado indicado abaixo. clique em "Escolher ficheiro" e selecione o modelo transferido.
3. Clique em "Seguinte" e em "Criar pilha".

• Modelo 1: implementação de autenticação do OpenID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: implementação de recursos WAF do AWS: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o AWS S3 para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Anvilogic

O conector de dados do Anvilogic permite-lhe extrair eventos de interesse gerados no cluster do ADX do Anvilogic para o seu Microsoft Sentinel

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• ID de Cliente e Segredo do Cliente do Registo de Aplicações Anvilogic: para aceder ao ADX Do Anvilogic, precisamos do ID do cliente e do segredo do cliente do registo da aplicação Anvilogic

Instruções de Configuração:

Ligue-se à Anvilogic para começar a recolher eventos de interesse em Microsoft Sentinel

Preencha o formulário para ingerir Alertas Anvilogic no seu Microsoft Sentinel

• Ponto Final de Token: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
• Âmbito do ADX Anvilogic: (<avl_adx_uri>/.default)
• URI do Pedido ADX Anvilogic: (<avl_adx_uri>/v2/rest/query)

Suportado por:Microsoft Corporation

Conecta a proteção da API 42Crunch ao Azure Log Analytics via interface da API REST

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Instruções de Configuração:

Passo 1: ler a documentação detalhada

O processo de instalação está documentado em grande detalhe no repositório Microsoft Sentinel integration do GitHub. O usuário deve consultar este repositório mais detalhadamente para entender a instalação e depuração da integração.

Passo 2: Obter as credenciais de acesso à área de trabalho

O primeiro passo de instalação é obter o ID da Área de Trabalho e a Chave Primária da plataforma Microsoft Sentinel. Copie os valores apresentados abaixo e guarde-os para configuração da integração do reencaminhador de registos da API.

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Passo 3: Instale a proteção 42Crunch e o remetente de troncos

O próximo passo é instalar a proteção 42Crunch e o encaminhador de log para proteger sua API. Ambos os componentes estão disponíveis como contêineres do repositório 42Crunch. A instalação exata vai depender do seu ambiente, consulte a documentação de proteção do 42Crunch para todos os detalhes. Dois cenários comuns de instalação são descritos abaixo:

Instalação via Docker Compose

A solução pode ser instalada usando um arquivo de composição Docker.

Instalação via Cartas de Helm

A solução pode ser instalada usando um gráfico de Helm.

Passo 4: Teste a ingestão de dados

Para testar a ingestão de dados, o usuário deve implantar a aplicação httpbin de exemplo junto com a proteção 42Crunch e o encaminhador de log descritos em detalhes aqui.

4.1 Instale o exemplo

O aplicativo de exemplo pode ser instalado localmente usando um arquivo de composição Docker, que instalará o servidor API httpbin, a proteção da API 42Crunch e o encaminhador de log Microsoft Sentinel. Defina as variáveis de ambiente conforme necessário usando os valores copiados do passo 2.

4.2 Rodar a amostra

Verfify a proteção da API é conectada à plataforma 42Crunch, e então a API é exercida localmente no localhost na porta 8080 usando Postman, curl ou similar. Você deve ver uma mistura de chamadas de API que passam e falham.

4.3 Verifique a ingestão de dados no Log Analytics

Após aproximadamente 20 minutos, acesse o espaço de trabalho Log Analytics na sua instalação Microsoft Sentinel e localize a seção de Logs Personalizados, verifique se existe uma tabela apifirewall_log_1_CL. Utilize as consultas de exemplo para examinar os dados.

Suportado por:Microsoft Corporation

O conector SAP Application Report Report Service absorve as descobertas de vulnerabilidades em aplicativos personalizados implantados no SAP BTP no Microsoft Sentinel. Os achados podem ser correlacionados com a atividade de auditoria do SAP BTP para identificar aplicações de risco e investigar eventos de segurança relacionados.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• ID do cliente e segredo do cliente para o serviço de relatório de vulnerabilidades de aplicação: Habilitar o acesso à API no BTP.

Instruções de Configuração:

Passo 1 - Etapas de configuração para o Serviço de Relatório de Vulnerabilidades de Aplicações SAP

Configure o Serviço de Relatório de Vulnerabilidades de Aplicações SAP e crie uma chave de serviço dedicada para esse conector, veja Finding Provider Service API. Observe a URL (Finding Provider API URL), uaa.url (User Account and Authentication Server url) e o uaa.clientid associado.

NOTA: Este conector usa credenciais separadas e não compartilha a chave de serviço usada pelo conector de log de auditoria SAP BTP.

Conecte as descobertas do SAP BTP AVL ao Microsoft Sentinel

Ligar com credenciais de cliente OAuth

Conexões

Cada linha representa uma subconta ligada

• Grelha de Conectores de Dados (configurar no portal)

Suportado pelo:ARGOS Cloud Security

A integração do ARGOS Cloud Security para Microsoft Sentinel permite-lhe ter todos os seus eventos de segurança na cloud importantes num único local. Isto permite-lhe criar facilmente dashboards, alertas e correlacionar eventos em vários sistemas. Globalmente, isto irá melhorar a postura de segurança da sua organização e a resposta a incidentes de segurança.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Instruções de Configuração:

1. Subscrever o ARGOS

Certifique-se de que já possui uma Subscrição ARGOS. Caso contrário, navegue para ARGOS Cloud Security e inscreva-se no ARGOS.

Em alternativa, também pode comprar ARGOS através do Azure Marketplace.

2. Configurar a integração do Sentinel a partir do ARGOS

Configure o ARGOS para reencaminhar quaisquer novas deteções para a área de trabalho Sentinel ao fornecer ARGOS com o ID da Área de Trabalho e a Chave Primária.

Não é necessário implementar nenhuma infraestrutura personalizada.

Introduza as informações na página de configuração do arGOS Sentinel.

As novas deteções serão reencaminhadas automaticamente.

Saiba mais sobre a integração

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Suportado por:Armis Corporation

O conector Atividades de Alertas do Armis dá a capacidade de ingerir Alertas e Atividades do Armis em Microsoft Sentinel através da API REST do Armis. Veja a documentação da API: https://<YourArmisInstance>.armis.com/api/v1/docs para obter mais informações. O conector fornece a capacidade de obter informações de alerta e atividade a partir da plataforma Armis e de identificar e priorizar ameaças no seu ambiente. O Armis utiliza a infraestrutura existente para detetar e identificar dispositivos sem ter de implementar agentes.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST: a Chave Secreta do Armis é necessária. Veja a documentação para saber mais sobre a API no https://<YourArmisInstance>.armis.com/api/v1/doc

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API do Armis para extrair os registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado, que é implementado como parte da solução. Para ver o código da função no Log Analytics, abra o painel Log Analytics/Microsoft Sentinel Registos, clique em Funções e procure o alias ArmisActivities/ArmisAlerts e carregue o código da função. Normalmente, a função demora entre 10 a 15 minutos a ser ativada após a instalação/atualização da solução.

PASSO 1 – Passos de configuração para a API armis

Siga estas instruções para criar uma chave secreta da API armis.

1. Iniciar sessão na instância do Armis
2. Navegar para Definições -> Gerenciamento de API
3. Se a chave secreta ainda não tiver sido criada, prima o botão Criar para criar a chave secreta
4. Para aceder à tecla secreta, prima o botão Mostrar
5. A chave secreta pode agora ser copiada e utilizada durante a configuração do conector Atividades de Alertas do Armis

PASSO 2 – Passos de Registo de Aplicações para a Aplicação no Microsoft Entra ID

Esta integração requer um Registo de aplicações no portal do Azure. Siga os passos nesta secção para criar uma nova aplicação no Microsoft Entra ID:

1. Entre no portal do Azure.
2. Procure e selecione Microsoft Entra ID.
3. Em Gerir, selecione Registros de aplicativo > Novo registo.
4. Introduza um Nome a apresentar para a sua aplicação.
5. Selecione Registar para concluir o registo inicial da aplicação.
6. Quando o registo terminar, o portal do Azure apresenta o painel Descrição Geral do registo de aplicações. Verá o ID da Aplicação (cliente) e o ID do Inquilino. O ID de cliente e o ID do Inquilino são necessários como parâmetros de configuração para a execução do Conector de Dados de Atividades de Alertas do Armis.

Ligação de referência:/azure/active-directory/develop/quickstart-register-app

PASSO 3 – Adicionar um segredo do cliente para a aplicação no Microsoft Entra ID

Por vezes denominado palavra-passe de aplicação, um segredo do cliente é um valor de cadeia necessário para a execução do Conector de Dados atividades de Alertas do Armis. Siga os passos nesta secção para criar um novo Segredo do Cliente:

1. Na portal do Azure, em Registros de aplicativo, selecione a sua aplicação.
2. Selecione Certificados & segredos > do cliente Segredos > do cliente Novo segredo do cliente.
3. Adicione uma descrição para o segredo do cliente.
4. Selecione uma expiração para o segredo ou especifique uma duração personalizada. O limite é de 24 meses.
5. Selecione Adicionar.
6. Registe o valor do segredo para utilização no código da aplicação cliente. Este valor secreto nunca mais é apresentado depois de sair desta página. O valor do segredo é necessário como parâmetro de configuração para a execução do Conector de Dados atividades do Armis Alerts.

Ligação de referência:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSO 4 – Obter o ID de Objeto da sua aplicação no Microsoft Entra ID

Depois de criar o registo de aplicações, siga os passos nesta secção para obter o ID do Objeto:

1. Aceda a Microsoft Entra ID.
2. Selecione Aplicações empresariais no menu esquerdo.
3. Localize a aplicação recém-criada na lista (pode procurar pelo nome que forneceu).
4. Clique na aplicação.
5. Na página de descrição geral, copie o ID do Objeto. Este é o AzureEntraObjectId necessário para a atribuição da função de modelo do ARM.

PASSO 5 – Atribuir a função de Contribuidor à aplicação no Microsoft Entra ID

Siga os passos nesta secção para atribuir a função:

1. Na portal do Azure, aceda a Grupo de Recursos e selecione o grupo de recursos.
2. Aceda a Controlo de acesso (IAM) a partir do painel esquerdo.
3. Clique em Adicionar e, em seguida, selecione Adicionar atribuição de função.
4. Selecione Contribuidor como função e clique em seguinte.
5. Em Atribuir acesso a, selecione User, group, or service principal.
6. Clique em adicionar membros, escreva o nome da sua aplicação que criou e selecione-o.
7. Agora, clique em Rever + atribuir e, em seguida, clique novamente em Rever + atribuir.

Ligação de referência:/azure/role-based-access-control/role-assignments-portal

PASSO 6 – Criar um Keyvault

Siga estas instruções para criar um novo Keyvault.

1. Na portal do Azure, aceda a Cofres de chaves. Clique em criar.
2. Selecione Subsciption (Subsciption), Resource Group (Grupo de Recursos) e indique o nome exclusivo do keyvault.

NOTA: crie um cofre de chaves separado para cada chave de API numa área de trabalho.

PASSO 7 – Criar Uma Política de Acesso no Keyvault

Siga estas instruções para criar uma política de acesso no Keyvault.

1. Aceda a keyvaults, selecione o cofre de chaves e aceda a Políticas de acesso no painel esquerdo. Clique em criar.
2. Selecione todas as chaves & permissões de segredos. Clique em seguinte.
3. Na secção principal, procure pelo nome da aplicação que foi gerado em PASSO - 2. Clique em seguinte.

NOTA: certifique-se de que o Modelo de permissão na Configuração de Acesso do Key Vault está definido como "Política de acesso ao cofre"

PASSO 8 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implantar o conector de dados do Dispositivo Armis, tenha a(s) Chave(s) de Autorização da API Armis prontamente disponíveis..

Opção 1 - Modelo de Azure Resource Manager (ARM)

Utilize este método para a implementação automatizada do conector Armis.

1. Clique no botão Implementar para Azure abaixo.

   aka.msaka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

3. Insira as informações abaixo: Nome da Função Nome do Workspace
   Chave Secreta Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nome da Tabela de Alertas Armis Tabela de Atividades Severidade do Nome (Padrão: Baixo) Armis Schedule KeyVault Nome Azure ID do cliente Azure Cliente Secret Azure Entra ObjectID
   ID do Inquilino

4. Marque a caixa de verificação etiquetada Concordo com os termos e condições indicados acima.

5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados Atividades de Alertas do Armis com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, ARMISXXXXX).

   e. Selecione um tempo de execução: Escolha Python 3.12

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione + Nova definição da aplicação.

11. Adicione cada uma das seguintes configurações de aplicação individualmente, com seus respectivos valores (com diferenciação de maiúsculas e minúsculas): Nome do Workspace
    Chave Secreta Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nome da Tabela de Alertas Armis Tabela de Atividades Severidade do Nome (Padrão: Baixo) Armis Schedule KeyVault Nome Azure ID do cliente Azure Cliente Secret Azure Entra ObjectID
    Tenant Id logAnalyticsUri (opcional)

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

4. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Armis Corporation

O conector do Dispositivo Armis dá a capacidade de ingerir Dispositivos Armis em Microsoft Sentinel através da API REST do Armis. Veja a documentação da API: https://<YourArmisInstance>.armis.com/api/v1/docs para obter mais informações. O conector fornece a capacidade de obter informações do dispositivo a partir da plataforma Armis. O Armis utiliza a infraestrutura existente para detetar e identificar dispositivos sem ter de implementar agentes. O Armis também pode integrar-se nas suas ferramentas de gestão de segurança de ti existentes & para identificar e classificar cada dispositivo, gerido ou não gerido no seu ambiente.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST: a Chave Secreta do Armis é necessária. Veja a documentação para saber mais sobre a API no https://<YourArmisInstance>.armis.com/api/v1/doc

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API do Armis para extrair os registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

NOTA: este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado. Siga estes passos para criar o alias das funções kusto, ArmisDevice

PASSO 1 – Passos de configuração para a API armis

Siga estas instruções para criar uma chave secreta da API armis.

1. Iniciar sessão na instância do Armis
2. Navegar para Definições -> Gerenciamento de API
3. Se a chave secreta ainda não tiver sido criada, prima o botão Criar para criar a chave secreta
4. Para aceder à tecla secreta, prima o botão Mostrar
5. A chave secreta pode agora ser copiada e utilizada durante a configuração do conector do Dispositivo Armis

PASSO 2 – Passos de Registo de Aplicações para a Aplicação no Microsoft Entra ID

Esta integração requer um Registo de aplicações no portal do Azure. Siga os passos nesta secção para criar uma nova aplicação no Microsoft Entra ID:

1. Entre no portal do Azure.
2. Procure e selecione Microsoft Entra ID.
3. Em Gerir, selecione Registros de aplicativo > Novo registo.
4. Introduza um Nome a apresentar para a sua aplicação.
5. Selecione Registar para concluir o registo inicial da aplicação.
6. Quando o registo terminar, o portal do Azure apresenta o painel Descrição Geral do registo de aplicações. Verá o ID da Aplicação (cliente) e o ID do Inquilino. O ID de cliente e o ID do Inquilino são necessários como parâmetros de configuração para a execução do Conector de Dados do Dispositivo Armis.

Ligação de referência:/azure/active-directory/develop/quickstart-register-app

PASSO 3 – Adicionar um segredo do cliente para a aplicação no Microsoft Entra ID

Por vezes denominado palavra-passe de aplicação, um segredo do cliente é um valor de cadeia necessário para a execução do Conector de Dados do Dispositivo Armis. Siga os passos nesta secção para criar um novo Segredo do Cliente:

1. Na portal do Azure, em Registros de aplicativo, selecione a sua aplicação.
2. Selecione Certificados & segredos > do cliente Segredos > do cliente Novo segredo do cliente.
3. Adicione uma descrição para o segredo do cliente.
4. Selecione uma expiração para o segredo ou especifique uma duração personalizada. O limite é de 24 meses.
5. Selecione Adicionar.
6. Registe o valor do segredo para utilização no código da aplicação cliente. Este valor secreto nunca mais é apresentado depois de sair desta página. O valor secreto é necessário como parâmetro de configuração para a execução do Conector de Dados do Dispositivo Armis.

Ligação de referência:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSO 4 – Obter o ID de Objeto da sua aplicação no Microsoft Entra ID

Depois de criar o registo de aplicações, siga os passos nesta secção para obter o ID do Objeto:

1. Aceda a Microsoft Entra ID.
2. Selecione Aplicações empresariais no menu esquerdo.
3. Localize a aplicação recém-criada na lista (pode procurar pelo nome que forneceu).
4. Clique na aplicação.
5. Na página de descrição geral, copie o ID do Objeto. Este é o AzureEntraObjectId necessário para a atribuição da função de modelo do ARM.

PASSO 5 – Atribuir a função de Contribuidor à aplicação no Microsoft Entra ID

Siga os passos nesta secção para atribuir a função:

1. Na portal do Azure, aceda a Grupo de Recursos e selecione o grupo de recursos.
2. Aceda a Controlo de acesso (IAM) a partir do painel esquerdo.
3. Clique em Adicionar e, em seguida, selecione Adicionar atribuição de função.
4. Selecione Contribuidor como função e clique em seguinte.
5. Em Atribuir acesso a, selecione User, group, or service principal.
6. Clique em adicionar membros, escreva o nome da sua aplicação que criou e selecione-o.
7. Agora, clique em Rever + atribuir e, em seguida, clique novamente em Rever + atribuir.

Ligação de referência:/azure/role-based-access-control/role-assignments-portal

PASSO 6 – Criar um Keyvault

Siga estas instruções para criar um novo Keyvault.

1. Na portal do Azure, aceda a Cofres de chaves. Clique em criar.
2. Selecione Subsciption (Subsciption), Resource Group (Grupo de Recursos) e indique o nome exclusivo do keyvault.

NOTA: crie um cofre de chaves separado para cada chave de API numa área de trabalho.

PASSO 7 – Criar Uma Política de Acesso no Keyvault

Siga estas instruções para criar uma política de acesso no Keyvault.

1. Aceda a keyvaults, selecione o cofre de chaves e aceda a Políticas de acesso no painel esquerdo. Clique em criar.
2. Selecione todas as chaves & permissões de segredos. Clique em seguinte.
3. Na secção principal, procure pelo nome da aplicação que foi gerado em PASSO - 2. Clique em seguinte.

NOTA: certifique-se de que o Modelo de permissão na Configuração de Acesso do Key Vault está definido como "Política de acesso ao cofre"

PASSO 8 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implantar o conector de dados do Dispositivo Armis, tenha a(s) Chave(s) de Autorização da API Armis prontamente disponíveis..

Opção 1 - Modelo de Azure Resource Manager (ARM)

Utilize este método para a implementação automatizada do conector Armis.

1. Clique no botão Implementar para Azure abaixo.

   aka.msaka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

3. Insira as informações abaixo: Nome da Função Localização Nome do Espaço de Trabalho Armis Chave Secreta Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Tabela do Dispositivo Nome Armis Schedule KeyVault Azure ID do cliente Azure Secret do cliente Azure Entra ObjectID Tenant ID

4. Marque a caixa de verificação etiquetada Concordo com os termos e condições indicados acima.

5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados do Dispositivo Armis com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, ARMISXXXXX).

   e. Selecione um tempo de execução: Escolha Python 3.12

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione + Nova definição da aplicação.

11. Adicione cada uma das seguintes configurações de aplicação individualmente, com seus respectivos valores (com diferença de maiúsculas e minúsculas): Localização Nome do Espaço de Trabalho Armis Chave Secreta Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Nome da Tabela do Dispositivo Armis Schedule KeyVault Azure ID do cliente Azure Cliente Secret Azure Entra ObjectID Tenant ID logAnalyticsUri (opcional)

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

4. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Microsoft Corporation

O conector de dados da Auditoria de Confluência Atlassian fornece a capacidade de ingerir eventos de Registos de Auditoria de Confluência em Microsoft Sentinel através da API REST. Veja a documentação da API para obter mais informações. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Acesso à API da Atlassian Confluence: A conta requer permissão global do Administrador Confluence. Tokens de API com escopo também requerem o read:audit-log:confluence escopo.

Instruções de Configuração:

Conecte o Atlassian Confluence ao Microsoft Sentinel

Adicione uma conexão por cada local da Confluência Atlassiana. Siga as instruções do token API da Atlassian para criar um token de API.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de dados auditoria atlassian Jira fornece a capacidade de ingerir eventos de Registos de Auditoria Jira em Microsoft Sentinel através da API REST. Veja a documentação da API para obter mais informações. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST: JiraAccessToken, JiraUsername é necessário para a API REST. Para obter mais informações, veja API. Verifique todos os requisitos e siga as instruções para obter credenciais.

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API REST Jira para solicitar os registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

NOTA: este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado. Siga estes passos para criar o alias das funções kusto, JiraAudit

PASSO 1 – Passos de configuração para a API Jira

Siga as instruções para obter as credenciais.

PASSO 2 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implementar o conector de dados da Área de Trabalho, tenha o ID da Área de Trabalho e a Chave Primária da Área de Trabalho (pode ser copiado do seguinte).

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Opção 1 - Modelo de Azure Resource Manager (ARM)

Utilize este método para a implementação automatizada do conector de dados de Auditoria Jira com um Arm Tempate.

1. Clique no botão Implementar para Azure abaixo.

   aka.msaka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

NOTA: No mesmo grupo de recursos, não pode misturar o Windows e Linux aplicações na mesma região. Selecione o grupo de recursos existente sem aplicações do Windows ou crie um novo grupo de recursos. 3. Introduza jiraAccessToken, JiraUsername, JiraHomeSiteName (parte do nome do site abreviado, como exemplo HOMESITENAME de https://community.atlassian.com) e implemente. 4. Marque a caixa de verificação identificada como Concordo com os termos e condições acima indicados. 5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados de Auditoria Jira com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, JiraAuditXXXXX).

   e. Selecione um runtime: Selecione Python 3.11.

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione Nova definição da aplicação.

11. Adicione cada uma das seguintes definições de aplicação individualmente, com os respetivos valores de cadeia (sensíveis às maiúsculas e minúsculas): JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceKey logAnalyticsUri (opcional)

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

3. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Microsoft Corporation

O conector de dados auditoria atlassian Jira fornece a capacidade de ingerir eventos de Registos de Auditoria Jira em Microsoft Sentinel através da API REST. Veja a documentação da API para obter mais informações. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Acesso à API Atlassian Jira: é necessária permissão para Administrar Jira para obter acesso à API de registos de Auditoria da Jira. Veja a documentação da API Jira para saber mais sobre a API de auditoria.

Instruções de Configuração:

Para ativar o conector Atlassian Jira para Microsoft Sentinel, clique para adicionar uma organização, preencha o formulário com as credenciais de ambiente Jira e clique em Ligar. Siga estes passos para criar um token de API.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft

O conector de dados de Eventos de Auditoria de Organizações da Atlassian oferece a capacidade de ingerir eventos de auditoria da organização do Atlassian Cloud para o Microsoft Sentinel por meio da API de Polling. Esse conector permite monitoramento abrangente de segurança e auditoria de conformidade em todos os produtos Atlassian Cloud, incluindo Jira (Software/Service Desk/Core), Confluence, Bitbucket, Trello, Opsgenie, Statuspage e Loom. O conector ingere eventos de auditoria que abrangem gestão de usuários, atividades de autenticação, mudanças de grupo, modificações de acesso ao produto, ações administrativas e mudanças de políticas. Com 180 dias de retenção de dados na Atlassian Cloud, este conector oferece visibilidade sobre acessos concedidos/revogados por usuários, falhas e sucessos de autenticação, alterações na configuração do MFA, gerenciamento de tokens de API, alterações na membresia de grupos, cesões de licenças de produto, atualizações de políticas organizacionais e atividades de verificação de domínio. O conector utiliza autenticação por API Key com escopo OAuth somente leitura (leia-se: events:admin) e é otimizado para polling contínuo com paginação baseada em cursor. Este conector é construído sobre o Microsoft Sentinel Codeless Connector Framework e suporta transformações de tempo de ingestão baseadas em DCR para otimizar o desempenho das consultas. Consulte a documentação da API de Eventos da Organização Atlassian para mais informações.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Acesso à API de Eventos Organizacionais Atlassian: Uma chave API com escopo OAuth somente read:events:admin leitura é necessária para ler eventos de auditoria organizacional. Consulte a documentação da API de Eventos da Organização Atlassian para mais informações.

Instruções de Configuração:

Pré-requisitos

Antes de configurar esse conector, certifique-se de ter o seguinte:

• Acesso administrativo da organização Atlassian para criar uma chave de API com o read:events:admin escopo OAuth.
• Seu ID de Organização Atlassian (um UUID).
• Microsoft Sentinel com permissões de escrita para configurar o conector de dados.

1. Criar Chave de API no Atlassian

Siga estes passos para criar uma chave de API com as permissões necessárias:

Criar chave de API

1. Navegue para a Administração Atlassian
2. Selecione sua organização (se você tiver várias)
3. Navegue até Configurações e selecione chaves de API
4. Clique em Criar chave de API
5. Configure a chave da API:
   • Nome: Microsoft Sentinel Integration (ou nome descritivo)
   • Expiração: Defina a data de expiração (máximo 1 ano a partir da criação)
   • Escopos: Select read:events:admin (acesso somente leitura a eventos de auditoria)
6. Clique em Criar
7. IMPORTANTE: Copie a chave API imediatamente - ela não será mostrada novamente

2. Obtenha seu ID de Organização

Seu ID de organização é necessário para se conectar à API da Atlassian:

Localizar ID de Organização Seu ID de Organização é um UUID (por exemplo, 00000000-0000-0000-0000-000000000000)

Opção 1: Do URL da Administração Atlassian

• Olhe a URL no seu console de administração Atlassian
• Formato: https://admin.atlassian.com/o/{orgId}/overview
• Copie o UUID entre /o/ e /overview

Opção 2: Durante a criação da chave API

• O ID da organização é exibido quando você cria uma chave de API
• Copie junto com sua chave de API

Exemplo:00000000-0000-0000-0000-000000000000

3. Conectar-se ao Microsoft Sentinel

Adicione uma conexão por organização Atlassian (locatário). Cada conexão é identificada por um Alias de Conexão único e pode direcionar uma URL base diferente de organização ou API, para que você possa ingerir eventos de múltiplas organizações Atlassian lado a lado.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de dados Auth0 ingere eventos de log de tenant da API de Gerenciamento Auth0 para o Microsoft Sentinel. Construído sobre o Codeless Connector Framework, ele suporta a conexão de múltiplos hosts Auth0 e etiqueta cada registro com seu domínio Auth0.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Credenciais da API Auth0: Credenciais da API de gerenciamento Auth0 são necessárias: Domínio, ID do Cliente e Segredo do Cliente de uma aplicação Máquina-a-Máquina autorizada para read:logs e read:logs_users.

Instruções de Configuração:

Configure a aplicação da API de Gerenciamento Auth0

Siga estes passos para obter as credenciais:

1. No Painel Auth0, vá para Aplicações > Aplicações.
2. Selecione (ou crie) uma aplicação Machine-to-Machine autorizada contra a API de Gerenciamento Auth0 com pelo menos as permissões read:logs e read:logs_users .
3. Nas configurações do aplicativo, copie o Domínio (deve começar com https://), ID do Cliente e Segredo do Cliente.

Para coletar logs de múltiplos hosts Auth0, adicione uma conexão separada para cada host. Cada registro é marcado com seu Auth0Domain para que você possa diferenciar os hosts.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

Pode transmitir em fluxo os registos de auditoria a partir do servidor SQL WebCTRL alojado em computadores Windows ligados à sua Microsoft Sentinel. Esta ligação permite-lhe ver dashboards, criar alertas personalizados e melhorar a investigação. Isto fornece informações sobre os seus Sistemas de Controlo Industrial que são monitorizados ou controlados pela aplicação WebCTRL BAS.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

1. Instale e integre o agente da Microsoft para Windows.

Saiba mais sobre a configuração do agente e a integração de eventos do Windows.

Pode ignorar este passo se já tiver instalado o agente da Microsoft para Windows

2. Configurar a tarefa do Windows para ler os dados de auditoria e escrevê-la em eventos do Windows

Instale e configure a Tarefa Agendada do Windows para ler os registos de auditoria no SQL e escrevê-los como Eventos do Windows. Estes Eventos do Windows serão recolhidos pelo agente e reencaminhados para Microsoft Sentinel.

Repare que os dados de todos os computadores serão armazenados na área de trabalho selecionada

2.1 Copie os ficheiros de configuração para uma localização no servidor.

2.2 Atualize os parâmetros do script ALC-WebCTRL-AuditPull.ps1 (copiados no passo acima), como o nome da base de dados de destino e os IDs do evento do Windows. Veja os comentários no script para obter mais detalhes.

2.3 Atualize as definições de tarefa do Windows no ficheiro ALC-WebCTRL-AuditPullTaskConfig.xml que foi copiado no passo acima de acordo com o requisito. Veja os comentários no ficheiro para obter mais detalhes.

2.4 Instalar tarefas do Windows com as configurações atualizadas copiadas nos passos acima

• Execute o seguinte comando no Powershell a partir do diretório onde os ficheiros de configuração são copiados no passo 2.1: <valor variável fornecido no momento da instalação>

3. Validar ligação

Siga as instruções para validar a conectividade:

Abra o Log Analytics para marcar se os registos forem recebidos com o esquema evento.

Pode demorar cerca de 20 minutos até que a ligação transmita os dados para a área de trabalho.

Se os registos não forem recebidos, valide os passos abaixo para quaisquer problemas de tempo de execução:

1. Certifique-se de que a tarefa agendada é criada e está no estado de execução no Programador de Tarefas do Windows.

2. Verifique se existem erros de execução de tarefas no separador histórico no Programador de Tarefas do Windows para a tarefa recentemente criada no passo 2.4

3. Confirme que a tabela Auditoria do SQL consiste em novos registos enquanto a tarefa agendada do Windows é executada.

Suportado por:Microsoft Corporation

O conector de dados do AWS EKS fornece a capacidade de ingerir registos de auditoria do Amazon Elastic Kubernetes Service para Microsoft Sentinel. Este conector centra-se nos registos de auditoria do EKS (formato JSON) que contêm informações detalhadas sobre pedidos do servidor de API, decisões de autenticação e atividades de cluster. O conector utiliza o SQS do AWS para receber notificações quando novos ficheiros de registo de auditoria são exportados para S3, garantindo monitorização de segurança em tempo real e controlo de conformidade para os clusters do Kubernetes.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

1. Implementação do CloudFormation do AWS

Utilize os modelos cloudFormation fornecidos para configurar o ambiente do AWS para enviar registos do EKS do AWS para a área de trabalho do Log Analytics.

Implementar Modelos de CloudFormation no AWS:

1. Navegue para a CloudFormation Stacks do AWS.
2. Clique em Criar pilha e selecione Com novos recursos.
3. Selecione Carregar um ficheiro de modelo e, em seguida, clique em Escolher ficheiro para carregar o modelo CloudFormation adequado (Modelo 1 e 2 abaixo) fornecido.
4. Siga as instruções e clique em Seguinte para concluir a criação da pilha.
5. Após a criação das pilhas, navegue para a secção Saídas . Execute os scripts nos passos 1 e 2 a partir da secção de saída. Transmite o registo de eks para sqs.
6. Na mesma secção de saídas, anote o ARN da Função e o URL da Fila sqS que vão ser utilizados no conector de ligação.

• Modelo 1: implementação do fornecedor de autenticação openID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: Implementação de Recursos do EKS do AWS: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores

Para ativar o Conector do Hub de Segurança do AWS para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• SentinelRoleArn: (ARN da Função IAM do AWS para acesso entre contas (por exemplo, arn:aws:iam::123456789012:role/SentinelRole))
• SentinelSQSQueueURL: (O URL completo da fila EKS do AWS (por exemplo, https://sqs.region.amazonaws.com/account-id/queue-name))

3. Ligar

Ative o conector EKS do AWS.

• Ativar/Desativar Ligação

Suportado por:Microsoft Corporation

Este conector permite-lhe ingerir Registos de Acesso do Servidor AWS S3 no Microsoft Sentinel. Estes registos contêm registos detalhados para pedidos feitos a registos S3, incluindo o tipo de pedido, acesso a recursos, informações do requerente e detalhes de resposta. Estes registos são úteis para analisar padrões de acesso, depurar problemas e garantir a conformidade de segurança.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Ambiente: tem de ter os seguintes recursos do AWS definidos e configurados: Registo S3, Serviço de Fila Simples (SQS), funções de IAM e políticas de permissões.

Instruções de Configuração:

1. Implementação do CloudFormation do AWS Para configurar o acesso no AWS, foram gerados dois modelos para configurar o ambiente do AWS para enviar registos a partir de registos de Acesso do Servidor AWS S3 para a área de trabalho do Log Analytics.

Implementar Modelos de CloudFormation no AWS:

1. Navegue para a CloudFormation Stacks do AWS.
2. Clique em Criar pilha e selecione Com novos recursos.
3. Selecione Carregar um ficheiro de modelo e, em seguida, clique em Escolher ficheiro para carregar o modelo CloudFormation adequado fornecido.
4. Siga as instruções e clique em Seguinte para concluir a criação da pilha.
5. Após a criação das pilhas, anote o ARN da Função e o URL da Fila SQS.

• Modelo 1: implementação do fornecedor de autenticação openID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: implementação de recursos do AWS Server Access: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o Conector de Registos de Acesso do Servidor AWS S3 para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

Este conector permite a ingestão de Resultados do Hub de Segurança do AWS, que são recolhidos em registos do AWS S3, em Microsoft Sentinel. Ajuda a simplificar o processo de monitorização e gestão de alertas de segurança ao integrar os Resultados do Hub de Segurança do AWS com as capacidades avançadas de deteção e resposta de ameaças do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Ambiente: tem de ter os seguintes recursos do AWS definidos e configurados: Hub de Segurança do AWS, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, Simple Queue Service (SQS), funções E políticas de permissões de IAM.

Instruções de Configuração:

1. Implementação do CloudFormation do AWS Utilize os modelos cloudFormation fornecidos para configurar o ambiente do AWS para enviar registos do Hub de Segurança do AWS para a área de trabalho do Log Analytics.

Implementar Modelos de CloudFormation no AWS:

1. Navegue para a CloudFormation Stacks do AWS.
2. Clique em Criar pilha e selecione Com novos recursos.
3. Selecione Carregar um ficheiro de modelo e, em seguida, clique em Escolher ficheiro para carregar o modelo CloudFormation adequado fornecido.
4. Siga as instruções e clique em Seguinte para concluir a criação da pilha.
5. Após a criação das pilhas, anote o ARN da Função e o URL da Fila SQS.

• Modelo 1: implementação do fornecedor de autenticação openID Connect: <valor variável fornecido no momento da instalação>
• Modelo 2: Implementação de recursos do Hub de Segurança do AWS: <valor variável fornecido no momento da instalação>

2. Ligar novos recoletores Para ativar o Conector do Hub de Segurança do AWS para Microsoft Sentinel, clique no botão Adicionar novo recoletor, preencha as informações necessárias no painel de contexto e clique em Ligar.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

Azure Registo de Atividades é um registo de subscrição que fornece informações sobre eventos ao nível da subscrição que ocorrem no Azure, incluindo eventos de Azure Resource Manager dados operacionais, eventos de estado de funcionamento do serviço, operações de escrita realizadas nos recursos na sua subscrição e a status de atividades realizadas no Azure. Para obter mais informações, veja a documentação do Microsoft Sentinel .

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:Microsoft Corporation

Lote do Azure Conta é uma entidade identificada exclusivamente no serviço Batch. A maioria das soluções do Batch utiliza o Armazenamento Azure para armazenar ficheiros de recursos e ficheiros de saída, pelo que cada conta do Batch está normalmente associada a uma conta de armazenamento correspondente. Este conector permite-lhe transmitir em fluxo a sua conta Lote do Azure diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue o diagnóstico da Conta do Lote do Azure ao Sentinel.

Este conector utiliza Azure Policy para aplicar uma única configuração de transmissão em fluxo de registos Lote do Azure Conta a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos da Sua Conta de Lote do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Palo Alto Networks

A Firewall de Próxima Geração da Cloud da Palo Alto Networks - um serviço ISV nativo Azure - é a Firewall de Próxima Geração (NGFW) da Palo Alto Networks fornecida como um serviço nativo da cloud no Azure. Pode detetar o Cloud NGFW no Azure Marketplace e consumê-lo nas Redes Virtuais (VNet) Azure. Com a NGFW da Cloud, pode aceder às principais capacidades da NGFW, tais como O ID da Aplicação, tecnologias baseadas na filtragem de URL. Fornece prevenção e deteção de ameaças através de serviços de segurança fornecidos na cloud e assinaturas de prevenção de ameaças. O conector permite-lhe ligar facilmente os registos da NGFW da Cloud com Microsoft Sentinel, ver dashboards, criar alertas personalizados e melhorar a investigação. Isto dá-lhe mais informações sobre a rede da sua organização e melhora as suas capacidades de operação de segurança. Para obter mais informações, veja a documentação do Cloud NGFW para Azure.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

Conecte o Cloud NGFW da Palo Alto Networks ao Microsoft Sentinel

Ative as Definições de Registo em Todas as NGFWs da Cloud pela Palo Alto Networks.

Dentro do recurso NGFW da Cloud:

1. Navegue para as Definições de Registo a partir da home page.
2. Certifique-se de que a caixa de verificação Ativar Definições de Registo está selecionada.
3. No menu pendente Definições de Registo , selecione a Área de Trabalho do Log Analytics pretendida.
4. Confirme as suas seleções e configurações.
5. Clique em Guardar para aplicar as definições.

Suportado por:Microsoft Corporation

Azure Cognitive Search é um serviço de pesquisa na cloud que fornece aos programadores infraestruturas, APIs e ferramentas para criar uma experiência de pesquisa avançada em conteúdos privados e heterogéneos em aplicações Web, móveis e empresariais. Este conector permite-lhe transmitir em fluxo os registos do Azure Cognitive Search diagnóstico para Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue os registos do Azure Cognitive Search diagnóstico ao Sentinel.

Este conector utiliza Azure Policy para aplicar uma única Azure Cognitive Search configuração de transmissão em fluxo de registos a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos do seu Azure Cognitive Search em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

Ligue-se aos registos do Standard DDoS Protection Azure através dos Registos de Diagnóstico de Endereços IP Públicos. Além da proteção de DDoS principal na plataforma, o Azure DDoS Protection Standard fornece capacidades avançadas de mitigação de DDoS contra ataques de rede. É automaticamente otimizado para proteger os seus recursos Azure específicos. A proteção é simples de ativar durante a criação de novas redes virtuais. Também pode ser feito após a criação e não requer alterações de aplicação ou de recursos. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:Microsoft Corporation

O conector de dados dos Registos de Auditoria do Azure DevOps permite-lhe ingerir eventos de auditoria do Azure DevOps para Microsoft Sentinel. Este conector de dados é criado com o Microsoft Sentinel Codeless Connector Framework, garantindo uma integração totalmente integrada. Tira partido da API de Registos de Auditoria do Azure DevOps para obter eventos de auditoria detalhados e suporta transformações de tempo de ingestão baseadas em DCR. Estas transformações permitem analisar os dados de auditoria recebidos numa tabela personalizada durante a ingestão, melhorando o desempenho das consultas ao eliminar a necessidade de análise adicional. Ao utilizar este conector, pode obter visibilidade melhorada para o seu ambiente Azure DevOps e simplificar as operações de segurança.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Azure Pré-requisito do DevOps: certifique-se do seguinte:
  1. Registe uma Aplicação Entra no Centro de Microsoft Entra Administração em Registos de Aplicações.
  2. Em "Permissões de API" - adicione Permissões a "Azure DevOps - vso.auditlog".
  3. Em "Certificados & segredos" - gere "Segredo do cliente".
  4. Em "Autenticação" - adicione o URI de Redirecionamento encontrado abaixo no campo correspondente.
  5. Nas definições do Azure DevOps , ative o registo de auditoria e defina Ver registo de auditoria para o utilizador. Azure Auditoria de DevOps.
  6. Certifique-se de que o utilizador atribuído para ligar o conector de dados tem a permissão Ver registos de auditoria explicitamente definida como Permitir em todos os momentos. Esta permissão é essencial para a ingestão de registos com êxito. Se a permissão for revogada ou não for concedida, a ingestão de dados falhará ou será interrompida.

Instruções de Configuração:

**Ligue-se ao Azure DevOps para começar a recolher registos de Auditoria no Microsoft Sentinel. **

1. Introduza a Aplicação que registou.
2. Na secção "Descrição geral", copie o ID da Aplicação (cliente).
3. Selecione o botão "Pontos finais" e copie o valor "OAuth 2.0 authorization endpoint (v2)" e o valor "OAuth 2.0 token endpoint (v2)".
4. Na secção "Certificados & segredos", copie o "valor segredo do cliente" e armazene-o de forma segura.
5. Forneça as informações necessárias abaixo e clique em "Ligar".

• Ponto Final de Token: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/token')])
• Ponto Final de Autorização: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/authorize')])
• Ponto Final da API: (https://auditservice.dev.azure.com/{organizationName}/_apis/audit/auditlog?api-version=7.2-preview)

Suportado por:Microsoft Corporation

Hubs de Eventos do Azure é uma plataforma de transmissão em fluxo de macrodados e um serviço de ingestão de eventos. Pode receber e processar milhões de eventos por segundo. Este conector permite-lhe transmitir em fluxo os Azure Hub de Eventos diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue os diagnóstico do Hub de Eventos do Azure ao Sentinel.

Este conector utiliza Azure Policy para aplicar um único Azure configuração de transmissão em fluxo de registos do Hub de Eventos a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos do Hub de Eventos do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

Ligue-se ao Firewall do Azure. Firewall do Azure é um serviço de segurança de rede gerido e baseado na cloud que protege os seus recursos de Azure Rede Virtual. É uma firewall totalmente com monitorização de estado como um serviço com elevada disponibilidade incorporada e escalabilidade da cloud sem restrições. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Suportado por:Microsoft Corporation

Azure Key Vault é um serviço cloud para armazenar e aceder a segredos de forma segura. Um segredo é tudo aquilo a que pretende controlar rigorosamente o acesso, como chaves de API, palavras-passe, certificados ou chaves criptográficas. Este conector permite-lhe transmitir em fluxo os Azure Key Vault diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade em todas as suas instâncias. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:Microsoft Corporation

Serviço de Kubernetes do Azure (AKS) é um serviço de orquestração de contentores de código aberto e totalmente gerido que lhe permite implementar, dimensionar e gerir contentores do Docker e aplicações baseadas em contentores num ambiente de cluster. Este conector permite-lhe transmitir em fluxo o seu Serviço de Kubernetes do Azure (AKS) diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade em todas as suas instâncias. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:Microsoft Corporation

Aplicativos Lógicos do Azure é uma plataforma baseada na cloud para criar e executar fluxos de trabalho automatizados que integram as suas aplicações, dados, serviços e sistemas. Este conector permite-lhe transmitir em fluxo o seu Aplicativos Lógicos do Azure diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue o diagnóstico do Logic Apps ao Sentinel.

Este conector utiliza Azure Policy para aplicar uma única configuração de transmissão em fluxo de registos do Aplicativos Lógicos do Azure a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos do Aplicativos Lógicos do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

Azure Resource Graph conector fornece informações mais detalhadas sobre Azure eventos ao complementar detalhes sobre Azure subscrições e recursos Azure.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: permissão de função de proprietário em subscrições Azure

Instruções de Configuração:

Ligar Azure Resource Graph ao Microsoft Sentinel

Suportado por:Microsoft Corporation

Barramento de Serviço do Azure é um mediador de mensagens empresariais totalmente gerido com filas de mensagens e tópicos de publicação-subscrição (num espaço de nomes). Este conector permite-lhe transmitir em fluxo os registos do Barramento de Serviço do Azure diagnóstico para Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue os registos do Barramento de Serviço do Azure diagnóstico ao Sentinel.

Este conector utiliza Azure Policy para aplicar uma única configuração de transmissão em fluxo de registos Barramento de Serviço do Azure a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos do seu Barramento de Serviço do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

SQL do Azure é um motor de base de dados PaaS (Plataforma como Serviço) totalmente gerido que processa a maioria das funções de gestão de bases de dados, como atualização, aplicação de patches, cópias de segurança e monitorização, sem necessidade de envolvimento do utilizador. Este conector permite-lhe transmitir em fluxo os registos de diagnóstico e auditoria das bases de dados SQL do Azure para Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade em todas as suas instâncias.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:Microsoft Corporation

Azure Conta de armazenamento é uma solução na cloud para cenários de armazenamento de dados modernos. Contém todos os objetos de dados: blobs, ficheiros, filas, tabelas e discos. Este conector permite-lhe transmitir em fluxo Azure contas de Armazenamento diagnóstico inicia sessão na área de trabalho do Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade em todas as suas instâncias e detetar atividades maliciosas na sua organização. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue o diagnóstico da Conta de Armazenamento do Azure ao Sentinel.

Este conector utiliza um conjunto de Políticas de Azure para aplicar uma configuração de transmissão em fluxo de registos a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar políticas a todas as instâncias atuais e futuras. Para tirar o máximo partido do registo de Diagnóstico da Conta de Armazenamento a partir da Conta de Armazenamento do Azure, recomendamos que ative o Registo de diagnósticos de todos os serviços na Conta de Armazenamento do Azure – Blob, Fila, Tabela e Ficheiro. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos da Conta de Armazenamento do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Stream diagnóstico registos do serviço blob de armazenamento Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Stream diagnóstico registos do serviço fila de armazenamento Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Stream diagnóstico registos do serviço tabela de armazenamento Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Stream diagnóstico registos do serviço de Ficheiros de Armazenamento do Azure em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

O Azure Stream Analytics é uma análise em tempo real e um mecanismo complexo de processamento de eventos que foi projetado para analisar e processar grandes volumes de dados de streaming rápido de várias fontes simultaneamente. Este conector permite-lhe transmitir em fluxo o seu hub do Azure Stream Analytics diagnóstico inicia sessão no Microsoft Sentinel, permitindo-lhe monitorizar continuamente a atividade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Política: Função de proprietário atribuída para cada âmbito de atribuição de política

Instruções de Configuração:

Ligue os diagnóstico do Azure Stream Analytics ao Sentinel.

Este conector utiliza Azure Policy para aplicar uma única configuração de transmissão em fluxo de registos do Azure Stream Analytics a uma coleção de instâncias, definida como um âmbito. Siga as instruções abaixo para criar e aplicar uma política a todas as instâncias atuais e futuras. Tenha em atenção que pode já ter uma política ativa para este tipo de recurso.

Stream diagnóstico registos do seu Azure Stream Analytics em escala

**Inicie o assistente Azure Policy Atribuição e siga os passos. **

1. No separador Informações Básicas, clique no botão com os três pontos em Âmbito para selecionar a sua subscrição.
2. No separador Parâmetros, selecione a área de trabalho Microsoft Sentinel na lista pendente área de trabalho do Log Analytics e deixe marcada como "Verdadeiro" todas as categorias de registo que pretende ingerir.
3. Para aplicar a política nos recursos existentes, marque a caixa criar uma tarefa de remediação marcar no separador Remediação.

Suportado por:Microsoft Corporation

Ligue-se ao Azure Firewall de Aplicativo Web (WAF) para Gateway de Aplicativo, Front Door ou CDN. Esta WAF protege as suas aplicações de vulnerabilidades Web comuns, como injeção de SQL e scripting entre sites, e permite-lhe personalizar regras para reduzir falsos positivos. As instruções para transmitir em fluxo os registos da firewall de aplicações Web da Microsoft para Microsoft Sentinel são apresentadas durante o processo de instalação. Para obter mais informações, veja a documentação do Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Suportado por:BeyondTrust

O conector de dados beyondTrust Privilege Management Cloud fornece a capacidade de ingerir registos de auditoria de atividades e registos de eventos de cliente da Cloud pm BeyondTrust para Microsoft Sentinel.

Este conector utiliza Azure Functions para extrair dados da API da Cloud do PM BeyondTrust e ingeri-lo em tabelas personalizadas do Log Analytics.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• BeyondTrust PM Cloud API credentials: BeyondTrust PM Cloud OAuth Client ID and Client Secret are required . A conta de API requer as seguintes permissões: Auditoria – Só de Leitura e Relatórios – Só de Leitura

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API da Cloud do PM BeyondTrust para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

NOTA: Este conector utiliza o fluxo de credenciais de cliente OAuth 2.0 para autenticar com a API de Cloud do PM BeyondTrust.

PASSO 1 – Obter credenciais da API da Cloud para PM BeyondTrust

Crie uma Conta de API na sua instância da Cloud do PM BeyondTrust com credenciais da API OAuth (ID de Cliente e Segredo do Cliente). A conta da API requer as seguintes permissões:

• Auditoria - Só de Leitura
• Relatórios - Só de Leitura

PASSO 2 – Implementar o conector e a Função Azure associada

Utilize este método para a implementação automatizada do conector de dados beyondTrust PM Cloud com um Modelo do ARM.

1. Clique no botão Implementar para Azure abaixo.

   portal.azure.com

2. Selecione a Subscrição preferencial, Grupo de Recursos (tem de conter a área de trabalho do Log Analytics) e Localização.

3. Introduza os parâmetros necessários:

   • Nome da Área de Trabalho: nome da área de trabalho do Log Analytics (por exemplo, beyondtrust-pmcloud)
   • BEYONDTrust PM Cloud Base URL: O URL do inquilino (por exemplo, https://yourcompany.beyondtrustcloud.com)
   • BeyondTrust Client ID: OAuth Client ID from Step 1 (ID de Cliente BeyondTrust: OAuth Client ID from Step 1)
   • BeyondTrust Client Secret: OAuth Client Secret from Step 1 (Segredo do Cliente BeyondTrust: Segredo do Cliente OAuth do Passo 1)
   • Intervalo de Consulta das Auditorias de Atividade: com que frequência recolher Auditorias de Atividade (predefinição: 15 minutos)
   • Intervalo de Consulta de Eventos de Cliente: com que frequência recolher Eventos de Cliente (predefinição: 5 minutos)
   • Nível de Registo: nível de registo para resolução de problemas (predefinição: Informações)
   • Período de Dados Histórico: até onde voltar para recolher dados na primeira execução (predefinição: 1 dia)

4. Reveja as definições avançadas (SKU do Plano de Alojamento, Tipo de Conta de Armazenamento) e ajuste se necessário.

5. Marque a caixa de verificação etiquetada Concordo com os termos e condições indicados acima.

6. Clique em Comprar para implementar.

7. A implementação cria todos os recursos necessários: Aplicação de Funções, Conta de Armazenamento, Ponto Final de Recolha de Dados, Regras de Recolha de Dados e tabelas personalizadas do Log Analytics.

8. Os dados devem começar a fluir dentro de 15 a 30 minutos após a implementação.

Suportado por:BigID

O conector de dados bigID DSPM fornece a capacidade de ingerir casos de DSPM BigID com objetos afetados e informações de origem de dados em Microsoft Sentinel.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Acesso à API bigID DSPM: é necessário o acesso à API de DSPM BigID através de um Token BigID.

Instruções de Configuração:

Ligue-se à API de DSPM BigID para começar a recolher casos de DSPM BigID e Objetos afetados no Microsoft Sentinel

Indique o seu nome de domínio BigID, como "customer.bigid.cloud" e o token BigID. Gerar um token na consola BigID através de Definições –> Gestão de Acesso –> Utilizadores –> Selecione Utilizador e gere um token.

• BigID FQDN: (BigID FQDN)
• Token BigID: (Token BigID)
• Ativar/Desativar Ligação

Suportado por:Microsoft Corporation

O conector de dados Bitglass fornece a capacidade de obter registos de eventos de segurança dos serviços Bitglass e mais eventos para Microsoft Sentinel através da API REST. O conector permite a obtenção de eventos para avaliar potenciais riscos de segurança, monitorizar a colaboração e diagnosticar e resolver problemas de configuração.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST: BitglassToken e BitglassServiceURL são necessários para fazer chamadas à API.

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API de Armazenamento de Blobs do Azure para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais para a ingestão de dados e para armazenar dados em custos de Armazenamento de Blobs do Azure. Consulte a página de preços do Azure Functions e Armazenamento de Blobs do Azure página de preços para obter detalhes.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação de Funções Azure.

NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar conforme esperado, que é implementado com o Microsoft Sentinel Solution.

PASSO 1 – Passos de configuração para a API de Obtenção de Registo bitglass

Siga as instruções para obter as credenciais.

1. Contacte o suporte do Bitglass e obtenha a ntation BitglassToken e BitglassServiceURL ].
2. Guarde as credenciais para utilizar no conector de dados.

PASSO 2 – escolha UMA das duas opções de implementação seguintes para implementar o conector e a Função Azure associada

IMPORTANTE: Antes de implementar o conector de dados Bitglass, tenha o ID da Área de Trabalho e a Chave Primária da Área de Trabalho (pode ser copiado do seguinte).

• ID da área de trabalho: <valor variável fornecido no momento da instalação>
• Chave Primária: <valor variável fornecido no momento da instalação>

Opção 1 - Modelo de Azure Resource Manager (ARM)

Utilize este método para a implementação automatizada do conector de dados Bitglass com um Modelo do ARM.

1. Clique no botão Implementar para Azure abaixo.

   aka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

NOTA: No mesmo grupo de recursos, não pode misturar o Windows e Linux aplicações na mesma região. Selecione o grupo de recursos existente sem aplicações do Windows ou crie um novo grupo de recursos. 3. Introduza BitglassToken, BitglassServiceURL e implemente. 4. Marque a caixa de verificação identificada como Concordo com os termos e condições acima indicados. 5. Clique em Comprar para implementar.

Opção 2 – Implementação Manual de Azure Functions

Utilize as seguintes instruções passo a passo para implementar manualmente o conector de dados Bitglass com Azure Functions (Implementação através de Visual Studio Code).

1. Implementar uma Aplicação de Funções

NOTA: Terá de preparar o código VS para Azure desenvolvimento de funções.

1. Transfira o ficheiro Azure Function App. Extraia o arquivo para o seu computador de desenvolvimento local.

2. Inicie o VS Code. Selecione Ficheiro no menu principal e selecione Abrir Pasta.

3. Selecione a pasta de nível superior a partir dos ficheiros extraídos.

4. Selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções. Se ainda não tiver sessão iniciada, selecione o ícone de Azure na Barra de atividade e, em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure Se já tiver sessão iniciada, avance para o passo seguinte.

5. Indique as seguintes informações nos pedidos:

   a. Selecionar pasta: Escolha uma pasta a partir da área de trabalho ou navegue para uma que contenha a sua aplicação de funções.

   b. Selecione Subscrição: Escolha a subscrição a utilizar.

   c. Selecione Criar nova Aplicação de Funções no Azure (não escolha a opção Avançadas)

   d. Introduza um nome globalmente exclusivo para a aplicação de funções: Escreva um nome válido num caminho de URL. O nome que escrever é validado para se certificar de que é exclusivo no Azure Functions. (por exemplo, BitglassXXXXX).

   e. Selecione um runtime: Selecione Python 3.11.

   f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde Microsoft Sentinel se encontra.

6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

7. Aceda ao Portal Azure para obter a configuração da Aplicação de Funções.

8. Configurar a Aplicação de Funções

9. Na Aplicação de Funções, selecione o Nome da Aplicação de Funções e selecione Configuração.

10. No separador Definições da aplicação, selecione Nova definição da aplicação.

11. Adicione cada uma das seguintes definições de aplicação individualmente, com os respetivos valores de cadeia (sensíveis às maiúsculas e minúsculas): BitglassToken BitglassServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (opcional)

• Utilize logAnalyticsUri para substituir o ponto final da API de análise de registos para a cloud dedicada. Por exemplo, para a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

4. Assim que todas as definições da aplicação tiverem sido introduzidas, clique em Guardar.

Suportado por:Bitwarden Inc

Este conector fornece informações sobre a atividade da sua organização Bitwarden, como a atividade do utilizador (com sessão iniciada, palavra-passe alterada, 2fa, etc.), atividade de cifras (criada, atualizada, eliminada, partilhada, etc.), atividade de coleção, atividade da organização e muito mais.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Bitwarden ID de Cliente e Segredo do Cliente: a chave de API pode ser encontrada na consola de administração da organização Bitwarden. Veja a documentação do Bitwarden para obter mais informações.

Instruções de Configuração:

Ligar Registos de Eventos Bitwarden ao Microsoft Sentinel

A chave de API pode ser encontrada na consola de administração da organização Bitwarden. Veja a documentação do Bitwarden para obter mais informações. Os servidores Bitwarden autoalojados poderão ter de reconfigurar o URL da instalação.

• Url de Identidade de Bitwarden: (https://identity.bitwarden.com)
• Url da API Bitwarden: (https://api.bitwarden.com)

Suportado por:blacklens.io Suporte

O conector de dados blacklens.io permite-lhe ingerir alertas de Gestão de Superfície de Ataque de blacklens.io para Microsoft Sentinel através de uma Aplicação Lógica baseada em webhook e da API de Ingestão de Registos do Azure Monitor.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Azure Subscrição: são necessárias permissões de Contribuidor ou Proprietário no grupo de recursos para implementar a infraestrutura de ingestão de dados (Ponto Final de Recolha de Dados, Regra de Recolha de Dados, tabela personalizada e Aplicação Lógica).
• Conta blacklens.io: é necessária uma conta blacklens.io com capacidades de integração de webhook.

Instruções de Configuração:

Passo 1 – Implementar a infraestrutura de ingestão de dados

Este passo implementa os recursos de Azure necessários: um Ponto Final de Recolha de Dados, uma Regra de Recolha de Dados, uma tabela personalizada do Log Analytics (blacklens_CL) e uma Aplicação Lógica acionada por webhook.

1. Clique no botão Implementar para Azure abaixo.

   portal.azure.com

2. Selecione a Subscrição, o Grupo de Recursos e a Localização onde reside a área de trabalho Microsoft Sentinel.

3. Introduza o Nome da Área de Trabalho da área de trabalho do Log Analytics.

4. Clique em Rever + criar e, em seguida, em Criar.

Passo 2 – Copiar o URL do webhook

1. Após a implementação ser concluída com êxito, clique no separador Saídas na página de implementação.
2. Copie o valor webhookUrl .

Em alternativa, navegue para Descrição Geral do Logic Apps >la-blacklens-alert-log-ingestion> e copie o URL do Fluxo de Trabalho.

Passo 3 – Configurar blacklens.io

1. Inicie sessão no portal blacklens.io.
2. Navegue para as definições de integração do webhook.
3. Cole o URL do webhook copiado no Passo 2.
4. Guarde a configuração.
5. Ligue a integração do webhook a, pelo menos, uma política de notificação para que os alertas sejam enviados para o webhook.

Após alguns minutos, deverá aparecer um incidente de teste no Microsoft Sentinel.

Suportado por:SpecterOps

BloodHound Enterprise da SpecterOps é uma plataforma de Gerenciamento de Caminhos de Ataque de Identidade : ela mapeia como os atacantes podem se mover por relacionamentos de identidade para alcançar ativos críticos, permitindo que as equipes priorizem e corrigam esses caminhos, não apenas detectando-os. Isso traz clareza à expansão de identidades no Active Directory, Azure e além, incluindo proteção no estilo Privilege Zone sobre o que mais importa no seu ambiente.

Este conector Microsoft Sentinel adiciona contexto do caminho de ataque do BloodHound Enterprise ao seu espaço de trabalho, junto com logs e alertas, para que você possa enriquecer investigações, focar em descobertas de alto valor e acompanhar exposição, atividade de auditoria e ativos de Nível Zero em um só lugar.

O que esse conector faz

• Conecta-se à API REST do BloodHound Enterprise usando suas credenciais configuradas (veja Trabalhando com a API) e roda em um cronograma que você define quando a Função do Azure é implantada. Os dados são recolhidos através de Azure Functions e armazenados em tabelas personalizadas do Log Analytics com Regras de Recolha de Dados (DCR) dedicadas e Pontos Finais de Recolha de Dados (DCE).

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Acesso à API BloodHound Enterprise: ID de token, chave de token e URL da base do seu tenant são necessários para autenticar na API REST da BloodHound Enterprise (as solicitações são assinadas conforme o modelo da API SpecterOps, veja Trabalhando com a API).

Instruções de Configuração:

Etapa 1. Crie credenciais da API BloodHound Enterprise

No seu tenant BloodHound Enterprise, crie credenciais de API (ID de Token e chave de Token) usadas para assinar requisições para a API REST. Siga Trabalhando com a API para criar credenciais da API e armazenar os valores de forma segura.

Etapa 2. Criar aplicativo do Microsoft Entra

Crie um aplicativo Microsoft Entra ID (Azure AD) usado para ingestão no Log Analytics (por exemplo, acesso relacionado ao DCE/DCR). Siga o Criar um aplicativo Microsoft Entra para criar o aplicativo Microsoft Entra e suas credenciais, depois salve o ID do aplicativo (cliente), o valor secreto do cliente e quaisquer outros IDs que seu administrador precise. Armazene o segredo do cliente com segurança.

Etapa 3. Deploy Function App

NOTA: Este conector usa o Azure Functions para extrair dados do BloodHound Enterprise para o Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

IMPORTANTE: Antes de implantar o conector BloodHound Enterprise, tenha o nome do Workspace (veja abaixo), URL do tenant BloodHound Enterprise, ID e chave do Token, ID da aplicação Microsoft Entra (cliente) e segredo do cliente, além dos filtros de ambiente e tipo de busca desejados (ou use padrões de template, como Todos) prontos.

• Nome da Área de Trabalho: <valor variável fornecido no momento da instalação>

Implante todos os recursos relacionados ao conector de dados

1. Clique no botão Implementar para Azure abaixo.

   aka.ms

2. Selecione a Subscrição, o Grupo de Recursos e a Localização preferenciais.

3. Insira nome do aplicativo de função, nome do espaço de trabalho Log Analytics (espaço de trabalho Microsoft Sentinel), domínio de locatário BloodHound Enterprise (URL), ID do token BloodHound e chave de token (parâmetros seguros), ID de aplicação Microsoft Entra (cliente) e segredo cliente de aplicação Microsoft Entra.

4. Opcional: definir dias de busca (retrospecto histórico), ambientes BloodHound selecionados (separados por vírgulas ou Todos) e tipos de achados selecionados (ou Todos) conforme descrito no modelo.

5. Clique em Revisar + criar, depois Criar para implantar.

Suportado por:Microsoft Corporation

O conector de dados do Box fornece a capacidade de ingerir os eventos do Box Enterprise no Microsoft Sentinel através da API REST do Box. Veja a documentação do Box para obter mais informações.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Credenciais da API do Box: a API do Box requer um ID de cliente do Box App e um segredo do cliente para autenticar. Para obter mais informações, veja Concessão de Credenciais de Cliente
• Box Enterprise ID: o ID do Box Enterprise é necessário para efetuar a ligação. Veja a documentação para encontrar o ID empresarial

Instruções de Configuração:

NOTA: Este conector utiliza a Plataforma Connecor Sem Código (CCF) para ligar à API REST do Box para solicitar registos para Microsoft Sentinel.

NOTA: Este conector depende de um analisador baseado na Função Kusto para funcionar conforme esperado boxEvents, que é implementado com a Solução Microsoft Sentinel.

PASSO 1 – Criar Aplicação Personalizada de Caixa

Veja a documentação para configurar a autenticação de credenciais de cliente

PASSO 2 – Obter os valores de ID de Cliente e Segredo do Cliente

Poderá ter de configurar a 2FA para obter o segredo.

PASSO 3 – Obter o ID do Box Enterprise na Consola do Box Administração

Veja a documentação para encontrar o ID empresarial

Ligar ao Box para começar a recolher registos de eventos para Microsoft Sentinel

Indique os valores necessários abaixo:

• ID do Box Enterprise: (123456)

Apoiado por:BlueVoyant

BV-ClaudeCompliance (via Codeless Connector Framework)

Esse conector ingere dados da API ClaudeCompliance no Microsoft Sentinel usando o RestApiPoller.

Coleta de dados

• URL da API base: https://api.anthropic.com/
• Autenticação: APIKey
• Contagem de endpoints: 1

Tables

• ComplianceActivities ->BV_ClaudeCompliance_ComplianceActivities_CL

Consulta de Exemplo

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Instruções de Configuração:

Conecte BV-ClaudeCompliance (via Codeless Connector Framework) ao Microsoft Sentinel

Para obter uma chave de API de conformidade Claude, siga as instruções encontradas aqui: Acesse a API de Conformidade.

A chave de API criada deve incluir o escopo read:compliance_activities para a ingestão adequada de dados.

Cole a chave abaixo e selecione Conectar.

• Chave API: (Digitar a chave API)
• Ativar/Desativar Ligação

Suportado por:Cato Networks

O conector Cato Networks envia telemetria de segurança e redes da Aplicação de Gerenciamento Cato para o Microsoft Sentinel quase em tempo real, usando o padrão Push do Codeless Connector Framework (CCF). Os dados caem em uma tabela personalizada de Log Analytics, pronta para caça, análise e visualização. Veja o Esquema de Eventos Cato para os campos carregados em cada registro.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Microsoft Entra: permissão para criar um registo de aplicação no Microsoft Entra ID. Normalmente, requer Entra função de Programador de Aplicações de ID ou superior.
• Microsoft Azure: Permissão para atribuir a função de Editor de Métricas de Monitorização na regra de recolha de dados (DCR). Normalmente, requer Azure função de Proprietário de RBAC ou Administrador de Acesso de Utilizador.
• Aplicação de Gerenciamento Cato: Uma conta de administrador na Aplicação de Gerenciamento Cato com permissão para criar um conector de saída de dados Microsoft Sentinel.

Instruções de Configuração:

1. Criar Recursos arm e Fornecer as Permissões Necessárias

Esse conector permite que o Cato Cloud envie eventos diretamente para o Microsoft Sentinel via Azure Monitor Logs Ingestion API.

Configuração Automatizada e Ingestão Segura de Dados com a Aplicação Entra Clicar em "Deploy" acionará a criação de uma tabela Log Analytics e de uma Regra de Coleta de Dados (DCR). Em seguida, criará uma aplicação Entra, ligará o DCR à mesma e definirá o segredo introduzido na aplicação. Esta configuração permite que os dados sejam enviados de forma segura para o DCR com um token de Entra.

Um conector por espaço de trabalho

A Regra de Coleta de Dados e a CatoNetworksEvents_CL tabela são nomeadas a partir desse espaço de trabalho, então implantar o conector novamente no mesmo espaço de trabalho do Log Analytics os reutiliza em vez de criar um segundo conjunto. Um espaço de trabalho comporta um conector Cato.

Eventos de mais de uma conta Cato podem ser enviados para o mesmo conector; eles compartilham a tabela e são distinguidos por account_id e account_name. Para manter os feeds em tabelas separadas, com seu próprio controle de retenção ou acesso, use um espaço de trabalho Log Analytics separado para cada um.

2. Configurar o conector na Aplicação de Gerenciamento Cato

No Aplicativo de Gerenciamento Cato, vá em Integrações > de > Recursos Integrações Configuradas, clique em Novo, selecione Microsoft Sentinel e insira os valores abaixo. Para instruções completas de configuração, veja Integração de Eventos Cato com Microsoft Sentinel.

• ID do Inquilino (ID do Diretório): <valor variável fornecido no momento da instalação>
• Entra ID da Aplicação de Registo de Aplicações: <valor variável fornecido no momento da instalação>
• Entra Segredo do Registo de Aplicações: <valor variável fornecido no momento da instalação>
• Uri do Ponto Final da Recolha de Dados: <valor variável fornecido no momento da instalação>
• ID Imutável da Regra de Recolha de Dados: <valor variável fornecido no momento da instalação>
• Nome do Fluxo de Eventos: <valor variável fornecido no momento da instalação>

3. Manter o esquema atualizado

O Cato periodicamente adiciona campos ao seu esquema de eventos. Como atualizar essa solução mantém a tabela personalizada existente do seu conector e a Regra de Coleta de Dados inalteradas, novos campos devem ser aplicados separadamente usando o modelo dedicado de atualização de esquema.

Aplique o esquema atual

Implantar a atualização do esquema

Selecione a assinatura e o grupo de recursos que contém esse espaço de trabalho, depois insira o nome do espaço de trabalho. Esse é o único valor que você oferece.

Sua URL de ingestão, aplicação Entra e segredo do cliente permanecem inalterados, e nada precisa ser reinserido no Cato Management Application. A ingestão continua durante todo o processo.

Espere até 30 minutos para que novos campos comecem a chegar. Os eventos ainda são aceitos durante essa janela e os novos campos estão simplesmente vazios, então confirme com uma consulta em vez de assumir uma falha.

Suportado por:Suporte da Cayosoft

O conector de dados do Cayosoft Guardian ingere automaticamente alertas de ameaça do Cayosoft Guardian para o Microsoft Sentinel. O Cayosoft Guardian grava alertas de ameaça no Registro de Eventos do Windows como ID de Evento 2. O Azure Monitor Agent (AMA) coleta esses eventos usando Regras de Coleta de Dados (DCRs) e envia os dados analisados para a tabela personalizada de Log Analytics chamada CayosoftThreatAlerts_CL. Após a ingestão dos dados, o Microsoft Sentinel pode usá-los para monitoramento, análises, criação de incidentes, investigação e resposta automatizada em todo o seu ambiente de identidade híbrida.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Cayosoft Guardian Server: Deve estar conectado ao Azure Arc ou rodar como uma máquina virtual do Azure, com o Azure Monitor Agent instalado.
• Regras de Coleta de Dados: Permissões de leitura e escrita para as Regras de Coleta de Dados são necessárias para associar a Regra de Coleta de Dados ao servidor habilitado pelo Azure Arc ou à máquina virtual Azure que roda o Cayosoft Guardian.

Instruções de Configuração:

1. Pré-requisitos e Configuração de Infraestrutura

Antes de configurar a integração, certifique-se de que os seguintes requisitos sejam atendidos:

• Você tem um workspace do Microsoft Sentinel.
• O Windows Server que hospeda o Cayosoft Guardian está conectado ao Azure Arc ou roda como uma máquina virtual Azure.
• O Azure Monitor Agent (AMA) está instalado no servidor Cayosoft Guardian.

2. Implantar a Regra de Coleta de Dados (DCR)

O Cayosoft Guardian transmite alertas de ameaça via o Azure Monitor Agent, que requer uma Regra de Coleta de Dados (DCR) vinculada ao seu servidor habilitado para Arc ou VM Azure. Esta é uma implantação única, separada da instalação da solução.

1. Clique no botão abaixo.

   portal.azure.com

2. Selecione sua Assinatura, Grupo de Recursos e Região.

3. Insira o Nome do seu Workspace (o espaço de trabalho Log Analytics habilitado pelo Microsoft Sentinel) e o Nome da Máquina Arc (o nome exato do servidor habilitado pelo Arc ou da VM Azure rodando o Cayosoft Guardian).

4. Clique em Revisar + Criar, depois em Criar.

3. Configurar o registro do guardião Cayosoft

Ative a geração do log de eventos dentro do produto:

1. Abra o Cayosoft Guardian.
2. Navegue até Configurações > de Serviço > Configurações Configurações do Registro de Eventos do Windows.
3. Verifique se o Registro de Eventos do Windows para Alertas está ativado. O Cayosoft Guardian grava alertas de ameaça para os Registros de Aplicativos e Serviços > de Logs > de Eventos do Windows Alertas do Cayosoft Guardian

4. Instalar o Livro de Exercícios

A solução Cayosoft Guardian inclui um workbook pré-construído que visualiza alertas e incidentes de ameaça, incluindo distribuição de gravidade, alertas por tipo de sistema, tendências de alertas ao longo do tempo e incidentes e alertas recentes.

1. No Microsoft Sentinel, vá para o hub de conteúdo.
2. Procure pelo Cayosoft Guardian e verifique se a solução está instalada. Se não estiver instalado, instale.
3. Vá em Livros de Exercícios e selecione a aba Templates .
4. Selecione Cayosoft Guardian - Dashboard de Incidentes, clique em Salvar, escolha a região do Azure onde deseja salvar o livro de exercícios e então clique em Ver livro salvo.
5. O caderno está disponível em Meus cadernos. Opcionalmente, fixe em um painel do Azure para acesso rápido.

5. Ativar as Regras de Análise

A solução Cayosoft Guardian também inclui modelos de regras de análise agendada que convertem alertas de ameaça Cayosoft Guardian em incidentes Microsoft Sentinel.

1. No Microsoft Sentinel, vá para Analytics.
2. Selecione a guia Modelos de regras.
3. Localize os modelos de regras de análise do Cayosoft Guardian, por exemplo:
   • Cayosoft Guardian - Ameaças à Segurança de Aplicações em Nuvem
   • Cayosoft Guardian - Ameaças Centrais de Identidade e Infraestrutura
4. Clique em Criar regra, revise o cronograma, o mapeamento da entidade e as configurações de incidentes, e então clique em Revisar + Criar.
5. Verifique se a regra aparece como Ativada na aba de regras Ativas. As regras de análise geram os SecurityIncident registros usados na tabela de Incidentes e alertas recentes do workbook .

6. Verificar a Integração

Após configurar o conector, verifique se o Microsoft Sentinel está recebendo dados de alertas de ameaça do Cayosoft Guardian:

1. No Microsoft Sentinel, abra o espaço de trabalho Log Analytics conectado à sua instância do Microsoft Sentinel.
2. Registros abertos.
3. Execute a seguinte consulta:CayosoftThreatAlerts_CL | sort by TimeGenerated desc | take 50
4. Confirme que novas linhas estão disponíveis na tabela. Para informações detalhadas, guias passo a passo e problemas conhecidos, consulte a documentação oficial.

Suportado por:Check Point

O conector de dados do CloudGuard permite a ingestão de eventos de segurança da API do CloudGuard para Microsoft Sentinel ™, através da Arquitetura de Conector Sem Código do Microsoft Sentinel. O conector suporta transformações de tempo de ingestão baseadas em DCR que analisam os dados de eventos de segurança recebidos em colunas personalizadas. Este processo de pré-análise elimina a necessidade de análise do tempo de consulta, o que resulta num melhor desempenho das consultas de dados.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Chave de API do CloudGuard: veja as instruções fornecidas aqui para gerar uma chave de API.

Instruções de Configuração:

Ligar Eventos de Segurança do CloudGuard ao Microsoft Sentinel

Para ativar o conector CloudGuard para Microsoft Sentinel, introduza as informações necessárias abaixo e selecione Ligar.

• ID da Chave de API: (api_key)
• Segredo da Chave de API: (api_secret)
• URL do Ponto Final do CloudGuard: (por exemplo, https://api.dome9.com)
• Filtro: (Colar filtro do CloudGuard)
• Ativar/Desativar Ligação

Suportado por:Check Point

A Cyberint, uma empresa Check Point, fornece uma integração Microsoft Sentinel para simplificar alertas críticos e trazer informações sobre ameaças melhoradas da solução Infinity External Risk Management para Microsoft Sentinel. Isto simplifica o processo de controlo do status de pedidos de suporte com atualizações de sincronização automáticas em todos os sistemas. Com esta nova integração para Microsoft Sentinel, os clientes cyberint e Microsoft Sentinel existentes podem facilmente extrair registos com base nas descobertas da Cyberint para Microsoft Sentinel plataforma.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Chave da API do Check Point Cyberint, URL do Argos, Nome do Cliente: A chave da API do conector, a URL do Argos e o Nome do Cliente são necessários. Inclua anexos CSV, pois JSON é opcional.

Instruções de Configuração:

Ligar Alertas Cyberint do Checkpoint ao Microsoft Sentinel

Para ativar o conector, forneça as informações necessárias abaixo e clique em Ligar.

URL Argos — URL da API Cyberint para seu inquilino (ex.: https://your_tenant.cyberint.io) Token API — Token de acesso à API Cyberint Nome do Cliente — Nome da empresa (cliente) associado à sua instância Cyberint Severidade — Lista separada por vírgulas de severidades a serem buscadas (baixa, média, alta, very_high). Se estiver vazia, todas as severidades são buscadas. Ambientes — Lista separada por vírgulas de ambientes a buscar (por exemplo, Produção, Estágio). Se estiver vazio, todos os ambientes são buscados. Intervalo de Pesquisa — Com que frequência consultar novos alertas, em minutos (padrão: 5) Incluir anexos CSV como JSON — Se incluir anexos CSV como conteúdo JSON em alertas (padrão: falso)

• URL do Argos: (https://your_tenant.cyberint.io)
• Token de API: (token de acesso à API Cyberint)
• Nome do Cliente: (Nome da empresa (cliente) associado à sua instância do Cyberint)
• Gravidade: (lista separada por vírgulas (por exemplo, baixa,média,alta,very_high))
• Ambientes: (Lista separada por vírgula)
• Intervalo de Consulta (Minutos): (Frequência de consulta em minutos)
• Incluir Anexos CSV como JSON: (verdadeiro ou falso)
• Ativar/Desativar Ligação

Suportado por:Check Point

A Cyberint, uma empresa Check Point, fornece uma integração Microsoft Sentinel para ingerir Indicadores de Comprometimento (IOCs) da solução Infinity External Risk Management para Microsoft Sentinel. Este conector solicita automaticamente o feed diário do COI , incluindo IPs maliciosos, domínios, URLs e hashes de ficheiros, enriquecido com contextos de ameaças, como gravidade, confiança e atividade detetada.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Check Point a Chave de API Cyberint, o URL do Argos e o Nome do Cliente: a chave de API do conector, o URL do Argos e o Nome do Cliente são necessários

Instruções de Configuração:

Ligar Check Point Feed Cyberint IOC ao Microsoft Sentinel

Para ativar o conector, forneça as informações necessárias abaixo e clique em Ligar.

URL do Argos — URL da API Cyberint para o seu inquilino (por exemplo, https://your_tenant.cyberint.io) Token de API — Nome do Cliente do token de acesso à API Cyberint — Nome da empresa (cliente) associado à instância do Cyberint

• URL do Argos: (https://your-company.cyberint.io)
• Token de API: (Token de API)
• Nome do Cliente: (Nome da empresa (cliente) associado à sua instância do Cyberint)
• Ativar/Desativar Ligação

Suportado por:Check Point

O Check Point oferece integração com o Microsoft Sentinel para incorporar Indicadores de Compromisso (IoCs) de alta fidelidade da solução Infinity External Risk Management no Microsoft Sentinel. Esse conector puxa incrementalmente o feed premium do IOC — incluindo IPs maliciosos, domínios, URLs e hashes de arquivos — enriquecido com confiança, gravidade, classificação maliciosa, estágio da cadeia de eliminações, flags de bloqueio e unicidade, tipos de malware e associações CVE/campanhas.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados: Não suportado atualmente

Pré-requisitos:

• Check Point a Chave de API Cyberint, o URL do Argos e o Nome do Cliente: a chave de API do conector, o URL do Argos e o Nome do Cliente são necessários

Instruções de Configuração:

Conecte o feed de inteligência EM EM ThreatCloud da Check Point ao Microsoft Sentinel

Para ativar o conector, forneça as informações necessárias abaixo e clique em Ligar.

URL do Argos — URL da API Cyberint para o seu inquilino (por exemplo, https://your_tenant.cyberint.io) Token de API — Nome do Cliente do token de acesso à API Cyberint — Nome da empresa (cliente) associado à instância do Cyberint

• URL do Argos: (https://your-company.cyberint.io)
• Token de API: (Token de API)
• Nome do Cliente: (Nome da empresa (cliente) associado à sua instância do Cyberint)
• Ativar/Desativar Ligação

Suportado por:Microsoft Corporation

O conector de dados Check Point Email Security (Harmony Email Collaboration) oferece a capacidade de ingerir eventos de segurança e logs de auditoria da plataforma de Segurança de E-Mail da Check Point para o Microsoft Sentinel por meio da API REST. O conector oferece visibilidade sobre ameaças avançadas de e-mail, incluindo ameaças zero-day, phishing, tomada de contas, vazamento de dados e descoberta de TI paralela. Ele incorpora eventos de segurança, exceções anti-phishing, exceções de spam e logs de auditoria no Microsoft Sentinel, ajudando as organizações a manter a visibilidade de segurança e conformidade.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Credenciais da API de API de Segurança de E-mails do Check Point: São necessárias duas chaves separadas da API do Portal Infinity do Check Point. Uma chave API de E-mail & Colaboração Harmony (ID do Cliente + , Cliente Secreto) é usada para eventos e exceções de segurança. Uma chave separada de API Logs como Serviço (ID de Cliente + de Auditoria, Secreto de Cliente de Auditoria) é necessária para logs de auditoria. Gere ambos a partir do seu Portal Check Point Infinity nas Chaves de API de Configurações > Globais.

Instruções de Configuração:

Conecte a segurança do e-mail Check Point ao Microsoft Sentinel

Para coletar dados do Check Point Email Security, você precisa fornecer as seguintes credenciais:

1. URL Base da API - A URL base para seu tenant Check Point Email Security (específico de região).

2. ID do Cliente - ID do Cliente da chave API de E-mail & Colaboração da Harmony (usada para eventos e exceções de segurança).

3. Cliente Secret - Segredo (chave de acesso) da chave API de E-mail & Colaboração Harmony.

4. ID de Cliente de Auditoria - ID de cliente de um Log separado como chave API de Serviço (usada para logs de auditoria).

5. Audit Client Secret - Segredo (chave de acesso) dos Logs como chave API de Serviço.

Para obter essas credenciais, faça login no seu Portal Check Point Infinity e navegue até a seção de Chaves de API em Configurações Globais. Crie uma chave API com o serviço Harmony Email & Collaboration para o ID do Cliente/Segredo, e uma segunda chave API com o serviço Logs as a Service para o ID/Segredo do Cliente de Auditoria.

Suporte multi-inquilino: Este conector suporta a ingestão de dados de múltiplos locatários do Check Point Email Security em paralelo. Clique em Adicionar Conexão uma vez por locatário, fornecendo a URL base da API e credenciais desse locatário – cada conexão é rastreada e gerenciada de forma independente na grade abaixo.

• Grelha de Conectores de Dados (configurar no portal)

Suportado por:Microsoft Corporation

O conector de firewall do Cisco ASA permite-lhe ligar facilmente os registos do Cisco ASA ao Microsoft Sentinel, ver dashboards, criar alertas personalizados e melhorar a investigação. Isto dá-lhe mais informações sobre a rede da sua organização e melhora as suas capacidades de operação de segurança.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Para recolher dados de VMs não Azure, têm de ter Azure Arc instalado e ativado. Saiba Mais

Instruções de Configuração:

Ativar regra de recolha de dados

Os registos de eventos cisco ASA/FTD são recolhidos apenas de agentes Linux.

• Install Agent: variable value provided at install time (Agente de Instalação: <valor variável fornecido no momento da instalação)>

Execute o seguinte comando para instalar e aplicar o recoletor Cisco ASA/FTD:

• Valor: <valor variável fornecido no momento da instalação>

Suportado por:Microsoft Corporation

A solução Cisco Cloud Security para Microsoft Sentinel permite-lhe ingerir os registosCisco Secure Access e Cisco Umbrella armazenados no Amazon S3 em Microsoft Sentinel com a API REST do Amazon S3. Veja a documentação de gestão de registos do Cisco Cloud Security para obter mais informações.

Tabelas do Log Analytics:

Suporte de regras de recolha de dados:DcR de transformação da área de trabalho

Pré-requisitos:

• Permissões Microsoft.Web/sites: são necessárias permissões de leitura e escrita para Azure Functions para criar uma Aplicação de Funções. Para obter mais informações, consulte Azure Functions.
• Credenciais/permissões da API REST do Amazon S3: ID da Chave de Acesso do AWS, Chave de Acesso Secreta do AWS, Nome do Registo do AWS S3 são necessários para a API REST do Amazon S3.

Instruções de Configuração:

NOTA: Este conector utiliza Azure Functions para ligar à API REST do Amazon S3 para solicitar registos para Microsoft Sentinel. Isto pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

NOTA: Este conector foi atualizado para suportar a versão 14 do esquema de registo do Cisco Cloud Security.

(Passo Opcional) Armazene de forma segura a área de trabalho e as chaves ou tokens de autorização da API em Azure Key Vault. Azure Key Vault fornece um mecanismo seguro para armazenar e obter valores de chave. Siga estas instruções para utilizar Azure Key Vault com uma Aplicação Azure Functions.

NOTA: este conector utiliza um analisador baseado numa Função Kusto para normalizar campos. Siga estes passos para criar o alias da função Kusto Cisco_Umbrella.