Utilizar Funções do Azure para ligar Microsoft Sentinel à sua origem de dados

O método de implementação de modelos ARM proporciona uma implementação automatizada do seu conector baseado em funções no Azure.

1. No portal Microsoft Sentinel, selecione Conectores de dados. Selecione o conector baseado no Funções do Azure na lista e, em seguida, Abrir a página do conector.

2. Em Configuração, copie o ID da área de trabalho Microsoft Sentinel e a chave primária e cole-os de lado.

3. Selecione Implementar no Azure. (Poderá ter de se deslocar para baixo para encontrar o botão.)

4. Será apresentado o ecrã Implementação personalizada .

   • Selecione uma subscrição, um grupo de recursos e uma região na qual pretende implementar a Aplicação de Funções.

   • Introduza as suas credenciais da API / chaves de autorização / tokens que guardou em Obtenha as credenciais da API do seu sistema de origem.

   • Introduza o ID da Área de Trabalho do Microsoft Sentinel e a Chave de Área de Trabalho (chave primária) que copiou e pôs de lado.

     Nota

     Se utilizar segredos do Azure Key Vault para qualquer um dos valores acima, utilize o esquema @Microsoft.KeyVault(SecretUri={Security Identifier}) em vez dos valores de cadeia. Para mais informações, consulte Utilizar referências do Key Vault para o Serviço de Aplicações do Azure e o Funções do Azure.

   • Preencha quaisquer outros campos no formulário no ecrã Implementação personalizada . Consulte a página do conector de dados no portal ou a secção correspondente ao seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

   • Selecione Rever + criar. Quando a validação estiver concluída, selecione Criar.

Utilize as seguintes instruções passo a passo para implementar manualmente conectores baseados em Funções do Azure que utilizam funções do PowerShell.

1. No portal Microsoft Sentinel, selecione Conectores de dados. Selecione o conector baseado no Funções do Azure na lista e, em seguida, Abrir a página do conector.

2. Em Configuração, copie o ID da área de trabalho Microsoft Sentinel e a chave primária e cole-os de lado.

3. Criar uma Aplicação de Funções

   1. No portal do Azure, procure e selecione Aplicação de Funções.

   2. Na página Aplicação de Funções , selecione Criar. O assistente Criar Aplicação de Funções será aberto.

   3. No separador Noções Básicas :

      • Selecione uma subscrição e um grupo de recursos.
      • Dê um nome à sua aplicação de funções.
      • Defina pilha de runtime como PowerShell Core.
      • Selecione o número de versão adequado.
      • Selecione a região na qual pretende implementar e, em seguida, selecione Seguinte: Alojamento.

   4. No separador Alojamento:

      • Selecione a Conta de armazenamento que pretende utilizar ou crie uma nova.
      • Selecione Consumo (Sem Servidor) como o tipo de Plano.

   5. Efetue quaisquer outras alterações de configuração necessárias e, em seguida, selecione Rever + criar.

   6. Aguarde pela mensagem "Validação aprovada" e, em seguida, selecione Criar.

   7. Quando a implementação estiver concluída, selecione Ir para recurso.

4. Importar Código da Aplicação de Funções

   1. Na Aplicação de Funções recém-criada, selecione Funções no menu de navegação.

   2. Na página Funções , selecione + Adicionar.

   3. No painel Adicionar função , selecione o acionador Temporizador .

   4. Introduza um nome exclusivo para a sua função e introduza uma expressão cron para especificar a agenda. O intervalo predefinido é de 5 em 5 minutos.

   5. Quando a função tiver sido criada, selecione Código + Teste no painel esquerdo.

   6. Transfira o código da Function Apprun.ps1 fornecido pelo fornecedor do seu sistema de origem e copie e cole-o no editor, substituindo o conteúdo predefinido. Pode encontrar a ligação para transferência na página do conector ou na secção correspondente ao seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

   7. Seleccione Guardar.

5. Configurar a Aplicação de Funções

   1. Na página da Aplicação de Funções, selecione Configuração em Definições no menu de navegação.

   2. No separador Definições da aplicação, selecione + Nova definição da aplicação.

   3. Adicione as definições de aplicação prescritas para o seu produto individualmente, com os respetivos valores de cadeia sensíveis às maiúsculas e minúsculas. Consulte a página do conector de dados ou a secção do seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

      Sugestão

      Se aplicável, utilize a definição da aplicação logAnalyticsUri para substituir o ponto final da API de análise de registos se estiver a utilizar uma cloud dedicada. Por exemplo, se estiver a utilizar a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

Utilize as seguintes instruções passo a passo para implementar manualmente conectores baseados em Funções do Azure que utilizam funções python. Este tipo de implementação requer o Visual Studio Code.

1. No portal Microsoft Sentinel, selecione Conectores de dados. Selecione o conector baseado no Funções do Azure na lista e, em seguida, Abrir a página do conector.

2. Em Configuração, copie o ID da área de trabalho Microsoft Sentinel e a chave primária e cole-os de lado.

3. Implementar uma Aplicação de Funções

   Nota

   Terá de preparar o Visual Studio Code (VS Code) para o desenvolvimento da Função Azure.

   1. Transfira o ficheiro da Azure Function App utilizando a ligação fornecida na página do conector de dados e na secção correspondente ao seu serviço na página de referência dos conectores de dados do Microsoft Sentinel. Extraia o arquivo para o seu computador de desenvolvimento local.

   2. Inicie o VS Code. Na barra de menus, selecione Abrir Pasta de Ficheiros > ....

   3. Selecione a pasta de nível superior a partir dos ficheiros extraídos do arquivo.

   4. Selecione o ícone de Azure na barra de Atividade do VS Code (à esquerda). Em seguida, na área Azure: Funções, selecione o botão Implementar na aplicação de funções.

      Nota

      Se ainda não tiver sessão iniciada, selecione o ícone Azure na Barra de atividade. Em seguida, na área Azure: Funções, selecione Iniciar sessão para Azure.
      Se já tiver iniciado sessão, avance para o passo seguinte.

   5. Forneça as seguintes informações quando lhe for solicitado:

      • Selecionar pasta: selecione uma pasta a partir da área de trabalho ou navegue para uma pasta que contenha a sua aplicação de funções.
      • Selecionar subscrição: selecione a subscrição a utilizar.
      • Selecione Criar nova Aplicação de Funções no Azure. (Não escolha a opção Avançadas .)
      • Introduza um nome globalmente exclusivo para a aplicação de funções: atribua um nome válido à aplicação de funções num caminho de URL. O nome que escolher será validado para se certificar de que é exclusivo ao longo de Funções do Azure.
      • Selecione um runtime: selecionePython 3.8.

   6. A implementação será iniciada. É apresentada uma notificação após a criação da aplicação de funções e a aplicação do pacote de implementação.

   7. Regresse à página da Aplicação de Funções para configuração.

4. Configurar a Aplicação de Funções

   1. Na página da Aplicação de Funções, selecione Configuração em Definições no menu de navegação.

   2. No separador Definições da aplicação, selecione + Nova definição da aplicação.

   3. Adicione as definições de aplicação prescritas para o seu produto individualmente, com os respetivos valores de cadeia sensíveis às maiúsculas e minúsculas. Consulte a página do conector de dados ou a secção relativa ao seu serviço na página de referência dos conectores de dados do Microsoft Sentinel para saber que definições da aplicação deve adicionar.

      • Se aplicável, utilize a definição da aplicação logAnalyticsUri para substituir o ponto final da API de análise de registos se estiver a utilizar uma cloud dedicada. Por exemplo, se estiver a utilizar a cloud pública, deixe o valor vazio; para Azure ambiente de cloud GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.