Ansluta din plattform för hotinformation till Microsoft Sentinel med uppladdnings-API:et (förhandsversion)

  • Gäller för: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Många organisationer använder tip-lösningar (Threat Intelligence Platform) för att aggregera hotinformationsflöden från olika källor. Från det aggregerade flödet bearbetas och anpassas data så att den kan användas för säkerhetslösningar såsom nätverksenheter, EDR/XDR-lösningar eller lösningar för säkerhetsinformation och händelsehantering (SIEM), till exempel Microsoft Sentinel. Branschstandarden för att beskriva cyberhotinformation kallas "Structured Threat Information Expression" eller STIX. Genom att använda uppladdnings-API:et som stöder STIX-objekt använder du ett mer uttrycksfullt sätt att importera hotinformation till Microsoft Sentinel.

Uppladdnings-API:et matar in hotinformation i Microsoft Sentinel utan att behöva en dataanslutning. Den här artikeln beskriver vad du behöver för att koppla en TIP eller speciallösning till Microsoft Sentinel. Mer information om API:et finns i referensdokumentet Microsoft Sentinel ladda upp API.

Skärmbild som visar importsökvägen för hotinformation.

Mer information om hotinformation finns i Hotinformation.

Viktigt

UPPladdnings-API:et för Microsoft Sentinel hotinformation finns i förhandsversionen. Mer juridiska villkor som gäller för Azure funktioner som är i betaversion, förhandsversion eller på annat sätt ännu inte har släppts i allmän tillgänglighet finns i kompletterande användningsvillkor för Microsoft Azure förhandsversioner.

Efter den 31 mars 2027 kommer Microsoft Sentinel inte längre att stödjas i Azure Portal och kommer endast att vara tillgängligt i Microsoft Defender-portalen. Alla kunder som använder Microsoft Sentinel i Azure Portal omdirigeras till Defender-portalen och använder endast Microsoft Sentinel i Defender-portalen. Från och med juli 2025 registreras och omdirigeras många nya kunder automatiskt till Defender-portalen.

Om du fortfarande använder Microsoft Sentinel i Azure Portal rekommenderar vi att du börjar planera övergången till Defender-portalen för att säkerställa en smidig övergång och dra full nytta av den enhetliga säkerhetsåtgärdsupplevelse som erbjuds av Microsoft Defender. Mer information finns i It's Time to Move: Retiring Microsoft Sentinel's Azure Portal for greater security (Det är dags att flytta: Dra tillbaka Microsoft Sentinel är Azure Portal för ökad säkerhet).

Obs!

Information om funktionstillgänglighet i amerikanska myndighetsmoln finns i Microsoft Sentinel-tabellerna i Tillgänglighet för molnfunktioner för amerikanska myndighetskunder.

Förhandskrav

  • Du måste ha läs- och skrivbehörighet till Microsoft Sentinel-arbetsytan för att lagra STIX-objekt för hotinformation.
  • Du måste kunna registrera ett Microsoft Entra program.
  • Din Microsoft Entra-applikation måste tilldelas rollen Microsoft Sentinel Contributor på arbetsytenivå.

Steg för att konfigurera uppladdnings-API-anslutningen

Följ de här stegen för att importera STIX-objekt från tip-lösningen eller den anpassade lösningen till Microsoft Sentinel:

  1. Registrera ett Microsoft Entra program och registrera sedan dess program-ID.
  2. Generera och registrera en klienthemlighet för ditt Microsoft Entra program.
  3. Tilldela ditt Microsoft Entra-program rollen Microsoft Sentinel Contributor eller motsvarande.
  4. Konfigurera din TIP-lösning eller anpassade program.

Registrera ett Microsoft Entra program

Med standardbehörigheter för användarroller kan användare skapa programregistreringar. Om tillståndet för applikationsregistrering ändrades till Nej, behöver du tillstånd för att hantera applikationer i Microsoft Entra. Någon av följande Microsoft Entra roller innehåller de behörigheter som krävs:

  • Programadministratör
  • Programutvecklare
  • Molnprogramadministratör

Mer information om hur du registrerar ditt Microsoft Entra-program finns i Registrera ett program.

När du har registrerat ditt program registrerar du programmets (klientens) ID från programmets översiktsflik .

Tilldela en roll till programmet

API för uppladdning importerar underrättelseobjekt om hot på arbetsytenivå och kräver rollen Microsoft Sentinel Contributor.

  1. Från Azure Portal går du till Log Analytics-arbetsytor.

  2. Välj Åtkomstkontroll (IAM).

  3. Välj Lägg tilllägg till >rolltilldelning.

  4. På fliken Roll väljer du rollen Microsoft Sentinel-deltagare och sedan Nästa.

  5. På fliken Medlemmar väljer du Tilldela åtkomst till>Användare, grupp eller tjänstens huvudnamn.

  6. Välj medlemmar. Som standard visas inte Microsoft Entra program i de tillgängliga alternativen. Om du vill hitta ditt program söker du efter det efter namn.

    Skärmbild som visar rollen Microsoft Sentinel Contributor som har tilldelats programmet på arbetsytenivå.

  7. Välj Granska + tilldela.

Mer information om hur du tilldelar roller till program finns i Tilldela en roll till programmet.

Konfigurera din lösning för hotinformationsplattformen eller ditt anpassade program

Följande konfigurationsinformation krävs av uppladdnings-API:et:

Ange dessa värden i konfigurationen av den integrerade TIP-lösningen eller den anpassade lösningen där det behövs.

  1. Skicka hotinformationen till uppladdnings-API:et. Mer information finns i Microsoft Sentinel ladda upp API.
  2. Inom några minuter bör hotinformationsobjekt börja flöda till din Microsoft Sentinel arbetsyta. Hitta de nya STIX-objekten på sidan Hotinformation, som är tillgänglig från Microsoft Sentinel-menyn.

Relaterat innehåll

För mer information, se dessa artiklar:

  • Last updated on