Freigeben über

Verwenden von Azure Functions, um Microsoft Sentinel mit Ihrer Datenquelle zu verbinden

Sie können Azure Functions in Verbindung mit verschiedenen Programmiersprachen wie PowerShell oder Python verwenden, um einen serverlosen Connector für die REST-API-Endpunkte Ihrer kompatiblen Datenquellen zu erstellen. Azure Funktions-Apps können Sie dann Microsoft Sentinel mit der REST-API Ihrer Datenquelle verbinden, um Protokolle abzurufen.

In diesem Artikel wird beschrieben, wie Sie Microsoft Sentinel für die Verwendung von Azure Funktions-Apps konfigurieren. Möglicherweise müssen Sie auch Ihr Quellsystem konfigurieren, und Sie finden anbieter- und produktspezifische Informationslinks auf der Seite jedes Datenconnectors im Portal oder im Abschnitt für Ihren Dienst auf der Referenzseite für Microsoft Sentinel Datenconnectors.

Hinweis

  • Nach der Erfassung in Microsoft Sentinel werden die Daten am geografischen Standort des Arbeitsbereichs gespeichert, in dem Sie Microsoft Sentinel ausführen.

    Für die langfristige Aufbewahrung können Sie auch Daten in Protokolltypen wie Hilfsprotokollen speichern. Weitere Informationen finden Sie unter Protokollaufbewahrungspläne in Microsoft Sentinel.

  • Die Verwendung von Azure Functions zum Erfassen von Daten in Microsoft Sentinel kann zu zusätzlichen Datenerfassungskosten führen. Weitere Informationen finden Sie auf der Seite Azure Functions Preise.

Voraussetzungen

Stellen Sie sicher, dass Sie über die folgenden Berechtigungen und Anmeldeinformationen verfügen, bevor Sie Azure Functions verwenden, um Microsoft Sentinel mit Ihrer Datenquelle zu verbinden und die zugehörigen Protokolle in Microsoft Sentinel zu pullen:

  • Sie müssen über Lese- und Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen.

  • Sie müssen über Leseberechtigungen für freigegebene Schlüssel für den Arbeitsbereich verfügen. Erfahren Sie mehr über Arbeitsbereichsschlüssel.

  • Sie müssen über Lese- und Schreibberechtigungen für Azure Functions verfügen, um eine Funktions-App erstellen zu können. Erfahren Sie mehr über Azure Functions.

  • Außerdem benötigen Sie Anmeldeinformationen für den Zugriff auf die API des Produkts– entweder einen Benutzernamen und ein Kennwort, ein Token, einen Schlüssel oder eine andere Kombination. Möglicherweise benötigen Sie auch andere API-Informationen, z. B. einen Endpunkt-URI.

    Weitere Informationen finden Sie in der Dokumentation für den Dienst, mit dem Sie eine Verbindung herstellen, und im Abschnitt für Ihren Dienst auf der Referenzseite Microsoft Sentinel Datenconnectors.

  • Installieren Sie die Lösung, die Ihren Azure Functions-basierten Connector enthält, aus dem Content Hub in Microsoft Sentinel. Weitere Informationen finden Sie unter Ermitteln und Verwalten von Microsoft Sentinel sofort einsatzbereiten Inhalten.

Konfigurieren und Verbinden Ihrer Datenquelle

Hinweis

  • Sie können Arbeitsbereichs- und API-Autorisierungsschlüssel oder Token sicher in Azure Key Vault speichern. Azure Key Vault bietet einen sicheren Mechanismus zum Speichern und Abrufen von Schlüsselwerten. Befolgen Sie diese Anweisungen, um Azure Key Vault mit einer Azure Funktions-App zu verwenden.

  • Einige Datenconnectors sind von einem Parser abhängig, der auf einer Kusto-Funktion basiert, um wie erwartet zu funktionieren. Links zu Anweisungen zum Erstellen der Kusto-Funktion und des Alias finden Sie im Abschnitt für Ihren Dienst auf der Referenzseite für Microsoft Sentinel Datenconnectors.

Azure Functions Runtimekonfiguration

Hinweis

Microsoft Sentinel Connectors, die Azure Functions verwenden, enthalten vorkompilierte Python-Abhängigkeiten. Die Azure Funktions-App-Runtime, einschließlich der Python-Version, ist in der ARM-Vorlage der Lösung vorkonfiguriert und sollte nicht geändert werden.

Schritt 1: Abrufen der API-Anmeldeinformationen ihres Quellsystems

Befolgen Sie die Anweisungen Ihres Quellsystems, um die API-Anmeldeinformationen/ Autorisierungsschlüssel/Token abzurufen. Kopieren Sie sie, und fügen Sie sie später in eine Textdatei ein.

Details zu den genauen Anmeldeinformationen, die Sie benötigen, sowie Links zu den Anweisungen Ihres Produkts für deren Suche oder Erstellung finden Sie auf der Seite Datenconnector im Portal und im Abschnitt für Ihren Dienst auf der Referenzseite für Microsoft Sentinel Datenconnectors.

Möglicherweise müssen Sie auch die Protokollierung oder andere Einstellungen auf Ihrem Quellsystem konfigurieren. Sie finden die relevanten Anweisungen zusammen mit den Anweisungen im vorherigen Absatz.

Schritt 2: Bereitstellen des Connectors und der zugehörigen Azure Funktions-App

Auswählen einer Bereitstellungsoption

Diese Methode bietet eine automatisierte Bereitstellung Ihres Azure funktionsbasierten Connectors mithilfe einer ARM-Vorlage.

  1. Wählen Sie im Microsoft Sentinel-Portal Datenconnectors aus. Wählen Sie ihren Azure Functions-basierten Connector aus der Liste und dann Connectorseite öffnen aus.

  2. Kopieren Sie unter Konfiguration die Microsoft Sentinel Arbeitsbereichs-ID und den Primärschlüssel, und fügen Sie sie beiseite ein.

  3. Wählen Sie In Azure bereitstellen aus. (Möglicherweise müssen Sie nach unten scrollen, um die Schaltfläche zu finden.)

  4. Der Bildschirm Benutzerdefinierte Bereitstellung wird angezeigt.

    • Wählen Sie ein Abonnement, eine Ressourcengruppe und eine Region aus, in dem Ihre Funktions-App bereitgestellt werden soll.

    • Geben Sie Ihre API-Anmeldeinformationen, Autorisierungsschlüssel und Token ein, die Sie oben in Schritt 1 gespeichert haben.

    • Geben Sie Ihre Microsoft Sentinel Arbeitsbereichs-ID und den Arbeitsbereichsschlüssel (Primärschlüssel) ein, die Sie kopiert und beiseite legen.

      Hinweis

      Wenn Sie Azure Key Vault Geheimnisse für einen der oben genannten Werte verwenden, verwenden Sie anstelle @Microsoft.KeyVault(SecretUri={Security Identifier}) der Zeichenfolgenwerte das Schema. Weitere Informationen finden Sie in Key Vault Referenzdokumentation.

    • Füllen Sie alle anderen Felder im Formular auf dem Bildschirm Benutzerdefinierte Bereitstellung aus. Weitere Informationen finden Sie auf der Seite "Datenconnector" im Portal oder im Abschnitt für Ihren Dienst auf der Referenzseite Microsoft Sentinel Datenconnectors.

    • Wählen Sie Überprüfen + erstellen aus. Wenn die Überprüfung abgeschlossen ist, wählen Sie Erstellen aus.

Suchen Ihrer Daten

Nachdem eine erfolgreiche Verbindung hergestellt wurde, werden die Daten in Protokollen unter CustomLogs in den Tabellen angezeigt, die im Abschnitt für Ihren Dienst auf der Referenzseite für Microsoft Sentinel Datenconnectors aufgeführt sind.

Um Daten abzufragen, geben Sie einen dieser Tabellennamen oder den entsprechenden Kusto-Funktionsalias in das Abfragefenster ein.

Auf der Registerkarte Nächste Schritte auf der Connectorseite finden Sie einige nützliche Beispielabfragen.

Überprüfen der Konnektivität

Es kann bis zu 20 Minuten dauern, bis Ihre Protokolle in Log Analytics angezeigt werden.

Nächste Schritte

In diesem Dokument haben Sie erfahren, wie Sie Microsoft Sentinel mithilfe von Azure Functions-basierten Connectors mit Ihrer Datenquelle verbinden. Weitere Informationen zu Microsoft Sentinel finden Sie in den folgenden Artikeln:

  • Last updated on