Condividi tramite

Usare Funzioni di Azure per connettere Microsoft Sentinel alla tua origine dati

È possibile usare Funzioni di Azure, insieme a vari linguaggi di codifica, ad esempio PowerShell o Python, per creare un connettore serverless agli endpoint API REST delle origini dati compatibili. Le app per le funzioni di Azure consentono quindi di connettere Microsoft Sentinel all'API REST dell'origine dati per il pull dei log.

Questo articolo descrive come configurare Microsoft Sentinel per l'uso di app per le funzioni di Azure. Potrebbe anche essere necessario configurare il sistema di origine, e potete trovare collegamenti a informazioni specifiche per fornitore e prodotto nella pagina di ogni connettore di dati nel portale, oppure nella sezione del vostro servizio nella pagina di riferimento dei connettori di dati Microsoft Sentinel.

Nota

  • Una volta inseriti per Microsoft Sentinel, i dati vengono archiviati nella posizione geografica dell'area di lavoro in cui si esegue Microsoft Sentinel.

    Per la conservazione a lungo termine, è anche possibile archiviare i dati in tipi di log, ad esempio log ausiliari. Per altre informazioni, vedere Piani di conservazione dei log in Microsoft Sentinel.

  • L'uso di Funzioni di Azure per inserire dati in Microsoft Sentinel può comportare costi aggiuntivi per l'inserimento dei dati. Per ulteriori informazioni, vedere la pagina dei prezzi di Funzioni di Azure.

Prerequisiti

Assicurarsi di disporre delle autorizzazioni e delle credenziali seguenti prima di usare Funzioni di Azure per connettere Microsoft Sentinel all'origine dati ed importare i relativi log in Microsoft Sentinel.

  • È necessario disporre delle autorizzazioni di lettura e scrittura per l'area di lavoro Microsoft Sentinel.

  • È necessario disporre delle autorizzazioni di lettura per le chiavi condivise per l'area di lavoro. Altre informazioni sulle chiavi dell'area di lavoro.

  • Per creare un'app per le funzioni, è necessario disporre delle autorizzazioni di lettura e scrittura per Funzioni di Azure. Altre informazioni su Funzioni di Azure.

  • Saranno necessarie anche le credenziali per accedere all'API del prodotto, ovvero un nome utente e una password, un token, una chiave o un'altra combinazione. Potrebbero essere necessarie anche altre informazioni sull'API, ad esempio un URI dell'endpoint.

    Per altre informazioni, vedere la documentazione relativa al servizio a cui ci si connette e la sezione relativa al servizio nella pagina di riferimento dei connettori dati di Microsoft Sentinel.

  • Installare la soluzione che contiene il connettore basato su Funzioni di Azure dall'Content Hub di Microsoft Sentinel. Per altre informazioni, vedere Scoprire e gestire i contenuti predefiniti di Microsoft Sentinel.

Configurare e connettere l'origine dati

Nota

  • È possibile archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

  • Per funzionare come previsto alcuni connettore dati dipendono da un parser basato su una funzione Kusto. Consultare la sezione relativa al tuo servizio nella pagina di riferimento ai connettori dati di Microsoft Sentinel per i link alle istruzioni per creare la funzione e l'alias Kusto.

Configurazione del runtime di Funzioni di Azure

Nota

Microsoft Sentinel connettori che usano Funzioni di Azure includono dipendenze Python precompilate. Il runtime dell'applicazione Funzione Azure, inclusa la versione di Python, è preconfigurato nel modello ARM della soluzione e non deve essere modificato in alcun modo.

Passaggio 1: Ottenere le credenziali API del sistema di origine

Seguire le istruzioni del sistema di origine per ottenere le relative credenziali API/chiavi di autorizzazione/token. Copiarli e incollarli in un file di testo per un secondo momento.

È possibile trovare informazioni dettagliate sulle credenziali esatte necessarie e collegamenti alle istruzioni del prodotto per trovarle o crearle, nella pagina del connettore dati del portale e nella sezione relativa al servizio nella pagina di riferimento Microsoft Sentinel connettori dati.

Potrebbe anche essere necessario configurare la registrazione o altre impostazioni nel sistema di origine. Le istruzioni pertinenti sono disponibili insieme a quelle del paragrafo precedente.

Passaggio 2: Distribuire il connettore e l'app per le funzioni associata Azure

Scegliere un'opzione di distribuzione

Questo metodo fornisce una distribuzione automatica del connettore basato su Azure Functions utilizzando un modello ARM.

  1. Nel portale di Microsoft Sentinel selezionare Connetti dati. Selezionare il connettore basato su Funzioni di Azure dall'elenco e quindi Aprire la pagina del connettore.

  2. Sotto Configurazione, copiare l'ID area di lavoro di Microsoft Sentinel e la chiave primaria e incollarli in un posto a parte.

  3. Selezionare Distribuisci su Azure. Potrebbe essere necessario scorrere verso il basso per trovare il pulsante.

  4. Verrà visualizzata la schermata Distribuzione personalizzata.

    • Selezionare una sottoscrizione, un gruppo di risorse e un'area in cui distribuire l'App per le funzioni.

    • Immettere le credenziali dell'API, le chiavi di autorizzazione e i token salvati nel passaggio 1 precedente.

    • Immetti l'ID Workspace e la Chiave Workspace (chiave primaria) di Microsoft Sentinel che hai copiato e messo da parte.

      Nota

      Se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo schema @Microsoft.KeyVault(SecretUri={Security Identifier}) al posto dei valori stringa. Per ulteriori dettagli, fare riferimento alla documentazione di riferimento di Key Vault.

    • Completare tutti gli altri campi nel modulo nella schermata Distribuzione personalizzata. Consulta la pagina del connettore dati nel portale o nella sezione relativa al tuo servizio nella pagina di riferimento dei connettori dati di Microsoft Sentinel.

    • Selezionare Rivedi e crea. Dopo il completamento della convalida, selezionare Crea.

Trova i tuoi dati

Dopo che una connessione è stata stabilita con successo, i dati compaiono in Logs sotto CustomLogs, nelle tabelle elencate nella sezione relativa al servizio nella pagina di riferimento dei connettori dati Microsoft Sentinel.

Per eseguire query sui dati, immettere uno di questi nomi di tabella, o l'alias della funzione Kusto pertinente, nella finestra di query.

Per alcune query di esempio utili, vedere la scheda Passaggi successivi nella pagina del connettore.

Convalidare la connettività

Potrebbero essere necessari fino a 20 minuti prima che i log vengano visualizzati in Log Analytics.

Passaggi successivi

In questo documento si è appreso come connettere Microsoft Sentinel all'origine dati usando connettori basati su Funzioni di Azure. Per altre informazioni sulle Microsoft Sentinel, vedere gli articoli seguenti:

  • Last updated on