Conector Netskope (usando Azure Functions) para Microsoft Sentinel

O conector Netskope Cloud Security Platform permite ingerir logs e eventos do Netskope no Microsoft Sentinel. O conector mostra eventos e alertas do Netskope Platform no Microsoft Sentinel para aprimorar os recursos de monitoramento e investigação.

Este é um conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Exemplos de consulta

10 principais usuários

Netskope

| summarize count() by SrcUserName 

| top 10 by count_

10 principais alertas

Netskope

| where isnotempty(AlertName) 

| summarize count() by AlertName 

| top 10 by count_

Pré-requisitos

Para fazer a integração com o Netskope (usando o Azure Functions), certifique-se de ter:

• Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
• Token de API do Netskope: um token de API do Netskope é necessário. Confira a documentação para saber mais sobre a API do Netskope. Observação: é necessária ter uma conta do Netskope

Instruções de instalação do fornecedor

(Etapa Opcional): armazene o espaço de trabalho e a(s) chave(s) de autorização ou token(s) da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.

ETAPA 1 – Etapas de configuração da API do Netskope

Siga estas instruções da Netskope para obter um token de API. Observação: é necessária ter uma conta do Netskope

ETAPA 2: Escolha UMA das duas opções de implantação a seguir para implantar o conector e a Função do Azure associada

IMPORTANTE: antes de implantar o conector Netskope, tenha em mãos a ID e a chave primária do espaço de trabalho (podem ser copiadas do seguinte), bem como o token de autorização da API do Netskope.

Opção 1 – Modelo do Azure Resource Manager (ARM)

Esse método promove uma implantação automatizada do conector Netskope com um modelo do ARM.

1. Clique no botão Implantar no Azure abaixo.

   

2. Selecione a Assinatura, o Grupo de Recursos e o Local de sua preferência.

3. Insira a ID do espaço de trabalho, a chave do espaço de trabalho, a chave da API e o URI.

• Use o seguinte esquema para o valor uri: https://<Tenant Name>.goskope.com Substitua <Tenant Name> pelo seu domínio.
• O Intervalo de tempo padrão é definido para efetuar pull dos últimos 5 (cinco) minutos de dados. Se o intervalo de tempo precisar ser modificado, é recomendável alterar o gatilho do temporizador do aplicativo de funções adequadamente (no arquivo function.json, pós-implantação) para evitar a sobreposição da ingestão de dados.
• Os tipos de log padrão são definidos para efetuar pull de todos os seis tipos de log disponíveis (alert, page, application, audit, infrastructure, network), não é necessário removê-los.
• Observação: se você usa segredos do Azure Key Vault para um dos valores acima, use o @Microsoft.KeyVault(SecretUri={Security Identifier})esquema no lugar dos valores da cadeia de caracteres. Para obter mais detalhes, consulte a documentação de referências do Key Vault.

4. Marque a caixa de seleção rotulada como Concordo com os termos e condições declarados acima.
5. Clique em Comprar para implantar.
6. Depois de implantar o conector com êxito, baixe a função do Kusto para normalizar os campos de dados. Siga as etapas para usar o alias da função do Kusto, Netskope.

Opção 2 – Implantação Manual do Azure Functions

Este método conta com as instruções passo a passo para implantar manualmente o conector Netskope com a função do Azure.

1. Criar um aplicativo de funções

1. No Portal do Azure, navegue até Aplicativo de funções e selecione + Adicionar.
2. Na guia Noções básicas, verifique se a pilha de tempo de execução está definida como Powershell Core.
3. Na guia Hospedagem, verifique se o tipo de plano Consumo (sem servidor) está selecionado.
4. Faça outras alterações de configuração preferenciais, se necessário, e clique em Criar.

2. Importar código de aplicativo de funções

1. No aplicativo de funções recém-criado, selecione Funções no painel esquerdo e clique em + Adicionar.
2. Selecione Gatilho do temporizador.
3. Insira um Nome de função exclusivo e modifique o agendamento cron, se necessário. O valor padrão é definido para executar o Aplicativo de Funções a cada 5 minutos. (Observação: o gatilho de temporizador deve corresponder ao timeInterval valor abaixo para evitar a sobreposição de dados), clique em Criar.
4. Clique em Código + Teste no painel esquerdo.
5. Copie o Código do aplicativo de funções e cole-o no editor run.ps1 do aplicativo de funções.
6. Clique em Salvar.

3. Configurar o Aplicativo de Funções

1. No Aplicativo de Funções, selecione o Nome do Aplicativo de Funções e selecione Configuração.
2. Na guia Configurações do aplicativo, selecione + Novas configurações do aplicativo.
3. Adicione cada uma das sete configurações de aplicativo a seguir individualmente, com seus respectivos valores de cadeia de caracteres (diferencia maiúsculas de minúsculas): apikey workspaceID workspaceKey uri timeInterval logTypes logAnalyticsUri (opcional)

• Insira a URL que corresponde à sua região. O valor uri precisa seguir o seguinte esquema: https://<Tenant Name>.goskope.com - não é necessário adicionar parâmetros subsequentes ao URI, o aplicativo de funções acrescentará dinamicamente os parâmetros no formato adequado.
• Defina o timeInterval (em minutos) como o valor padrão de 5 para corresponder ao gatilho do temporizador a cada 5 minutos. Se o intervalo de tempo precisar ser modificado, é recomendável alterar o Gatilho do Temporizador do Aplicativo de Funções adequadamente para evitar a sobreposição de ingestão de dados.
• Defina o logTypes como alert, page, application, audit, infrastructure, network: essa lista representa todos os tipos de logs disponíveis. Selecione os tipos de log com base nos requisitos de registro em log, separando cada um por uma única vírgula.
• Observação: se estiver usando o Azure Key Vault, use o esquema @Microsoft.KeyVault(SecretUri={Security Identifier}) no lugar dos valores da cadeia de caracteres. Para obter mais detalhes, consulte a documentação de referências do Key Vault.
• Use logAnalyticsUri para substituir o ponto de extremidade da API de análise de logs para uma nuvem dedicada. Por exemplo, para a nuvem pública, deixe o valor vazio; para o ambiente de nuvem do Azure GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us. 4. Assim que todas as configurações do aplicativo tiverem sido inseridas, clique em Salvar. 5. Depois de implantar o conector com êxito, baixe a função do Kusto para normalizar os campos de dados. Siga as etapas para usar o alias da função do Kusto, Netskope.

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.