Usar o Azure Functions para conectar o Microsoft Sentinel à sua fonte de dados

Esse método fornece uma implantação automatizada do seu conector baseado em função do Azure usando um modelo ARM.

1. No portal do Microsoft Sentinel, selecione Conectores de dados. Selecione seu conector baseado no Azure Functions na lista e, em seguida , abra a página do conector.

2. Em Configuração, copie a ID do espaço de trabalho do Microsoft Sentinel e a chave primária e cole-os de lado.

3. Selecione Implantar no Azure. (Talvez seja necessário rolar para baixo para encontrar o botão.)

4. A tela Implantação personalizada será exibida.

   • Selecione uma assinatura, um grupo de recursos e uma região na qual implantar seu Aplicativo de Função.

   • Insira suas credenciais de API / chaves de autorização / tokens que você salvou na Etapa 1 acima.

   • Insira a ID do Microsoft Sentinel Workspace e a Chave do Espaço de Trabalho (chave primária) que você copiou e colocou de lado.

     Nota

     Se estiver usando segredos do Azure Key Vault para qualquer um dos valores acima, use o @Microsoft.KeyVault(SecretUri={Security Identifier}) esquema no lugar dos valores de cadeia de caracteres. Consulte a documentação de referências do Key Vault para obter mais detalhes.

   • Preencha todos os outros campos no formulário na tela Implantação personalizada. Consulte a página do conector de dados no portal ou a seção do seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

   • Selecione Rever + criar. Quando a validação for concluída, selecione Criar.

Use as instruções passo a passo a seguir para implantar manualmente conectores baseados no Azure Functions que usam funções do PowerShell.

1. No portal do Microsoft Sentinel, selecione Conectores de dados. Selecione seu conector baseado no Azure Functions na lista e, em seguida , abra a página do conector.

2. Em Configuração, copie a ID do espaço de trabalho do Microsoft Sentinel e a chave primária e cole-os de lado.

3. Criar um aplicativo de função

   1. No portal do Azure, pesquise e selecione Aplicativo de função.

   2. Na página Aplicativo de função, selecione Criar. O assistente Criar aplicativo de função será aberto.

   3. Na guia Noções básicas:

      • Selecione uma assinatura e um grupo de recursos.
      • Dê um nome ao seu aplicativo de função.
      • Defina a pilha de tempo de execução como PowerShell Core.
      • Selecione o número de versão apropriado.
      • Selecione a região na qual você deseja implantar e, em seguida, selecione Avançar : Hospedagem.

   4. Na guia Hospedagem:

      • Escolha a conta de armazenamento que deseja usar ou crie uma nova.
      • Selecione Consumo (sem servidor) como seu tipo de plano.

   5. Faça quaisquer outras alterações de configuração necessárias e, em seguida, selecione Rever + criar.

   6. Aguarde a mensagem "Validação aprovada" e selecione Criar.

   7. Quando a implantação for concluída, selecione Ir para o recurso.

4. Importar código do aplicativo de função

   1. No aplicativo de função recém-criado, selecione Funções no menu de navegação.

   2. Na página Funções, selecione + Adicionar.

   3. No painel Adicionar função, selecione o gatilho de temporizador.

   4. Insira um nome exclusivo para sua função e insira uma expressão cron para especificar o agendamento. O intervalo padrão é a cada 5 minutos.

   5. Quando a função tiver sido criada, selecione Código + Teste no painel esquerdo.

   6. Faça o download do código do aplicativo de função fornecido pelo fornecedor do seu sistema de origem e copie-o e cole-o no editor run.ps1 do aplicativo de função, substituindo o que está lá por padrão. Você pode encontrar o link de download na página do conector ou na seção do seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

   7. Selecione Guardar.

5. Configurar o aplicativo de função

   1. Na página do seu aplicativo de função, selecione Configuração em Configurações no menu de navegação.

   2. Na guia Configurações do aplicativo, selecione + Nova configuração do aplicativo.

   3. Adicione as configurações de aplicativo prescritas para seu produto individualmente, com seus respetivos valores de cadeia de caracteres que diferenciam maiúsculas de minúsculas. Consulte a página do conector de dados ou a seção do seu produto da seção do seu serviço na página de referência dos conectores de dados do Microsoft Sentinel.

      Gorjeta

      Se aplicável, use a configuração do aplicativo logAnalyticsUri para substituir o ponto de extremidade da API de análise de log se estiver usando uma nuvem dedicada. Assim, por exemplo, se você estiver usando a nuvem pública, deixe o valor vazio; para o ambiente de nuvem Azure GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

Use as instruções passo a passo a seguir para implantar manualmente conectores baseados no Azure Functions que usam funções Python. Esse tipo de implantação requer o Visual Studio Code.

1. No portal do Microsoft Sentinel, selecione Conectores de dados. Selecione seu conector baseado no Azure Functions na lista e, em seguida , abra a página do conector.

2. Em Configuração, copie a ID do espaço de trabalho do Microsoft Sentinel e a chave primária e cole-os de lado.

3. Implantar um aplicativo de função

   Nota

   Você precisará preparar o Visual Studio Code (VS Code) para o desenvolvimento do Azure Function.

   1. Baixe o arquivo do Aplicativo Azure Function usando o link fornecido na página do conector de dados e na seção do seu serviço na página de referência dos conectores de dados do Microsoft Sentinel. Extraia o arquivo para o computador de desenvolvimento local.

   2. Inicie o VS Code. Na barra de menus, selecione Arquivo > Abrir Pasta....

   3. Selecione a pasta de nível superior dos arquivos extraídos do arquivo.

   4. Escolha o ícone do Azure na barra de atividade do VS Code (à esquerda). Em seguida, na área Azure: Funções , escolha o botão Implantar no aplicativo de função .

      Nota

      Se você ainda não estiver conectado, escolha o ícone do Azure na barra de atividades. Em seguida, na área Azure: Funções , escolha Entrar no Azure.
      Se já tiver sessão iniciada, avance para o passo seguinte.

   5. Forneça as seguintes informações nos pedidos:

      • Selecionar pasta: escolha uma pasta no seu espaço de trabalho ou navegue até uma pasta que contenha seu aplicativo de função.
      • Selecione a assinatura: escolha a assinatura a ser usada.
      • Selecione Criar novo aplicativo de função no Azure. (Não escolha o botãoOpção avançada .)
      • Insira um nome globalmente exclusivo para o aplicativo de função: dê ao seu aplicativo de função um nome que seria válido em um caminho de URL. O nome escolhido será validado para garantir que é exclusivo em todas as Funções do Azure.
      • Selecione um tempo de execução: Escolha Python 3.8.

   6. A implantação será iniciada. Depois de criar a aplicação de funções, é apresentada uma notificação e o pacote de implementação é aplicado.

   7. Volte à página do seu aplicativo de função para configuração.

4. Configurar o aplicativo de função

   1. Na página do seu aplicativo de função, selecione Configuração em Configurações no menu de navegação.

   2. Na guia Configurações do aplicativo, selecione + Nova configuração do aplicativo.

   3. Adicione as configurações de aplicativo prescritas para seu produto individualmente, com seus respetivos valores de cadeia de caracteres que diferenciam maiúsculas de minúsculas. Consulte a página do conector de dados ou a seção do seu serviço na página de referência de conectores de dados do Microsoft Sentinel para obter as configurações do aplicativo a serem adicionadas.

      • Se aplicável, use a configuração do aplicativo logAnalyticsUri para substituir o ponto de extremidade da API de análise de log se estiver usando uma nuvem dedicada. Assim, por exemplo, se você estiver usando a nuvem pública, deixe o valor vazio; para o ambiente de nuvem Azure GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.