Konektor SailPoint IdentityNow (pomocí Azure Functions) pro Microsoft Sentinel

Článek
10/15/2024

Datový konektor SailPoint IdentityNow umožňuje ingestovat události hledání [SailPoint IdentityNow] do Microsoft Sentinelu prostřednictvím rozhraní REST API. Konektor poskytuje zákazníkům možnost extrahovat informace o auditu ze svého tenanta IdentityNow. Cílem je ještě snadnější přenést do Microsoft Sentinelu události aktivit uživatelů a zásad správného řízení IdentityNow, aby se zlepšily přehledy z vašeho řešení pro monitorování událostí a incidentů zabezpečení.

Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.

Atributy konektoru

Atribut konektoru	Popis
Nastavení aplikace	TENANT_ID SHARED_KEY LIMIT GRANT_TYPE CUSTOMER_ID CLIENT_ID CLIENT_SECRET AZURE_STORAGE_ACCESS_KEY AZURE_STORAGE_ACCOUNT_NAME AzureWebJobsStorage LogAnalyticsUri (volitelné)
Kód aplikace funkcí Azure	https://aka.ms/sentinel-sailpointidentitynow-functionapp
Tabulky Log Analytics	SailPointIDN_Events_CL SailPointIDN_Triggers_CL
Podpora pravidel shromažďování dat	V současnosti není podporováno
Podporováno	SailPoint

Ukázky dotazů

Události hledání SailPointIDN – všechny události

SailPointIDN_Events_CL

| sort by TimeGenerated desc

Triggery SailPointIDN – všechny triggery

SailPointIDN_Triggers_CL

| sort by TimeGenerated desc

Požadavky

Pokud chcete provést integraci s SailPoint IdentityNow (pomocí Azure Functions), ujistěte se, že máte:

Oprávnění Microsoft.Web/sites: Vyžaduje se oprávnění ke čtení a zápisu do Azure Functions k vytvoření aplikace funkcí. Další informace o službě Azure Functions najdete v dokumentaci.
Přihlašovací údaje pro ověřování rozhraní API SailPoint IdentityNow: k ověřování se vyžadují TENANT_ID, CLIENT_ID a CLIENT_SECRET.

Pokyny k instalaci dodavatele

Poznámka:

Tento konektor používá Azure Functions k připojení k rozhraní REST API SailPoint IdentityNow k načtení protokolů do Microsoft Sentinelu. To může vést k dalším nákladům na příjem dat. Podrobnosti najdete na stránce s cenami služby Azure Functions.

(Volitelný krok) Bezpečně ukládejte pracovní prostor a autorizační klíče rozhraní API nebo tokeny ve službě Azure Key Vault. Azure Key Vault poskytuje zabezpečený mechanismus pro ukládání a načítání hodnot klíčů. Postupujte podle těchto pokynů k používání služby Azure Key Vault s aplikací funkcí Azure.

KROK 1 : Kroky konfigurace pro rozhraní API SailPoint IdentityNow

Podle pokynů získejte přihlašovací údaje.

KROK 2: V následujících dvou možnostech nasazení vyberte jednu z následujících dvou možností nasazení pro nasazení konektoru a přidružené funkce Azure Functions.

DŮLEŽITÉ: Před nasazením datového konektoru SailPoint IdentityNow zadejte ID pracovního prostoru a primární klíč pracovního prostoru (můžete ho zkopírovat z následujícího kódu).

Možnost 1 – Šablona Azure Resource Manageru (ARM)

Tuto metodu použijte pro automatizované nasazení datového konektoru SailPoint IdentityNow pomocí šablony ARM.

Klikněte níže na tlačítko Nasadit do Azure .
Vyberte upřednostňované předplatné, skupinu prostředků a umístění.

POZNÁMKA: Ve stejné skupině prostředků nemůžete kombinovat aplikace pro Windows a Linux ve stejné oblasti. Vyberte existující skupinu prostředků bez aplikací pro Windows nebo vytvořte novou skupinu prostředků. 3. Zadejte další informace a nasaďte. 4. Označte zaškrtávací políčko označené jako Souhlasím s podmínkami a ujednáními uvedenými výše. 5. Kliknutím na tlačítko Koupit nasadíte.

Možnost 2 – Ruční nasazení služby Azure Functions

Pomocí následujících podrobných pokynů nasaďte datový konektor SailPoint IdentityNow ručně se službou Azure Functions (nasazení přes Visual Studio Code).

1. Nasazení aplikace funkcí

POZNÁMKA: Budete muset připravit VS Code pro vývoj funkcí Azure.

Stáhněte si soubor aplikace funkcí Azure. Extrahujte archiv do místního vývojového počítače.
Spusťte VS Code. V hlavní nabídce zvolte Soubor a vyberte Otevřít složku.
Vyberte složku nejvyšší úrovně z extrahovaných souborů.
Na panelu aktivit zvolte ikonu Azure a pak v oblasti Azure: Functions zvolte tlačítko Nasadit do aplikace funkcí. Pokud ještě nejste přihlášení, zvolte ikonu Azure na panelu aktivit a pak v oblasti Azure: Functions zvolte Přihlásit se k Azure , pokud už jste přihlášení, přejděte k dalšímu kroku.
Podle pokynů na obrazovce zadejte tyto informace:

a. Vyberte složku: Zvolte složku z pracovního prostoru nebo přejděte do složky, která obsahuje vaši aplikaci funkcí.

b. Vyberte Předplatné: Zvolte předplatné, které chcete použít.

c. Vyberte Vytvořit novou aplikaci funkcí v Azure (nevybírejte možnost Upřesnit).

d. Zadejte globálně jedinečný název aplikace funkcí: Zadejte název, který je platný v cestě URL. Název, který zadáte, se ověří, aby se zajistilo, že je jedinečný ve službě Azure Functions. (např. searcheventXXXXX).

e. Vyberte modul runtime: Zvolte Python 3.9.

f. Vyberte umístění pro nové prostředky. Pokud chcete dosáhnout lepšího výkonu a nižších nákladů, zvolte stejnou oblast , ve které se nachází Microsoft Sentinel.
Zahájí se nasazení. Po vytvoření aplikace funkcí a použití balíčku nasazení se zobrazí oznámení.
Přejděte na Web Azure Portal pro konfiguraci aplikace funkcí.

2. Konfigurace aplikace funkcí

V aplikaci funkcí vyberte název aplikace funkcí a vyberte Konfigurace.
Na kartě Nastavení aplikace vyberte ** Nové nastavení aplikace**.
Přidejte jednotlivá nastavení aplikace s příslušnými řetězcovými hodnotami (rozlišují se malá a velká písmena): TENANT_ID SHARED_KEY LIMIT GRANT_TYPE CUSTOMER_ID CLIENT_ID CLIENT_SECRET AZURE_STORAGE_ACCESS_KEY AZURE_STORAGE_ACCOUNT_NAME AzureWebJobsStorage logAnalyticsUri (volitelné)

K přepsání koncového bodu rozhraní API log Analytics pro vyhrazený cloud použijte logAnalyticsUri. Například pro veřejný cloud ponechte hodnotu prázdnou; Pro cloudové prostředí Azure GovUS zadejte hodnotu v následujícím formátu: https://<CustomerId>.ods.opinsights.azure.us. 3. Po zadání všech nastavení aplikace klepněte na tlačítko Uložit.

Další kroky

Další informace najdete v souvisejícím řešení na Azure Marketplace.

Sdílet prostřednictvím