Freigeben über

Connector „CyberArkAudit (mit Azure Functions)“ für Microsoft Sentinel

  • Artikel

Der Datenconnector CyberArk Audit bietet die Möglichkeit, Sicherheitsereignisprotokolle des CyberArk Audit-Diensts und weitere Ereignisse über die REST-API in Microsoft Sentinel abzurufen. Der Connector bietet die Möglichkeit zum Abrufen von Ereignissen, um potenzielle Sicherheitsrisiken zu untersuchen, die Nutzung der Zusammenarbeit durch Ihr Team zu analysieren, Konfigurationsprobleme zu diagnostizieren und mehr.

Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.

Connectorattribute

Connectorattribut BESCHREIBUNG
Anwendungseinstellungen CyberArkAuditUsername
CyberArkAuditPassword
CyberArkAuditServerURL
WorkspaceID
WorkspaceKey
logAnalyticsUri (optional)
Azure-Funktions-App-Code https://aka.ms/sentinel-CyberArkAudit-functionapp
Log Analytics-Tabellen CyberArk_AuditEvents_CL
Unterstützung für Datensammlungsregeln Derzeit nicht unterstützt
Unterstützt von CyberArk-Support

Abfragebeispiele

CyberArk Audit-Ereignisse: Alle Aktivitäten.

CyberArkAudit

| sort by TimeGenerated desc

Voraussetzungen

Stellen Sie für die Integration in CyberArkAudit (mit Azure Functions) sicher, dass Folgendes vorhanden ist:

  • Microsoft.Web/sites-Berechtigungen: Lese- und Schreibberechtigungen für Azure Functions zum Erstellen einer Funktions-App sind erforderlich. Weitere Informationen zu Azure Functions finden Sie in der Dokumentation.
  • Verbindungsdetails und Anmeldeinformationen für die Audit-REST-API: OauthUsername, OauthPassword, WebAppID, AuditApiKey, IdentityEndpoint und AuditApiBaseUrl sind erforderlich, um API-Aufrufe auszuführen.

Installationsanweisungen des Anbieters

Hinweis

Dieser Connector stellt über Azure Functions eine Verbindung mit der Azure Blob Storage-API her, um die zugehörigen Protokolle in Microsoft Sentinel zu pullen. Dadurch fallen ggf. zusätzliche Kosten für die Datenerfassung und das Speichern von Daten in Azure Blob Storage an. Ausführliche Informationen finden Sie auf der Seite mit der Preisübersicht von Azure Functions und der Seite mit der Preisübersicht von Azure Blob Storage.

Hinweis

API-Autorisierungsschlüssel oder Token werden sicher in Azure Key Vault gespeichert. Azure Key Vault bietet einen sicheren Mechanismus zum Speichern und Abrufen von Schlüsselwerten.

SCHRITT 1: Konfigurationsschritte für die CyberArk Audit-SIEM-Integration

Folgen Sie den Anweisungen, um Verbindungsdetails und Anmeldeinformationen abzurufen.

  1. Verwenden Sie den Benutzernamen und das Kennwort für Ihr CyberArk Audit-Konto.

SCHRITT 2: Wählen Sie EINE der folgenden beiden Bereitstellungsoptionen aus, um den Connector und die zugehörige Azure-Funktion bereitzustellen

WICHTIG: Halten Sie für die Bereitstellung des CyberArk Audit-Datenconnectors den Arbeitsbereichsnamen und den Standort des Arbeitsbereichs bereit. (Diese Angaben können im Anschluss kopiert werden.)

Arbeitsbereichname

Standort des Arbeitsbereichs

Option 1: Azure Resource Manager-Vorlage (ARM)

Verwenden Sie diese Methode für die automatisierte Bereitstellung des CyberArk Audit-Datenconnectors mithilfe einer ARM-Vorlage.

  1. Klicken Sie unten auf die Schaltfläche In Azure bereitstellen.

    In Azure bereitstellen

  2. Wählen Sie die bevorzugten Werte für Abonnement, Ressourcengruppe und Standort aus.

HINWEIS: Innerhalb derselben Ressourcengruppe können Sie keine Windows- und Linux-Apps in der gleichen Region mischen. Wählen Sie eine vorhandene Ressourcengruppe aus, die keine Windows-Apps enthält, oder erstellen Sie eine neue Ressourcengruppe. 3. Geben Sie CyberArkAuditUsername, CyberArkAuditPassword und CyberArkAuditServerURL ein, und führen Sie die Bereitstellung durch. 4. Aktivieren Sie das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu. 5. Klicken Sie zum Bereitstellen auf Kaufen.

Option 2: Manuelle Bereitstellung von Azure Functions

Verwenden Sie die folgende Schrittanleitung, um den CyberArk Audit-Datenconnector manuell mit Azure Functions bereitzustellen (Bereitstellung über Visual Studio Code):

1. Bereitstellen einer Funktions-App

HINWEIS: Für die Azure-Funktionsentwicklung müssen Sie VS Code vorbereiten.

  1. Laden Sie die Azure-Funktions-App-Datei herunter. Extrahieren Sie das Archiv auf Ihren lokalen Entwicklungscomputer.

  2. Starten Sie Visual Studio Code. Wählen Sie im Hauptmenü „Datei“ und dann „Ordner öffnen“ aus.

  3. Wählen Sie den Ordner der obersten Ebene aus den extrahierten Dateien aus.

  4. Wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Schaltfläche In Funktions-App bereitstellen aus. Wenn Sie noch nicht angemeldet sind, wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Option Bei Azure anmelden aus. Wenn Sie bereits angemeldet sind, gehen Sie zum nächsten Schritt.

  5. Geben Sie nach entsprechender Aufforderung Folgendes ein:

    a. Ordner auswählen: Wählen Sie einen Ordner in Ihrem Arbeitsbereich aus, oder navigieren Sie zu einem Ordner, in dem Ihre Funktions-App gespeichert ist.

    b. Abonnement auswählen: Wählen Sie das zu verwendende Abonnement aus.

    c. Wählen Sie Neue Funktions-App in Azure erstellen aus (wählen Sie nicht die Option „Erweitert“ aus).

    d. Global eindeutigen Namen für die Funktions-App eingeben: Geben Sie einen Namen ein, der in einem URL-Pfad gültig ist. Der eingegebene Name wird überprüft, um sicherzustellen, dass er in Azure Functions eindeutig ist. (Beispiel: CyberArkXXXXX).

    e. Runtime auswählen: Wählen Sie Python 3.8 aus.

    f. Wählen Sie einen Standort für neue Ressourcen aus. Wählen Sie zur Leistungsverbesserung und Kostensenkung dieselbe Region aus, in der sich Microsoft Sentinel befindet.

  6. Die Bereitstellung beginnt. Nach der Erstellung der Funktions-App wird eine Benachrichtigung angezeigt, und das Bereitstellungspaket wird angewendet.

  7. Wechseln Sie zum Azure-Portal, um die Konfiguration der Funktions-App anzuzeigen.

2. Konfigurieren der Funktions-App

  1. Wählen Sie im Bereich „Funktions-App“ den Namen der Funktions-App und dann Konfiguration aus.

  2. Wählen Sie auf der Registerkarte Anwendungseinstellungen die Option **Neue Anwendungseinstellung** aus.

  3. Fügen Sie jede der folgenden Anwendungseinstellungen einzeln mit ihren jeweiligen Zeichenfolgenwerten hinzu (Groß-/Kleinschreibung beachten):

    • CyberArkAuditUsername
    • CyberArkAuditPassword
    • CyberArkAuditServerURL
    • WorkspaceID
    • WorkspaceKey
    • logAnalyticsUri (optional)

    Verwenden Sie „logAnalyticsUri“, um den Log Analytics-API-Endpunkt für die dedizierte Cloud zu überschreiben. Lassen Sie beispielsweise den Wert für die öffentliche Cloud leer. Geben Sie für die Azure-Cloudumgebung „GovUS“ den Wert im folgenden Format an: https://<CustomerId>.ods.opinsights.azure.us.

  4. Nachdem Sie alle Anwendungseinstellungen eingegeben haben, klicken Sie auf Speichern.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.