Slack Audit-Connector (über Azure Functions) für Microsoft Sentinel
Der Slack Audit-Datenconnector bietet die Möglichkeit zur Erfassung von Slack Audit Records-Ereignissen über die REST-API in Microsoft Sentinel. Weitere Informationen hierzu finden Sie in der Dokumentation zur API. Der Connector bietet die Möglichkeit zum Abrufen von Ereignissen, um potenzielle Sicherheitsrisiken zu untersuchen, die Nutzung der Zusammenarbeit durch Ihr Team zu analysieren, Konfigurationsprobleme zu diagnostizieren und mehr.
Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.
Connectorattribute
| Connectorattribut | BESCHREIBUNG |
|---|---|
| Kusto-Funktionsalias | SlackAudit |
| Kusto-Funktions-URL | https://aka.ms/sentinel-SlackAuditAPI-parser |
| Log Analytics-Tabellen | SlackAudit_CL |
| Unterstützung für Datensammlungsregeln | Derzeit nicht unterstützt |
| Unterstützt von | Microsoft Corporation |
Abfragebeispiele
Slack Audit-Ereignisse – Alle Aktivitäten.
SlackAudit
| sort by TimeGenerated desc
Voraussetzungen
Stellen Sie für die Integration in Slack Audit (über Azure Functions) sicher, dass Folgendes vorhanden ist:
- Microsoft.Web/sites-Berechtigungen: Lese- und Schreibberechtigungen für Azure Functions zum Erstellen einer Funktions-App sind erforderlich. Weitere Informationen zu Azure Functions finden Sie in der Dokumentation.
- REST-API-Anmeldeinformationen/Berechtigungen: SlackAPIBearerToken ist für die REST-API erforderlich. Weitere Informationen zur API finden Sie in der Dokumentation. Überprüfen Sie alle Anforderungen, und folgen Sie den Anleitungen zum Abrufen von Anmeldeinformationen.
Installationsanweisungen des Anbieters
Hinweis
Dieser Connector verbindet sich über Azure Functions mit der Slack-REST-API, um deren Protokolle in Microsoft Sentinel zu pullen. Dies könnte zusätzliche Datenerfassungskosten verursachen. Ausführliche Informationen finden Sie auf der Seite mit der Preisübersicht von Azure Functions.
Optionaler Schritt Speichern Sie Arbeitsbereichs- und API-Autorisierungsschlüssel oder -token sicher in Azure Key Vault. Azure Key Vault bietet einen sicheren Mechanismus zum Speichern und Abrufen von Schlüsselwerten. Befolgen Sie diese Anweisungen, um Azure Key Vault mit einer Azure-Funktions-App zu verwenden.
Hinweis
Dieser Datenconnector ist von einem Parser abhängig, der auf einer Kusto-Funktion basiert und erwartungsgemäß funktionieren muss. Führen Sie diese Schritte aus, um den Kusto-Funktionsalias, SlackAudit, zu erstellen.
SCHRITT 1: Konfigurationsschritte für die Slack-API
Folgen Sie den Anleitungen zum Abrufen der Anmeldeinformationen.
SCHRITT 2: Wählen Sie EINE der folgenden beiden Bereitstellungsoptionen aus, um den Connector und die zugehörige Azure-Funktion bereitzustellen
Wichtig
Vor der Bereitstellung des Slack Audit-Datenconnectors müssen Sie über die Arbeitsbereichs-ID und den Arbeitsbereichs-Primärschlüssel verfügen. Diese können aus dem Folgenden kopiert werden.
Option 1: Azure Resource Manager-Vorlage (ARM)
Verwenden Sie diese Methode für die automatisierte Bereitstellung des Slack Audit-Datenconnectors mithilfe einer ARM-Vorlage.
Wählen Sie unten die Schaltfläche In Azure bereitstellen aus.
Wählen Sie die bevorzugten Werte für Abonnement, Ressourcengruppe und Standort aus.
Hinweis
Innerhalb einer Ressourcengruppe können Windows- und Linux-Apps nicht in der gleichen Region miteinander kombiniert werden. Wählen Sie eine vorhandene Ressourcengruppe ohne enthaltene Windows-Apps aus, oder erstellen Sie eine neue Ressourcengruppe.
Geben Sie das SlackAPIBearerToken ein, und führen Sie die Bereitstellung durch.
Aktivieren Sie das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu.
Wählen Sie Erwerben aus, um die Bereitstellung durchzuführen.
Option 2: Manuelle Bereitstellung von Azure Functions
Verwenden Sie die folgenden schrittweisen Anleitungen zum manuellen Bereitstellen des Slack Audit-Datenconnectors mit Azure Functions (Bereitstellung über Visual Studio Code).
1. Bereitstellen einer Funktions-App
Hinweis
Für die Azure-Funktionsentwicklung müssen Sie VS Code vorbereiten.
Laden Sie die Azure-Funktions-App-Datei herunter. Extrahieren Sie das Archiv auf Ihren lokalen Entwicklungscomputer.
Starten Sie Visual Studio Code. Wählen Sie im Hauptmenü „Datei“ und dann „Ordner öffnen“ aus.
Wählen Sie den Ordner der obersten Ebene aus den extrahierten Dateien aus.
Wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Schaltfläche In Funktions-App bereitstellen aus.
- Wenn Sie noch nicht angemeldet sind, wählen Sie auf der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Option Bei Azure anmelden aus.
- Sollten Sie bereits angemeldet sein, fahren Sie mit dem nächsten Schritt fort.
Geben Sie nach entsprechender Aufforderung Folgendes ein:
a. Ordner auswählen: Wählen Sie einen Ordner in Ihrem Arbeitsbereich aus, oder navigieren Sie zu einem Ordner, in dem Ihre Funktions-App gespeichert ist.
b. Abonnement auswählen: Wählen Sie das zu verwendende Abonnement aus.
c. Wählen Sie Neue Funktions-App in Azure erstellen aus (wählen Sie nicht die Option „Erweitert“ aus).
d. Global eindeutigen Namen für die Funktions-App eingeben: Geben Sie einen Namen ein, der in einem URL-Pfad gültig ist. Der eingegebene Name wird überprüft, um sicherzustellen, dass er in Azure Functions eindeutig ist. (Beispiel: SlackAuditXXXXX).
e. Runtime auswählen: Wählen Sie Python 3.8 aus.
f. Wählen Sie einen Standort für neue Ressourcen aus. Wählen Sie zur Leistungsverbesserung und Kostensenkung dieselbe Region aus, in der sich Microsoft Sentinel befindet.
Die Bereitstellung beginnt. Nach der Erstellung der Funktions-App wird eine Benachrichtigung angezeigt, und das Bereitstellungspaket wird angewendet.
Wechseln Sie zum Azure-Portal, um die Konfiguration der Funktions-App anzuzeigen.
2. Konfigurieren der Funktions-App
Wählen Sie in der Funktions-App den Namen der Funktions-App und dann Konfiguration aus.
Wählen Sie auf der Registerkarte AnwendungseinstellungenNeue Anwendungseinstellung aus.
Fügen Sie jede der folgenden Anwendungseinstellungen einzeln mit ihren jeweiligen Zeichenfolgenwerten hinzu (Groß-/Kleinschreibung beachten):
- SlackAPIBearerToken
- WorkspaceID
- WorkspaceKey
- logAnalyticsUri (optional)
Verwenden Sie „logAnalyticsUri“, um den Log Analytics-API-Endpunkt für die dedizierte Cloud zu überschreiben. Lassen Sie beispielsweise den Wert für die öffentliche Cloud leer. Geben Sie für die Azure-Cloudumgebung „GovUS“ den Wert im folgenden Format an:
https://<CustomerId>.ods.opinsights.azure.us.Nachdem Sie alle Anwendungseinstellungen eingegeben haben, klicken Sie auf Speichern.
Nächste Schritte
Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.