Microsoft Sentinel 用 Luminar IOCs and Leaked Credentials (Azure Functions を使用) コネクタ

[アーティクル]
10/15/2024

Luminar IOCs and Leaked Credentials コネクタを使用すると、インテリジェンスベースの IOC データと、Luminar によって識別された顧客関連の漏洩レコードを統合できます。

これは自動生成されたコンテンツです。変更については、ソリューションプロバイダーにお問い合わせください。

コネクタの属性

コネクタ属性	説明
Azure 関数アプリのコード	https://aka.ms/sentinel-CognyteLuminar-functionapp
Log Analytics テーブル	ThreatIntelligenceIndicator
データ収集ルールのサポート	現在、サポートされていません
サポートしているもの	Cognyte Luminar

クエリのサンプル

Cognyte Luminar ベースのインジケーターイベント - Microsoft Sentinel 脅威インテリジェンスのすべての Cognyte Luminar インジケーター。

ThreatIntelligenceIndicator

| where SourceSystem contains 'Luminar'

| sort by TimeGenerated desc

非 Cognyte Luminar ベースのインジケーターイベント - Microsoft Sentinel 脅威インテリジェンスのすべての非 Cognyte Luminar インジケーター。

ThreatIntelligenceIndicator

| where SourceSystem !contains 'Luminar'

| sort by TimeGenerated desc

前提条件

Luminar IOCs and Leaked Credentials (Azure Functions を使用) と統合するには、次のものがあることを確認します。

Azure サブスクリプション: Azure Active Directory にアプリケーションを登録し、リソースグループ内のアプリに共同作成者のロールを割り当てるには、所有者ロールを持つ Azure サブスクリプションが必要です。
Microsoft.Web/sites のアクセス許可: 関数アプリを作成するための、Azure Functions に対する読み取りと書き込みのアクセス許可が必要です。 Azure Functions の詳細については、こちらのドキュメントを参照してください。
REST API の資格情報/アクセス許可: Luminar クライアント ID、Luminar クライアントシークレット、Luminar アカウント ID が必要です。

ベンダーのインストール手順

Note

このコネクタは Azure Functions を使用して Cognyte Luminar API に接続し、Luminar IOC と漏洩した資格情報を Microsoft Sentinel にプルします。これにより、データインジェストと、Azure Blob Storage にデータを格納するための追加コストが発生する可能性があります。詳細については、Azure Functions の価格ページと Azure Blob Storage の価格ページを参照してください。

(省略可能な手順) ワークスペースと API の認可キーまたはトークンを Azure Key Vault に安全に格納します。 Azure Key Vault には、キー値を格納および取得するためのセキュリティで保護されたメカニズムが用意されています。 Azure 関数アプリで Azure Key Vault を使用するには、これらの手順に従います。

オプション 1 - Azure Resource Manager (ARM) テンプレート

ARM テンプレートを使ってデータコネクタを自動的にデプロイするには、この方法を使用します。

下の [Azure へのデプロイ] ボタンをクリックします。
お使いの [サブスクリプション]、[リソースグループ]、[場所] を選択します。
アプリケーション ID、テナント ID、クライアントシークレット、Luminar API クライアント ID、Luminar API アカウント ID、Luminar API クライアントシークレット、制限、TimeInterval を入力してデプロイします。
[上記の使用条件に同意する] というラベルのチェックボックスをオンにします。
[購入] をクリックしてデプロイします。

オプション 2 - Azure Functions の手動デプロイ

Azure Functions を使用して Cognyte Luminar データコネクタを手動でデプロイするには、次の詳細な手順を使用します (Visual Studio Code によるデプロイ)。

1. 関数アプリをデプロイする

注: Azure 関数の開発には VS Code を準備する必要があります。

Azure 関数アプリファイルをダウンロードします。アーカイブをローカル開発用コンピューターに抽出します。
VS Code を起動します。メインメニューで [ファイル] を選び、[フォルダーを開く] を選択します。
展開されたファイルから最上位のフォルダーを選択します。
アクティビティバーで Azure アイコンを選択し、[Azure: Functions] 領域の [関数アプリにデプロイ] ボタンを選択します。まだサインインしていない場合は、アクティビティバーの Azure アイコンを選択し、[Azure: Functions] 領域で [Azure にサインイン] を選択します。既にサインインしている場合は、次の手順に進みます。
プロンプトで、次の情報を入力します。

a. フォルダーの選択: ワークスペースのフォルダーを選択するか、関数アプリが格納されているフォルダーを参照します。

b. サブスクリプションの選択: 使用するサブスクリプションを選択します。

c. [Azure で新しい関数アプリを作成する] を選択します ([詳細設定] オプションは選ばないでください)

d. 関数アプリのグローバルに一意の名前を入力: URL パスで有効な名前を入力します入力した名前は、Azure Functions 内での一意性を確保するために検証されます。 (例: CognyteLuminarXXX)。

e. ランタイムの選択: [Python 3.11] を選びます。

f. 新しいリソースの場所を選択してくださいパフォーマンスを向上させ、コストを下げるために、Microsoft Sentinel が配置されているのと同じリージョンを選びます。
デプロイが開始されます。関数アプリが作成され、展開パッケージが適用されると、通知が表示されます。
関数アプリを構成するために、Azure portal に移動します。

2. 関数アプリを構成する

関数アプリで、関数アプリ名を選択し、[構成] を選択します。
[アプリケーションの設定] タブで、 [+ 新しいアプリケーション設定] を選択します。
次の各アプリケーション設定を、それぞれの文字列値で個別に追加します (大文字と小文字を区別): アプリケーション ID テナント ID クライアントシークレット Luminar API クライアント ID Luminar API アカウント ID Luminar API クライアントシークレット制限 TimeInterval - logAnalyticsUri を使用して、専用クラウドの Log Analytics API エンドポイントをオーバーライドします。たとえば、パブリッククラウドではこの値を空のままにします。Azure GovUS クラウド環境では、https://<CustomerId>.ods.opinsights.azure.us の形式で値を指定します。
すべてのアプリケーション設定を入力したら、[保存] をクリックします。

次の手順

詳細については、Azure Marketplace の関連ソリューションに関するページを参照してください。

次の方法で共有