Microsoft Sentinel 用 SentinelOne (Azure Functions を使用) コネクタ

[アーティクル]
05/03/2024

SentinelOne データコネクタは、REST API を使用して、脅威、エージェント、アプリケーション、アクティビティ、ポリシー、グループなどの一般的な SentinelOne サーバーオブジェクトを Microsoft Sentinel に取り込む機能を提供します。詳細については、API のドキュメント https://<SOneInstanceDomain>.sentinelone.net/api-doc/overview を参照してください。このコネクタは、潜在的なセキュリティリスクの調査、チームによるコラボレーションの使用の分析、構成の問題の診断などに役立つイベントを取得する機能を提供します。

これは自動生成されたコンテンツです。変更については、ソリューションプロバイダーにお問い合わせください。

コネクタの属性

コネクタ属性	説明
アプリケーションの設定	SentinelOneAPIToken SentinelOneUrl WorkspaceID WorkspaceKey logAnalyticsUri (省略可能)
Azure 関数アプリのコード	https://aka.ms/sentinel-SentinelOneAPI-functionapp
Log Analytics テーブル	SentinelOne_CL
データ収集ルールのサポート	現在、サポートされていません
サポートしているもの	Microsoft Corporation

クエリのサンプル

SentinelOne イベント - すべてのアクティビティ。

SentinelOne

| sort by TimeGenerated desc

前提条件

SentinelOne (Azure Functions を使用) と統合する場合は、次を持っていることを確認してください。

Microsoft.Web/sites のアクセス許可: 関数アプリを作成するための、Azure Functions に対する読み取りと書き込みのアクセス許可が必要です。 Azure Functions の詳細については、こちらのドキュメントを参照してください。
REST API の資格情報またはアクセス許可: SentinelOneAPIToken が必要です。 API の詳細については、こちらのドキュメント https://<SOneInstanceDomain>.sentinelone.net/api-doc/overview を参照してください。

ベンダーのインストール手順

注意

このコネクタでは Azure Functions を使用して SentinelOne API に接続し、ログを Microsoft Sentinel にプルします。これにより、追加のデータインジェストコストが発生する可能性があります。詳細については、「Azure Functions の価格」ページを確認してください。

(省略可能な手順) ワークスペースと API の認可キーまたはトークンを Azure Key Vault に安全に格納します。 Azure Key Vault には、キー値を格納および取得するためのセキュリティで保護されたメカニズムが用意されています。 Azure 関数アプリで Azure Key Vault を使用するには、これらの手順に従います。

注意

このデータコネクタは、ソリューションの一部としてデプロイされている Kusto 関数に基づくパーサーを利用して正常に動作します。 Log Analytics で関数コードを表示するには、Log Analytics/Microsoft Sentinel ログブレードを開き、[関数] をクリックしてエイリアス SentinelOne を検索し、関数コードを読み込むか、ここをクリックします。この関数は、通常、ソリューションのインストール/更新後にアクティブ化されるまでに 10 分から 15 分かかります。

ステップ 1 - SentinelOne API の構成ステップ

手順に従って資格情報を取得します。

管理者ユーザーの資格情報を使用して SentinelOne 管理コンソールにログインします。
管理コンソールで、[設定] をクリックします。
[設定] ビューで、[ユーザー] をクリックします
[新しいユーザー] をクリックします。
新しいコンソールユーザーの情報を入力します。
[ロール] で、 [管理者] を選択します。
[保存] をクリックします
新しいユーザーの資格情報を、データコネクタで使用するために保存します。

注 :- 管理アクセスは、カスタムロールを使用して委任できます。カスタム RBAC の詳細については、SentinelOne のドキュメントを参照してください。

ステップ 2 - 次の 2 つのデプロイオプションから 1 つを選び、コネクタと関連付けられている Azure 関数をデプロイする

重要: SentinelOne データコネクタをデプロイする前に、ワークスペース ID とワークスペース主キーを用意します (以下からコピーできます)。

オプション 1 - Azure Resource Manager (ARM) テンプレート

ARM テンプレートを使用して SentinelOne 監査データコネクタを自動的にデプロイするには、この方法を使用します。

下の [Azure へのデプロイ] ボタンをクリックします。
ご希望の [サブスクリプション]、[リソースグループ]、[場所] を選択します。

注: 同じリソースグループ内では、Windows と Linux のアプリを同じリージョンに混在させることはできません。 Windows アプリが含まれていない既存のリソースグループを選択するか、新しいリソースグループを作成します。 3.SentinelOneAPIToken、SentinelOneUrl (https://<SOneInstanceDomain>.sentinelone.net) を入力してデプロイします。 4. [上記のご契約条件に同意する] というラベルのチェックボックスをオンにします。 5. [購入] をクリックしてデプロイします。

オプション 2 - Azure Functions の手動デプロイ

Azure Functions を使用して SentinelOne レポートデータコネクタを手動でデプロイするには、次の詳細な手順を使用してください (Visual Studio Code によるデプロイ)。

1. 関数アプリをデプロイする

注: Azure 関数の開発には VS Code を準備する必要があります。

Azure 関数アプリファイルをダウンロードします。アーカイブをローカル開発用コンピューターに抽出します。
VS Code を起動します。メインメニューで [ファイル] を選び、[フォルダーを開く] を選択します。
展開されたファイルから最上位のフォルダーを選択します。
アクティビティバーで Azure アイコンを選択し、[Azure: Functions] 領域の [関数アプリにデプロイ] ボタンを選択します。まだサインインしていない場合は、アクティビティバーの Azure アイコンを選択し、[Azure: Functions] 領域で [Azure にサインイン] を選択します。既にサインインしている場合は、次の手順に進みます。
プロンプトで、次の情報を入力します。

a. フォルダーの選択: ワークスペースのフォルダーを選択するか、関数アプリが格納されているフォルダーを参照します。

b. サブスクリプションの選択: 使用するサブスクリプションを選択します。

c. [Azure で新しい関数アプリを作成する] を選択します ([詳細設定] オプションは選ばないでください)

d. 関数アプリのグローバルに一意の名前を入力: URL パスで有効な名前を入力します入力した名前は、Azure Functions 内での一意性を確保するために検証されます。 (例: SOneXXXXX)。

e. ランタイムの選択: [Python 3.8] を選びます。

f. 新しいリソースの場所を選択してくださいパフォーマンスを向上させ、コストを下げるために、Microsoft Sentinel が配置されているのと同じリージョンを選びます。
デプロイが開始されます。関数アプリが作成され、展開パッケージが適用されると、通知が表示されます。
関数アプリを構成するために、Azure portal に移動します。

2. 関数アプリを構成する

関数アプリで、関数アプリ名を選択し、[構成] を選択します。
[アプリケーションの設定] タブで、**[新しいアプリケーション設定]** を選択します。
次の各アプリケーション設定を、それぞれの文字列値で個別に追加します (大文字と小文字を区別): SentinelOneAPIToken SentinelOneUrl WorkspaceID WorkspaceKey logAnalyticsUri (省略可能)

専用クラウドの Log Analytics API エンドポイントをオーバーライドするには、logAnalyticsUri を使用します。たとえば、パブリッククラウドではこの値を空のままにします。Azure GovUS クラウド環境では、https://<CustomerId>.ods.opinsights.azure.us の形式で値を指定します。

すべてのアプリケーション設定を入力したら、[保存] をクリックします。

次の手順

詳細については、Azure Marketplace の関連ソリューションに関するページを参照してください。

次の方法で共有