Workplace from Facebook (using Azure Functions)-connector voor Microsoft Sentinel
De Workplace-gegevensconnector biedt de mogelijkheid om algemene Workplace-gebeurtenissen op te nemen in Microsoft Sentinel via Webhooks. Met Webhooks kunnen aangepaste integratie-apps zich abonneren op gebeurtenissen in Workplace en updates in realtime ontvangen. Wanneer er een wijziging optreedt in Workplace, wordt een HTTPS POST-aanvraag met gebeurtenisgegevens verzonden naar de URL van een callback-gegevensconnector. Raadpleeg de documentatie voor Webhooks voor meer informatie. De connector biedt mogelijkheden om gebeurtenissen te verkrijgen die helpen bij het onderzoeken van mogelijke beveiligingsrisico's, het gebruik van samenwerking analyseren, configuratieproblemen diagnosticeren en meer.
Dit is automatisch gegenereerde inhoud. Neem contact op met de provider van de oplossing voor wijzigingen.
Verbinding maken orkenmerken
| Verbinding maken orkenmerk | Beschrijving |
|---|---|
| Log Analytics-tabellen | Workplace_Facebook_CL |
| Ondersteuning voor regels voor gegevensverzameling | Wordt momenteel niet ondersteund |
| Ondersteund door | Microsoft Corporation |
Voorbeelden van query's
Werkplekgebeurtenissen - alle activiteiten.
Workplace_Facebook_CL
| sort by TimeGenerated desc
Vereisten
Zorg ervoor dat u het volgende hebt om te integreren met Workplace van Facebook (met behulp van Azure Functions):
- Machtigingen voor Microsoft.Web/sites: Lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Raadpleeg de documentatie voor meer informatie over Azure Functions.
- Webhooks-referenties/machtigingen: WorkplaceAppSecret, WorkplaceVerifyToken, Callback-URL zijn vereist voor het werken met Webhooks. Zie de documentatie voor meer informatie over het configureren van webhooks en het configureren van machtigingen.
Installatie-instructies van leverancier
Notitie
Deze gegevensconnector maakt gebruik van Azure Functions op basis van HTTP-trigger voor het wachten op POST-aanvragen met logboeken om de logboeken in Microsoft Sentinel op te halen. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met prijzen van Azure Functions voor meer informatie.
(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies voor het gebruik van Azure Key Vault met een Azure Functions-app.
Notitie
Deze gegevensconnector is afhankelijk van een parser die is gebaseerd op een Kusto-functie om te werken zoals verwacht. Deze wordt geïmplementeerd als onderdeel van de oplossing. Als u de functiecode in Log Analytics wilt weergeven, opent u de blade Log Analytics/Microsoft Sentinel-logboeken, klikt u op Functies en zoekt u naar de alias WorkplaceFacebook en laadt u de functiecode of klikt u hier op de tweede regel van de query, voert u de hostnaam(s) van uw Workplace Facebook-apparaat(en) en eventuele andere unieke id's voor de logstream in. Het duurt meestal 10-15 minuten voordat de functie wordt geactiveerd na de installatie/update van de oplossing.
STAP 1: configuratiestappen voor de werkplek
Volg de instructies voor het configureren van webhooks.
- Meld u aan bij workplace met Beheer gebruikersreferenties.
- Klik in het deelvenster Beheer op Integraties.
- Klik in de weergave Alle integraties op Aangepaste integratie maken
- Voer de naam en beschrijving in en klik op Maken.
- Geef in het deelvenster Integratiedetails het app-geheim en de kopie weer.
- Stel in de pannel met integratiemachtigingen alle leesmachtigingen in. Raadpleeg de machtigingspagina voor meer informatie.
- Ga nu verder met STAP 2 om de stappen te volgen (vermeld in optie 1 of 2) om de Azure-functie te implementeren.
- Voer de aangevraagde parameters in en voer ook een token naar keuze in. Kopieer dit token/noteer het voor de volgende stap.
- Nadat de implementatie van Azure Functions is voltooid, opent u de pagina Functie-app, selecteert u uw app, gaat u naar Functions, klikt u op Functie-URL ophalen en kopieert u deze/noteer deze voor de volgende stap.
- Ga terug naar Workplace vanaf Facebook. In het deelvenster Webhooks configureren op elk tabblad stelt u de callback-URL in als dezelfde waarde die u in punt 9 hierboven hebt gekopieerd en controleert u het token als dezelfde waarde die u in punt 8 hierboven hebt gekopieerd, die is verkregen tijdens stap 2 van de Azure Functions-implementatie.
- Klik op Opslaan.
STAP 2: Kies ER EEN uit de volgende twee implementatieopties om de connector en de bijbehorende Azure Functions te implementeren
BELANGRIJK: Voordat u de workplace-gegevensconnector implementeert, moet u de werkruimte-id en primaire sleutel van de werkruimte hebben (u kunt de volgende gegevens kopiëren).
Volgende stappen
Ga naar de gerelateerde oplossing in Azure Marketplace voor meer informatie.