Conector ZeroFox CTI (usando Azure Functions) para Microsoft Sentinel
Os conectores de dados ZeroFox CTI fornecem a capacidade de ingerir os diferentes alertas de inteligência contra ameaças cibernéticas ZeroFox no Microsoft Sentinel.
Esse é conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.
Atributos do conector
| Atributo do conector | Description |
|---|---|
| Tabela(s) do Log Analytics | ZeroFox_CTI_advanced_dark_web_CL ZeroFox_CTI_botnet_CL ZeroFox_CTI_breaches_CL ZeroFox_CTI_C2_CL ZeroFox_CTI_compromised_credentials_CL ZeroFox_CTI_credit_cards_CL ZeroFox_CTI_dark_web_CL ZeroFox_CTI_discord_CL ZeroFox_CTI_disruption_CL ZeroFox_CTI_email_addresses_CL ZeroFox_CTI_exploits_CL ZeroFox_CTI_irc_CL ZeroFox_CTI_malware_CL ZeroFox_CTI_national_ids_CL ZeroFox_CTI_phishing_CL ZeroFox_CTI_phone_numbers_CL ZeroFox_CTI_ransomware_CL ZeroFox_CTI_telegram_CL ZeroFox_CTI_threat_actors_CL ZeroFox_CTI_vulnerabilities_CL |
| Suporte às regras de coleta de dados | Sem suporte no momento |
| Com suporte por | ZeroFox |
Exemplos de consulta
Logs de domínios C2 do ZeroFox CTI
ZeroFox_CTI_C2_CL
| sort by TimeGenerated desc
Logs de endereços de email do ZeroFox CTI
ZeroFox_CTI_email_addresses_CL
| sort by TimeGenerated desc
Logs de malware do ZeroFox CTI
ZeroFox_CTI_malware_CL
| sort by TimeGenerated desc
Pré-requisitos
Para integrar com ZeroFox CTI (usando Azure Functions), certifique-se de ter:
- Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
- Credenciais/permissões da API ZeroFox: Nome de Usuário do ZeroFox, Token de Acesso Pessoal do ZeroFox são necessários para a API REST do ZeroFox CTI.
Instruções de instalação do fornecedor
Observação
Esse conector usa o Azure Functions para se conectar à API REST do ZeroFox CTI para efetuar pull dos logs no Microsoft Sentinel. Isso pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.
(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.
ETAPA 1 – Recuperação de credenciais do ZeroFox:
Siga estas instruções para configurar o registro em log e obter credenciais.
- Faça logon no site do ZeroFox. usando seu nome de usuário e senha 2 – Clique no botão Configurações e acesse a Seção Conectores de Dados. 3 – Selecione a guia FAPI DATA FEEDS e vá para a parte inferior da página, selecione Redefinir na caixa Informações da API para obter um Token de Acesso Pessoal a ser usado com o nome de usuário.
**ETAPA 2 – Implante os conectores de dados do Azure Function usando o modelo do Azure Resource Manager: **
IMPORTANTE: antes de implantar o conector do ZeroFox CTI, tenha em mãos a ID do espaço de trabalho e a Chave primária do espaço de trabalho (é possível copiá-las do exemplo a seguir).
Preparando recursos para implantação.
Clique no botão Implantar no Azure abaixo.
Selecione a Assinatura, o Grupo de Recursos, o workspace do Log Analytics e o Local de sua preferência.
Insira o ID do Workspace, a Chave do Workspace, o Nome de Usuário do ZeroFox o e Token de Acesso Pessoal do ZeroFox
Selecione Revisar + criar para implantar.
Próximas etapas
Para obter mais informações, acesse a solução relacionada no Azure Marketplace.