Conector CommvaultSecurityIQ (usando Azure Functions) para Microsoft Sentinel

Artigo
12/19/2024

Essa função do Azure permite que os usuários do Commvault ingiram alertas/eventos em sua instância do Microsoft Sentinel. Com o Analytic Rules, o Microsoft Sentinel pode criar automaticamente incidentes do Microsoft Sentinel a partir de eventos e logs recebidos.

Esse é conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Atributo do conector	Description
Configurações de aplicativo	apiUsername apipassword apiToken workspaceID workspaceKey uri logAnalyticsUri (opcional)(adicione outras configurações exigidas pelo aplicativo de funções)Defina o valor `uri` como: `<add uri value>`
Código do aplicativo de funções do Azure	Adicionar%20o link%20do GitHub%20ao%20código do%20aplicativo de%20funções
Tabela(s) do Log Analytics	CommvaultSecurityIQ_CL
Suporte às regras de coleta de dados	Sem suporte no momento
Com suporte por	Commvault

Exemplos de consulta

**Últimos 10 eventos/alertas **

CommvaultSecurityIQ_CL 

| where TimeGenerated > ago(24h) 

| limit 10

Pré-requisitos

Para integrar com o CommvaultSecurityIQ (usando o Azure Functions), certifique-se de ter:

Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
URL do ponto de extremidade do ambiente Commvault: certifique-se de seguir a documentação e definir o valor secreto no KeyVault
Token QSDK Commvault: certifique-se de seguir a documentação e definir o valor secreto no KeyVault

Instruções de instalação do fornecedor

Observação

Esse conector usa o Azure Functions para se conectar a uma instância do Commvault e extrair seus logs para o Microsoft Sentinel. Isso pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.

STEP 1 - Etapas de configuração para o token Commvalut QSDK

Siga estas instruções para criar um token da API.

ETAPA 2: Escolha UMA das duas opções de implantação a seguir para implantar o conector e a Função do Azure associada

IMPORTANT: Antes de implantar o conector de dados CommvaultSecurityIQ, tenha o ID do Workspace e a Chave Primária do Workspace (que podem ser copiados do seguinte), bem como o URL do Endpoint Commvault e o Token QSDK, prontamente disponíveis.

Opção 1 – Modelo do Azure Resource Manager (ARM)

Use esse método para implantação automatizada do conector de dados do Commvault Security IQ.

Clique no botão Implantar no Azure abaixo.
Selecione a Assinatura, o Grupo de Recursos e o Local de sua preferência.
Insira a ID do espaço de trabalho, a chave do espaço de trabalho, o nome de usuário da API, a senha da API e/ou outros campos necessários.

Observação: se você usa segredos do Azure Key Vault para um dos valores acima, use o @Microsoft.KeyVault(SecretUri={Security Identifier})esquema no lugar dos valores da cadeia de caracteres. Para obter mais detalhes, consulte a documentação de referências do Key Vault. 4. Marque a caixa de seleção com o rótulo Concordo com os termos e condições declarados acima. 5. Clique em Comprar para implantar.

Opção 2 – Implantação Manual do Azure Functions

Use as instruções passo a passo a seguir para implantar o conector de dados CommvaultSecurityIQ manualmente com o Azure Functions.

Criar um aplicativo de funções
No portal do Azure, acesse o aplicativo de funções.
Clique em +Adicionar na parte superior.
Na guia Básico, verifique se a pilha Runtime está definida como "Adicionar linguagem necessária".
Na guia Hospedagem, verifique se o Tipo de plano está definido como Adicionar tipo de plano.
"Adicionar outras configurações necessárias".
Faça outras alterações de configuração preferenciais, se necessário, e clique em Criar.
Importar código de aplicativo de funções
No aplicativo de funções recém-criado, selecione Funções no menu de navegação e clique em + Adicionar.
Selecione Gatilho do temporizador.
Insira um Nome exclusivo no campo "Nova função" e deixe o agendamento padrão para cada cinco minutos. Depois, clique em Criar função.
Clique no nome da função e em Código + Teste no painel esquerdo.
Copie o Código do aplicativo de funções e cole-o no editor run.ps1 do aplicativo de funções.
Clique em Salvar.
Configurar o aplicativo de funções
Na tela do aplicativo de funções, clique no nome e selecione Configuração.
Na guia Configurações do aplicativo, selecione + Novas configurações do aplicativo.
Adicione cada uma das seguintes configurações de aplicativo 'x (número de)' individualmente, em Nome, com seus respectivos valores de cadeia de caracteres (diferenciando maiúsculas de minúsculas) no Valor: apiUsername apipassword apiToken workspaceID workspaceKey uri logAnalyticsUri (opcional) (adicione outras configurações exigidas pelo aplicativo de funções) Defina o valor uri como: <add uri value>

Observação: se você usa segredos do Azure Key Vault para um dos valores acima, use o @Microsoft.KeyVault(SecretUri={Security Identifier})esquema no lugar dos valores da cadeia de caracteres. Para saber mais detalhes, confira a documentação de referências do Azure Key Vault.

Use logAnalyticsUri para substituir o ponto de extremidade da API de análise de logs para uma nuvem dedicada. Por exemplo, para a nuvem pública, deixe o valor vazio; para o ambiente de nuvem do Azure GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

Após todas as configurações do aplicativo terem sido inseridas, clique em Salvar.

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.

Compartilhar via