Compartilhar via

[Recomendado] Conector de Dados de Nuvem do Infoblox por meio do conector AMA para o Microsoft Sentinel

  • Artigo

O Infoblox Cloud Data Connector permite que você conecte facilmente seus dados Infoblox com o Microsoft Sentinel. Ao conectar logs ao Microsoft Sentinel, você pode aproveitar a pesquisa e correlação, alertas e o enriquecimento da inteligência contra ameaças para cada log.

Esse é conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Atributo do conector Description
Tabela(s) do Log Analytics CommonSecurityLog
Suporte às regras de coleta de dados DCR de transformação do espaço de trabalho
Com suporte por Infoblox

Exemplos de consulta

Retornar todos os logs de consulta/resposta DNS de bloco

CommonSecurityLog

| where DeviceEventClassID has_cs "RPZ"

Retornar todos os logs de consulta/resposta DNS

CommonSecurityLog

| where DeviceEventClassID has_cs "DNS"

Retornar todos os logs de consulta/resposta DHCP

CommonSecurityLog

| where DeviceEventClassID has_cs "DHCP"

Retornar todos os logs de consulta/resposta de logs de serviço

CommonSecurityLog

| where DeviceEventClassID has_cs "Service"

Retornar todos os logs de consulta/resposta de auditoria

CommonSecurityLog

| where DeviceEventClassID has_cs "Audit"

Retornar todos os logs de eventos de segurança dos Filtros de categoria

CommonSecurityLog

| where DeviceEventClassID has_cs "RPZ"

| where AdditionalExtensions has_cs "InfobloxRPZ=CAT_"

Retornar todos os logs de eventos de segurança dos Filtros de aplicativo

CommonSecurityLog

| where DeviceEventClassID has_cs "RPZ"

| where AdditionalExtensions has_cs "InfobloxRPZ=APP_"

Retornar a contagem de ocorrências dos dez principais domínios de TD

CommonSecurityLog

| where DeviceEventClassID has_cs "RPZ" 

| summarize count() by DestinationDnsDomain 

| top 10 by count_ desc

Retornar a contagem das dez principais ocorrências de IPs de origem de TD

CommonSecurityLog

| where DeviceEventClassID has_cs "RPZ" 

| summarize count() by SourceIP 

| top 10 by count_ desc

Retornar concessões DHCP criadas recentemente

CommonSecurityLog

| where DeviceEventClassID == "DHCP-LEASE-CREATE"

Instruções de instalação do fornecedor

IMPORTANTE: esse conector de dados do Microsoft Sentinel pressupõe que um host do conector Infoblox Data já foi criado e configurado no Portal de Serviços de Nuvem (CSP) do Infoblox. Como o Infoblox Data Connector é um recurso da Defesa contra Ameaças, é necessário acesso a uma assinatura apropriada da Defesa contra Ameaças. Confira este guia de início rápido para obter mais informações e requisitos de licenciamento.

  1. Configuração do agente de Syslog do Linux

Instale e configure o agente do Linux para coletar suas mensagens do Syslog no Formato Comum de Evento (CEF) e encaminhá-las para o Microsoft Sentinel.

Observe que os dados de todas as regiões serão armazenados no espaço de trabalho selecionado

1.1 Selecionar ou criar um computador Linux

Selecione ou crie um computador Linux que o Microsoft Sentinel usará como proxy entre a sua solução de segurança e o Microsoft Sentinel. Este computador pode estar no seu ambiente local, no Azure ou em outras nuvens.

1.2 Instalar o coletor CEF no computador Linux

Instale o Microsoft Monitoring Agent no seu computador Linux e configure o computador para escutar na porta necessária e encaminhar mensagens para o espaço de trabalho do Microsoft Sentinel. O coletor CEF coleta mensagens CEF na porta 514 TCP.

  1. Certifique-se de que você tem o Python no seu computador usando o seguinte comando: python -version.
  1. Você deve ter permissões elevadas (sudo) no computador.

Execute o seguinte comando para instalar e aplicar o coletor CEF:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

  1. Configurar o Infoblox para enviar dados do Syslog para o Infoblox Cloud Data Connector para encaminhar para o agente do Syslog

Siga as etapas abaixo para configurar o Infoblox CDC para enviar dados ao Microsoft Sentinel por meio do agente do Linux Syslog.

  1. Navegue até Gerenciar > Conector de dados.
  2. Clique na guia Configuração de destino na parte superior.
  3. Clique em Criar > Syslog.
  • Nome: dê ao novo destino um nome significativo, como Microsoft-Sentinel-Destination.
  • Descrição: opcionalmente, dê a ele uma descrição significativa.
  • Estado: defina o estado como Habilitado.
  • Formato: defina o formato como CEF.
  • FQDN/IP: insira o endereço IP do dispositivo Linux no qual o agente Linux está instalado.
  • Porta: deixe o número da porta em 514.
  • Protocolo: selecione o protocolo desejado e o certificado AC, se aplicável.
  • Clique em Salvar e Fechar.
  1. Clique na guia Configuração do fluxo de tráfego na parte superior.
  2. Clique em Criar.
  • Nome: dê ao novo Fluxo de tráfego um nome significativo, como Microsoft-Sentinel-Flow.
  • Descrição: opcionalmente, dê a ele uma descrição significativa.
  • Estado: defina o estado como Habilitado.
  • Expanda a seção Instância de Serviço.
    • Instância de Serviço: selecione a Instância de Serviço desejada para a qual o serviço do Conector de Dados está habilitado.
  • Expanda a seção Configuração de origem.
    • Fonte: selecione BloxOne Cloud Source.
    • Selecione todos os tipos de log que você deseja coletar. Os tipos de log atualmente com suporte são:
      • Log de consulta/resposta de defesa contra ameaças
      • Log de ocorrências de feeds de ameaças da defesa contra ameaças
      • Log de consulta/resposta DDI
      • Log de concessão DHCP DDI
  • Expanda a seção Configuração de destino.
    • Selecione o Destino você acabou de criar.
  • Clique em Salvar e Fechar.

  1. Permita que a configuração seja ativada por algum tempo.

  2. Validar conexão

Siga as instruções para validar sua conectividade:

Abra o Log Analytics para verificar se os logs são recebidos usando o esquema CommonSecurityLog.

Pode levar cerca de 20 minutos até que a conexão transmita dados para o seu espaço de trabalho.

Se os logs não forem recebidos, execute o seguinte script de validação de conectividade:

  1. Certifique-se de que você tem o Python instalado no seu computador usando o seguinte comando: python -version
  1. Você precisa ter permissões elevadas (sudo) no seu computador

Execute o seguinte comando para validar a sua conectividade:

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

  1. Proteja seu computador

Certifique-se de configurar a segurança do computador de acordo com a política de segurança da sua organização

Saiba mais >

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.