MailRisk by Secure Practice-anslutningsprogram (med Azure Functions) för Microsoft Sentinel
Dataanslutning för att skicka e-postmeddelanden från MailRisk till Microsoft Sentinel Log Analytics.
Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.
Anslut ellerattribut
| Anslut ellerattribut | beskrivning |
|---|---|
| Log Analytics-tabeller | MailRiskEmails_CL |
| Stöd för regler för datainsamling | Stöds för närvarande inte |
| Stöds av | Säker praxis |
Exempel på frågor
Alla e-postmeddelanden
MailRiskEmails_CL
| sort by TimeGenerated desc
E-postmeddelanden med SPF-pass
MailRiskEmails_CL
| where spf_s == 'pass'
| sort by TimeGenerated desc
E-postmeddelanden med specifik kategori
MailRiskEmails_CL
| where Category == 'scam'
| sort by TimeGenerated desc
E-postmeddelanden med länk-URL:ar som innehåller strängen "microsoft"
MailRiskEmails_CL
| sort by TimeGenerated desc
| mv-expand link = parse_json(links_s)
| where link.url contains "microsoft"
Förutsättningar
Om du vill integrera med MailRisk by Secure Practice (med Hjälp av Azure Functions) kontrollerar du att du har:
- Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
- API-autentiseringsuppgifter: Nyckelparet för Api för säker praxis behövs också, som skapas i inställningarna i administratörsportalen. Om du har förlorat din API-hemlighet kan du generera ett nytt nyckelpar (VARNING: Alla andra integreringar som använder det gamla nyckelparet slutar fungera).
Installationsanvisningar för leverantör
Kommentar
Den här anslutningsappen använder Azure Functions för att ansluta till API:et för säker praxis för att skicka loggar till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.
Ha dessa arbetsyte-ID och primärnyckel för arbetsytan (kan kopieras från följande) som är lättillgängliga.
Mall för Azure Resource Manager (ARM)
Använd den här metoden för automatisk distribution av MailRisk-dataanslutningsappen med hjälp av en ARM-mall.
Klicka på knappen Distribuera till Azure nedan.
Välj önskad prenumeration, resursgrupp och plats.
Ange arbetsyte-ID, arbetsytenyckel, API-nyckel för säker praxis, API-hemlighet för säker praxis
Markera kryssrutan märkt Jag godkänner de villkor som anges ovan.
Klicka på Köp för att distribuera.
Manuell distribution
På den öppen källkod lagringsplatsen på GitHub hittar du instruktioner för hur du distribuerar dataanslutningen manuellt.
Nästa steg
Mer information finns i den relaterade lösningen på Azure Marketplace.