Dela via

Dataminr Pulse Alerts Data Connector (med Azure Functions)-anslutningsprogram för Microsoft Sentinel

  • Artikel

Dataminr Pulse Alerts Data Connector ger vår AI-baserade realtidsinformation till Microsoft Sentinel för snabbare hotidentifiering och svar.

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslutningsattribut

Anslutningsattribut beskrivning
Kod för Azure-funktionsapp https://aka.ms/sentinel-DataminrPulseAlerts-functionapp
Log Analytics-tabeller DataminrPulse_Alerts_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Stöd för Dataminr

Exempel på frågor

Dataminr Pulse-aviseringar Data för alla alertTypes

DataminrPulse_Alerts_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med Dataminr Pulse Alerts Data Connector (med Azure Functions) kontrollerar du att du har:

  • Azure-prenumeration: Azure-prenumeration med ägarroll krävs för att registrera ett program i Microsoft Entra-ID och tilldela rollen deltagare till appen i resursgruppen.
  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
  • Nödvändiga autentiseringsuppgifter/behörigheter för Dataminr:

a. Användare måste ha ett giltigt Dataminr Pulse API-klient-ID och hemlighet för att kunna använda den här dataanslutningen.

b. En eller flera Dataminr Pulse Watchlists måste konfigureras på Dataminr Pulse-webbplatsen.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till DataminrPulse där loggar skickas via Dataminr RTAP och matar in loggar i Microsoft Sentinel. Dessutom hämtar anslutningsappen inmatade data från den anpassade loggtabellen och skapar hotinformationsindikatorer i Microsoft Sentinel Threat Intelligence. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

STEG 1 – Autentiseringsuppgifter för Dataminr Pulse-klient-ID och klienthemlighet

  • Hämta Dataminr Pulse-användar-ID/lösenord och API-klient-ID/hemlighet från din Dataminr Customer Success Manager (CSM).

STEG 2 – Konfigurera bevakningslistor i Dataminr Pulse-portalen.

Följ stegen i det här avsnittet för att konfigurera visningslistor i portalen:

  1. Logga in på Dataminr Pulse-webbplatsen.

  2. Klicka på kugghjulsikonen för inställningar och välj Hantera listor.

  3. Välj den typ av visningslista som du vill skapa (Cyber, Ämne, Företag osv.) och klicka på knappen Ny lista .

  4. Ange ett namn för din nya visningslista och välj en markeringsfärg för den eller behåll standardfärgen.

  5. När du är klar med att konfigurera visningslistan klickar du på Spara för att spara den.

STEG 3 – Steg för appregistrering för programmet i Microsoft Entra-ID

Den här integreringen kräver en appregistrering i Azure Portal. Följ stegen i det här avsnittet för att skapa ett nytt program i Microsoft Entra-ID:

  1. Logga in på Azure-portalen.
  2. Sök efter och markera Microsoft Entra ID.
  3. Under Hantera väljer du Appregistreringar > Ny registrering.
  4. Ange ett visningsnamn för programmet.
  5. Välj Registrera för att slutföra den första appregistreringen.
  6. När registreringen är klar visar Azure Portal appregistreringens översiktsfönster. Du ser program-ID :t (klient)-ID:t och klient-ID:t. Klient-ID och klient-ID krävs som konfigurationsparametrar för körning av DataminrPulse Data Connector.

Referenslänk: /azure/active-directory/develop/quickstart-register-app

STEG 4 – Lägga till en klienthemlighet för program i Microsoft Entra-ID

Ibland kallas ett programlösenord, en klienthemlighet är ett strängvärde som krävs för körning av DataminrPulse Data Connector. Följ stegen i det här avsnittet för att skapa en ny klienthemlighet:

  1. I Azure Portal i Appregistreringar väljer du ditt program.
  2. Välj Certifikat och hemligheter > Klienthemligheter > Ny klienthemlighet.
  3. Lägg till en beskrivning för din klienthemlighet.
  4. Välj en förfallotidpunkt för hemligheten eller ange en anpassad livslängd. Gränsen är 24 månader.
  5. Markera Lägga till.
  6. Registrera hemlighetens värde för användning i klientprogramkoden. Hemlighetens värde visas aldrig igen när du har lämnat den här sidan. Det hemliga värdet krävs som konfigurationsparameter för körning av DataminrPulse Data Connector.

Referenslänk: /azure/active-directory/develop/quickstart-register-app#add-a-client-secret

STEG 5 – Tilldela rollen deltagare till program i Microsoft Entra-ID

Följ stegen i det här avsnittet för att tilldela rollen:

  1. I Azure Portal går du till Resursgrupp och väljer din resursgrupp.
  2. Gå till Åtkomstkontroll (IAM) från den vänstra panelen.
  3. Klicka på Lägg till och välj sedan Lägg till rolltilldelning.
  4. Välj Deltagare som roll och klicka på nästa.
  5. I Tilldela åtkomst till väljer du User, group, or service principal.
  6. Klicka på Lägg till medlemmar och skriv ditt appnamn som du har skapat och välj det.
  7. Klicka nu på Granska + tilldela och klicka sedan igen på Granska + tilldela.

Referenslänk: /azure/role-based-access-control/role-assignments-portal

STEG 6 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar Dataminr Pulse Microsoft Sentinel-dataanslutningen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande) lättillgängliga.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av DataminrPulse-anslutningsappen.

  1. Klicka på knappen Distribuera till Azure nedan.

    Distribuera till Azure

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange informationen nedan: Funktionsnamn Arbetsytans ID-arbetsytenyckelaviseringarTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId SchemaloggLevel

  4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan.

  5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera Dataminr Pulse Microsoft Sentinel-dataanslutningen manuellt med Azure Functions (distribution via Visual Studio Code).

  1. Distribuera en funktionsapp

Kommentar

Du måste förbereda VS-kod för azure-funktionsutveckling.

  1. Ladda ned Azure Function App-filen. Extrahera arkivet till din lokala utvecklingsdator.

  2. Starta VS Code. Välj Arkiv på huvudmenyn och välj Öppna mapp.

  3. Välj mappen på den översta nivån från extraherade filer.

  4. Välj Azure-ikonen i aktivitetsfältet och välj sedan knappen Distribuera till funktionsapp i området Azure: Functions. Om du inte redan är inloggad väljer du Azure-ikonen i aktivitetsfältet. I området Azure: Functions väljer du Logga in på Azure Om du redan är inloggad går du till nästa steg.

  5. Ange följande information i meddelanderutorna:

    a. Välj mapp: Välj en mapp från arbetsytan eller bläddra till en som innehåller din funktionsapp.

    b. Välj Prenumeration: Välj den prenumeration som ska användas.

    c. Välj Skapa ny funktionsapp i Azure (välj inte alternativet Avancerat)

    d. Ange ett globalt unikt namn för funktionsappen: Ange ett namn som är giltigt i en URL-sökväg. Namnet du skriver verifieras för att se till att det är unikt i Azure Functions. (t.ex. DmPulseXXXXX).

    e. Välj en körning: Välj Python 3.8 eller senare.

    f. Välj en plats för nya resurser. För bättre prestanda och lägre kostnader väljer du samma region där Microsoft Sentinel finns.

  6. Distributionen påbörjas. Ett meddelande visas när funktionsappen har skapats och distributionspaketet har tillämpats.

  7. Gå till Azure-portalen för konfigurationen av funktionsappen.

  1. Konfigurera funktionsappen
  1. I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.
  2. På fliken Programinställningar väljer du + Ny programinställning.
  3. Lägg till var och en av följande programinställningar individuellt med sina respektive värden (skiftlägeskänsligt): Funktionsnamn Arbetsytans ID-arbetsytenyckelaviseringarTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel logAnalyticsUri (valfritt)
  • Använd logAnalyticsUri för att åsidosätta LOG Analytics API-slutpunkten för dedikerade moln. För offentliga moln lämnar du till exempel värdet tomt. för Azure GovUS-molnmiljö anger du värdet i följande format: https://<CustomerId>.ods.opinsights.azure.us.
  1. När alla programinställningar har angetts klickar du på Spara.

STEG 7 – Steg efter distribution

  1. Hämta funktionsappens slutpunkt
  1. Gå till översiktssidan för Azure-funktionen och klicka på "Funktioner" på det vänstra bladet.
  2. Klicka på funktionen "DataminrPulseAlertsHttpStarter".
  3. Gå till "GetFunctionurl" och kopiera funktions-URL:en.
  4. Ersätt {functionname} med "DataminrPulseAlertsSentinelOrchestrator" i den kopierade funktions-URL:en.
  1. Så här lägger du till integreringsinställningar i Dataminr RTAP med hjälp av funktions-URL:en
  1. Öppna alla API-begärandeverktyg.
  2. Klicka på +för att skapa en ny begäran.
  3. Välj METODEN FÖR HTTP-begäran som "POST".
  4. Ange url:en som är fördokumenterad i punkt 1) i url-delen för begäran.
  5. I Brödtext väljer du rå JSON och anger begärandetext enligt nedan(skiftlägeskänslig): { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }
  6. När du har angett all nödvändig information klickar du på Skicka.
  7. Du får ett integreringsinställnings-ID i HTTP-svaret med statuskoden 200.
  8. Spara integrations-ID för framtida referens.

Nu är vi klara med att lägga till integreringsinställningar för Dataminr RTAP. När Dataminr RTAP skickar en aviseringsdata utlöses funktionsappen och du bör kunna se aviseringsdata från Dataminr Pulse till LogAnalytics-arbetsytetabellen med namnet "DataminrPulse_Alerts_CL".

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.