Dela via

Anslutningsprogram för Google Workspace (G Suite) (med Azure Functions) för Microsoft Sentinel

  • Artikel

Dataanslutningsappen för Google Workspace ger möjlighet att mata in händelser för Google Workspace Activity i Microsoft Sentinel via REST-API:et. Anslutningsappen ger möjlighet att hämta händelser som hjälper till att undersöka potentiella säkerhetsrisker, analysera ditt teams användning av samarbete, diagnostisera konfigurationsproblem, spåra vem som loggar in och när, analysera administratörsaktivitet, förstå hur användare skapar och delar innehåll och fler granskningshändelser i din organisation.

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslut ellerattribut

Anslut ellerattribut beskrivning
Kod för Azure-funktionsapp https://aka.ms/sentinel-GWorkspaceReportsAPI-functionapp
Log Analytics-tabeller GWorkspace_ReportsAPI_admin_CL
GWorkspace_ReportsAPI_calendar_CL
GWorkspace_ReportsAPI_drive_CL
GWorkspace_ReportsAPI_login_CL
GWorkspace_ReportsAPI_mobile_CL
GWorkspace_ReportsAPI_token_CL
GWorkspace_ReportsAPI_user_accounts_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Microsoft Corporation

Exempel på frågor

Google Workspace Events – Alla aktiviteter

GWorkspaceActivityReports

| sort by TimeGenerated desc

Google Workspace-händelser – administratörsaktivitet

GWorkspace_ReportsAPI_admin_CL

| sort by TimeGenerated desc

Google Workspace-händelser – kalenderaktivitet

GWorkspace_ReportsAPI_calendar_CL

| sort by TimeGenerated desc

Google Workspace-händelser – Drive Activity

GWorkspace_ReportsAPI_drive_CL

| sort by TimeGenerated desc

Google Workspace-händelser – inloggningsaktivitet

GWorkspace_ReportsAPI_login_CL

| sort by TimeGenerated desc

Google Workspace-händelser – Mobil aktivitet

GWorkspace_ReportsAPI_mobile_CL

| sort by TimeGenerated desc

Google Workspace-händelser – tokenaktivitet

GWorkspace_ReportsAPI_token_CL

| sort by TimeGenerated desc

Google Workspace-händelser – Aktivitet för användarkonton

GWorkspace_ReportsAPI_user_accounts_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med Google Workspace (G Suite) (med Hjälp av Azure Functions) kontrollerar du att du har:

  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
  • REST API-autentiseringsuppgifter/behörigheter: GooglePickleString krävs för REST API. Mer information om API finns i dokumentationen. Se anvisningarna för att hämta autentiseringsuppgifterna i konfigurationsavsnittet nedan. Du kan kontrollera alla krav och följa anvisningarna här också.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till Google Reports-API:et för att hämta loggarna till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

Obs! Den här dataanslutningen är beroende av en parser baserat på en Kusto-funktion för att fungera som förväntat som distribueras som en del av lösningen. Om du vill visa funktionskoden i Log Analytics öppnar du bladet Log Analytics/Microsoft Sentinel-loggar, klickar på Funktioner och söker efter aliaset GWorkspaceReports och läser in funktionskoden. På den andra raden i frågan anger du värdnamnen för dina GWorkspaceReports-enheter och andra unika identifierare för logstreamen. Funktionen tar vanligtvis 10–15 minuter att aktivera efter installationen/uppdateringen av lösningen.

STEG 1 – Se till att kraven för att få Google Pickel String

  1. Python 3 eller senare är installerat.
  2. Pip-pakethanteringsverktyget är tillgängligt.
  3. En Google Workspace-domän med API-åtkomst aktiverad.
  4. Ett Google-konto i domänen med administratörsbehörighet.

STEG 2 – Konfigurationssteg för Google Reports API

  1. Logga in på Google-molnkonsolen med dina autentiseringsuppgifter https://console.cloud.google.comför arbetsytans administratör .
  2. Med sökalternativet (tillgängligt längst upp i mitten) söker du efter API:er och tjänster
  3. Från API:er och tjänster ->Aktiverade API:er och tjänster aktiverar du Admin SDK API för det här projektet.
  4. Gå till SKÄRMEN API:er och tjänster –>OAuth-medgivande. Om du inte redan har konfigurerat skapar du en OAuth-medgivandeskärm med följande steg:
    1. Ange appnamn och annan obligatorisk information.
    2. Lägg till auktoriserade domäner med API-åtkomst aktiverat.
    3. I avsnittet Omfång lägger du till API-omfånget Admin SDK.
    4. I avsnittet Testanvändare kontrollerar du att domänadministratörskontot har lagts till.
  5. Gå till API:er och tjänster –> Autentiseringsuppgifter och skapa OAuth 2.0-klient-ID
    1. Klicka på Skapa autentiseringsuppgifter överst och välj Oauth-klient-ID.
    2. Välj Webbprogram i listrutan Programtyp.
    3. Ange ett lämpligt namn för webbappen och lägg till http://localhost:8081/ som en av de auktoriserade omdirigerings-URI:erna.
    4. När du klickar på Skapa laddar du ned JSON från popup-fönstret som visas. Byt namn på filen till "credentials.json".
  6. Om du vill hämta Google Pickel String kör du python-skriptet från samma mapp där credentials.json sparas.
    1. När du dyker upp för inloggning använder du autentiseringsuppgifterna för domänadministratörskontot för att logga in.

Obs! Det här skriptet stöds endast i Windows-operativsystemet. 7. Från utdata från föregående steg kopierar du Google Pickle String (som finns inom enkla citattecken) och håller det praktiskt. Det behövs i distributionssteget för funktionsappen.

STEG 3 – Välj EN bland följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar dataanslutningsappen för arbetsytan måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande), samt GooglePickleString för arbetsytan.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av Data Connector för Google Workspace med hjälp av en ARM-mall.

  1. Klicka på knappen Distribuera till Azure nedan.

    Distribuera till Azure

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange arbetsyte-ID, arbetsytenyckel, GooglePickleString och distribuera.

  4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan.

  5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera Data Connector för Google Workspace manuellt med Azure Functions (distribution via Visual Studio Code).

1. Distribuera en funktionsapp

Obs! Du måste förbereda VS-kod för Azure-funktionsutveckling.

  1. Ladda ned Azure Function App-filen. Extrahera arkivet till din lokala utvecklingsdator.

  2. Starta VS Code. Välj Arkiv på huvudmenyn och välj Öppna mapp.

  3. Välj mappen på den översta nivån från extraherade filer.

  4. Välj Azure-ikonen i aktivitetsfältet och välj sedan knappen Distribuera till funktionsapp i området Azure: Functions. Om du inte redan är inloggad väljer du Azure-ikonen i aktivitetsfältet. I området Azure: Functions väljer du Logga in på Azure Om du redan är inloggad går du till nästa steg.

  5. Ange följande information i meddelanderutorna:

    a. Välj mapp: Välj en mapp från arbetsytan eller bläddra till en som innehåller din funktionsapp.

    b. Välj Prenumeration: Välj den prenumeration som ska användas.

    c. Välj Skapa ny funktionsapp i Azure (välj inte alternativet Avancerat)

    d. Ange ett globalt unikt namn för funktionsappen: Ange ett namn som är giltigt i en URL-sökväg. Namnet du skriver verifieras för att se till att det är unikt i Azure Functions. (t.ex. GWorkspaceXXXXX).

    e. Välj en körning: Välj Python 3.8.

    f. Välj en plats för nya resurser. För bättre prestanda och lägre kostnader väljer du samma region där Microsoft Sentinel finns.

  6. Distributionen påbörjas. Ett meddelande visas när funktionsappen har skapats och distributionspaketet har tillämpats.

  7. Gå till Azure-portalen för konfigurationen av funktionsappen.

2. Konfigurera funktionsappen

  1. I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.

  2. På fliken Programinställningar väljer du ** Ny programinställning**.

  3. Lägg till var och en av följande programinställningar individuellt med sina respektive strängvärden (skiftlägeskänsliga): GooglePickleString WorkspaceID WorkspaceKey logAnalyticsUri (valfritt)

  4. (Valfritt) Ändra standardfördröjningarna om det behövs.

    Obs! Följande standardvärden för inmatningsfördröjningar har lagts till för olika uppsättningar loggar från Google Workspace baserat på Google-dokumentation. Dessa kan ändras baserat på miljökrav. Hämta fördröjning – 10 minuter Kalenderhämtningsfördröjning – 6 timmar Chatthämtningsfördröjning – 1 dag Användarkonton Hämta fördröjning – 3 timmar Hämtningsfördröjning för inloggning – 6 timmar

  5. Använd logAnalyticsUri för att åsidosätta LOG Analytics API-slutpunkten för dedikerade moln. För offentliga moln lämnar du till exempel värdet tomt. för Azure GovUS-molnmiljö anger du värdet i följande format: https://<CustomerId>.ods.opinsights.azure.us.

  6. När alla programinställningar har angetts klickar du på Spara.

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.