Dela via

Qualys Vulnerability Management -anslutningsprogram (med Azure Functions) för Microsoft Sentinel

  • Artikel

Qualys Sårbarhetshantering (VM) dataanslutning ger möjlighet att mata in sårbarhetsvärdens identifieringsdata i Microsoft Sentinel via Qualys-API:et. Anslutningsappen ger insyn i värdidentifieringsdata från sårbarhetsgenomsökningar. Den här anslutningsappen ger Microsoft Sentinel möjlighet att visa instrumentpaneler, skapa anpassade aviseringar och förbättra undersökningen

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslutningsattribut

Anslutningsattribut beskrivning
Programinställningar apiUsername
apiPassword
workspaceID
workspaceKey
uri
filterParametrar
timeInterval
logAnalyticsUri (valfritt)
Kod för Azure-funktionsapp https://aka.ms/sentinel-QualysVM-functioncodeV2
Log Analytics-tabeller QualysHostDetectionV2_CL
QualysHostDetection_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Microsoft Corporation

Exempel på frågor

De 10 främsta qualys V2-sårbarheterna har identifierats

QualysHostDetectionV2_CL

| extend Vulnerability = tostring(QID_s)

| summarize count() by Vulnerability

| top 10 by count_

De 10 främsta säkerhetsriskerna har identifierats

QualysHostDetection_CL

| mv-expand todynamic(Detections_s)

| extend Vulnerability = tostring(Detections_s.Results)

| summarize count() by Vulnerability

| top 10 by count_

Förutsättningar

Om du vill integrera med Qualys Vulnerability Management (med Hjälp av Azure Functions) kontrollerar du att du har:

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till en virtuell Qualys-dator för att hämta loggarna till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

STEG 1 – Konfigurationssteg för QUALYS VM API

  1. Logga in på qualys vulnerability management-konsolen med ett administratörskonto, välj fliken Användare och underfliken Användare .
  2. Klicka på den nedrullningsbara menyn Ny och välj Användare..
  3. Skapa ett användarnamn och lösenord för API-kontot.
  4. På fliken Användarroller kontrollerar du att kontorollen är inställd på Manager och att åtkomst tillåts till GUI och API
  5. Logga ut från administratörskontot och logga in på konsolen med de nya API-autentiseringsuppgifterna för validering och logga sedan ut från API-kontot.
  6. Logga tillbaka till konsolen med ett administratörskonto och ändra API-kontonas användarroller, vilket tar bort åtkomsten till GUI.
  7. Spara alla ändringar.

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar Qualys VM-anslutningsappen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande), samt Qualys VM API Authorization Key(er) som är lättillgängliga.

Kommentar

Den här anslutningsappen har uppdaterats, om du tidigare har distribuerat en tidigare version och vill uppdatera, ta bort den befintliga Qualys VM Azure-funktionen innan du distribuerar om den här versionen. Använd Qualys V2-version Arbetsbok, identifieringar.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av Qualys VM-anslutningsappen med hjälp av en ARM-mall.

  1. Klicka på knappen Distribuera till Azure nedan.

    Distribuera till Azure Deploy to Azure Gov

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange arbetsyte-ID, arbetsytenyckel, API-användarnamn, API-lösenord, uppdatera URI:n och eventuella ytterligare URI-filterparametrar (varje filter ska avgränsas med en "&" symbol, inga blanksteg.)

  • Ange den URI som motsvarar din region. Den fullständiga listan över API Server-URL:er finns här – Det finns inget behov av att lägga till ett tidssuffix till URI:n. Funktionsappen lägger dynamiskt till tidsvärdet till URI:n i rätt format.
  • Standardtidsintervallet är inställt på att hämta de senaste fem (5) minuterna av data. Om tidsintervallet behöver ändras rekommenderar vi att du ändrar timerutlösaren för funktionsappen i enlighet med detta (i filen function.json, efter distributionen) för att förhindra överlappande datainmatning.
  • Obs! Om du använder Azure Key Vault-hemligheter för något av värdena ovan använder du@Microsoft.KeyVault(SecretUri={Security Identifier})schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault-referenser. 4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan. 5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera Quayls VM-anslutningsappen manuellt med Azure Functions.

1. Skapa en funktionsapp

  1. Från Azure-portalen går du till Funktionsapp och väljer + Lägg till.
  2. På fliken Grundläggande ser du till att Runtime-stacken är inställd på Powershell Core.
  3. På fliken Värd kontrollerar du att plantypen Förbrukning (serverlös) är markerad.
  4. Gör andra lämpliga konfigurationsändringar om det behövs och klicka sedan på Skapa.

2. Importera funktionsappkod

  1. I den nyligen skapade funktionsappen väljer du Funktioner i den vänstra rutan och klickar på + Ny funktion.
  2. Välj Timer-utlösare.
  3. Ange ett unikt funktionsnamn och lämna standardschemat för cron var 5:e minut och klicka sedan på Skapa.
  4. Klicka på Kod + Test i det vänstra fönstret.
  5. Kopiera funktionsappkoden och klistra in den i funktionsappredigerarenrun.ps1.
  6. Klicka på Spara.

3. Konfigurera funktionsappen

  1. I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.
  2. På fliken Programinställningar väljer du + Ny programinställning.
  3. Lägg till var och en av följande åtta (8) programinställningar individuellt med sina respektive strängvärden (skiftlägeskänsliga): apiUsername apiPassword workspaceID workspaceKey uri filterParameters timeInterval logAnalyticsUri (valfritt)
  • Ange den URI som motsvarar din region. Den fullständiga listan över API Server-URL:er finns här. Värdet uri måste följa följande schema: https://<API Server>/api/2.0/fo/asset/host/vm/detection/?action=list&vm_processed_after= - Det finns inget behov av att lägga till ett tidssuffix till URI:n. Funktionsappen lägger dynamiskt till tidsvärdet till URI:n i rätt format.
  • Lägg till ytterligare filterparametrar för variabeln filterParameters som måste läggas till i URI:n. Varje parameter ska avgränsas med en "&" symbol och bör inte innehålla några blanksteg.
  • timeInterval Ange värdet (i minuter) för 5 att motsvara timerutlösaren för varje 5 minut. Om tidsintervallet behöver ändras rekommenderar vi att du ändrar timerutlösaren för funktionsappen i enlighet med detta för att förhindra överlappande datainmatning.
  • Obs! Om du använder Azure Key Vault använder du@Microsoft.KeyVault(SecretUri={Security Identifier})schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault-referenser.
  • Använd logAnalyticsUri för att åsidosätta LOG Analytics API-slutpunkten för dedikerade moln. För offentliga moln lämnar du till exempel värdet tomt. för Azure GovUS-molnmiljö anger du värdet i följande format: https://<CustomerId>.ods.opinsights.azure.us. 4. När alla programinställningar har angetts klickar du på Spara.

4. Konfigurera host.json.

På grund av den potentiellt stora mängden Qualys-värdidentifieringsdata som matas in kan körningstiden överskrida standardtiden för funktionsappen på fem (5) minuter. Öka tidsgränsens standardvaraktighet till högst tio (10) minuter under förbrukningsplanen för att ge mer tid för funktionsappen att köras.

  1. I funktionsappen väljer du funktionsappens namn och väljer bladet App Service-redigerare .
  2. Klicka på Gå för att öppna redigeraren och välj sedan filen host.json under katalogen wwwroot .
  3. Lägg till raden "functionTimeout": "00:10:00", ovanför managedDependency raden
  4. Se till att SAVED visas i det övre högra hörnet i redigeraren och avsluta sedan redigeraren.

Obs! Om en längre tidsgräns krävs kan du överväga att uppgradera till en App Service-plan

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.