通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用 Azure Functions 将 Microsoft Sentinel 连接到数据源

  • 项目

可以将 Azure Functions 与各种编码语言（如 PowerShell 或 Python）结合使用，以创建到兼容数据源 REST API 终结点的无服务器连接器。 然后，Azure Function Apps 允许将 Microsoft Sentinel 连接到数据源的 REST API 来拉取日志。

本文介绍如何使用 Azure Function Apps 来配置 Microsoft Sentinel。 可能还需要配置源系统，可以在门户中每个数据连接器页或 Microsoft Sentinel 数据连接器参考页中的服务部分查找供应商和产品特定信息链接。

注意

  • 将数据引入 Microsoft Sentinel 后，数据存储在运行 Microsoft Sentinel 的工作区的地理位置。

    对于长期保留，你可能还需要将数据存储在“辅助日志”或“基本日志”等日志类型中。 有关详细信息，请参阅 Microsoft Sentinel 中的日志保留计划。

  • 使用 Azure Functions 将数据引入 Microsoft Sentinel 可能会导致额外的数据引入成本。 有关详细信息，请参阅 Azure Functions 定价页。

先决条件

在使用 Azure Functions 连接到数据源 Microsoft Sentinel 以及在 Microsoft Sentinel 中拉取其日志之前，请确保具有以下权限和凭据：

  • 必须对 Microsoft Sentinel 工作区拥有读取和写入权限。

  • 必须有工作区的共享密钥的读取权限。 详细了解工作区密钥。

  • 必须具有 Azure Functions 的读取和写入权限，用于创建函数应用。 详细了解 Azure Functions。

  • 还需要凭据才能访问产品的 API - 用户名和密码、令牌、密钥或其他组合。 可能还需要其他 API 信息，例如终结点 URI。

    有关详细信息，请参阅要连接到的服务的文档以及 Microsoft Sentinel 数据连接器参考页中的服务部分。

  • 从 Microsoft Sentinel 的内容中心安装包含基于 Azure Function 的连接器的解决方案。 有关详细信息，请参阅发现和管理 Microsoft Sentinel 的现成内容。

配置和连接数据源

注意

  • 可以将工作区和 API 授权密钥或令牌安全地存储在 Azure Key Vault 中。 Azure Key Vault 提供了一种存储和检索键值的安全机制。 按照这些说明，将 Azure Key Vault 与 Azure 函数应用结合使用。

  • 某些数据连接器依赖于基于 Kusto 函数的分析程序才能按预期方式工作。 有关用于创建 Kusto 函数和别名的说明，请参阅 Microsoft Sentinel 数据连接器参考页中的服务部分。

步骤 1：获取源系统的 API 凭据

按照源系统的说明获取其“API 凭据/授权密钥/令牌”。 将其复制并粘贴到文本文件中，供稍后使用。

可以在门户的数据连接器页和 Microsoft Sentinel 数据连接器参考页的服务部分找到所需的确切凭据的详细信息，以及指向产品查找或创建说明的链接。

可能还需在源系统上配置日志记录或其他设置。 你将找到相关的以及上一段落中的说明。

步骤 2：部署连接器和关联的 Azure 函数应用

选择部署选项

此方法使用 ARM 模板自动部署基于 Azure 函数的连接器。

  1. 在 Microsoft Sentinel 门户中，单击“数据连接器”。 从列表中选择基于 Azure Functions 的连接器，然后选择“打开连接器页面”。

  2. 在“配置”下，复制 Microsoft Sentinel“工作区 ID”和“主密钥”，并粘贴到一旁 。

  3. 选择“部署到 Azure”。 （可能需要向下滚动才能看到此按钮。）

  4. 将显示“自定义部署”屏幕。

    • 选择“订阅”、“资源组”以及“区域”来部署函数应用 。

    • 输入上述步骤 1 中保存的 API 凭据/授权密钥/令牌。

    • 输入复制并放在一旁的 Microsoft Sentinel“工作区 ID”和“工作区密钥”（主密钥） 。

      注意

      如果针对以上任何值使用 Azure Key Vault 机密，请使用 @Microsoft.KeyVault(SecretUri={Security Identifier}) 架构来表示字符串值。 有关更多详细信息，请参阅 Key Vault 参考文档。

    • 在“自定义部署”屏幕上填写窗体中的其他任何字段。 在门户中查看数据连接器页，或在 Microsoft Sentinel 数据连接器参考页中查看服务部分。

    • 选择“查看 + 创建” 。 验证完成后，选择“创建”。

查找数据

成功建立连接后，数据会显示在“CustomLogs”下的日志中，在 Microsoft Sentinel 数据连接器参考页的服务部分列出的表中。

若要查询数据，请在查询窗口中输入其中一个表名称或相关的 Kusto 函数别名。

请参阅连接器页中的“后续步骤”选项卡，了解一些有用的示例查询。

验证连接

可能需要长达 20 分钟的时间，日志才会开始显示在 Log Analytics 中。

后续步骤

在本文档，你已了解如何使用基于 Azure Functions 的连接器将 Microsoft Sentinel 连接到数据源。 若要详细了解 Microsoft Sentinel，请参阅以下文章：