你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
适用于 Microsoft Sentinel 的 Infoblox Data Connector via REST API（使用 Azure Functions）连接器
利用 Infoblox Data Connector，可以轻松地将 Infoblox TIDE 数据与 Microsoft Sentinel 相连接。 通过将数据连接到 Microsoft Sentinel，可以针对每个日志使用搜索和关联、警报以及威胁情报扩充功能。
这是自动生成的内容。 有关更改，请联系解决方案提供商。
连接器属性
| 连接器属性 | 说明 |
|---|---|
| Log Analytics 表 | Failed_Range_To_Ingest_CL Infoblox_Failed_Indicators_CL dossier_whois_CL dossier_tld_risk_CL dossier_threat_actor_CL dossier_rpz_feeds_records_CL dossier_rpz_feeds_CL dossier_nameserver_matches_CL dossier_nameserver_CL dossier_malware_analysis_v3_CL dossier_inforank_CL dossier_infoblox_web_cat_CL dossier_geo_CL dossier_dns_CL dossier_atp_threat_CL dossier_atp_CL dossier_ptr_CL |
| 数据收集规则支持 | 目前不支持 |
| 支持的服务 | Infoblox |
查询示例
接收的失败指示器时间范围
Failed_Range_To_Ingest_CL
| sort by TimeGenerated desc
失败指示器范围数据
Infoblox_Failed_Indicators_CL
| sort by TimeGenerated desc
Dossier whois 数据源
dossier_whois_CL
| sort by TimeGenerated desc
Dossier tld 风险数据源
dossier_tld_risk_CL
| sort by TimeGenerated desc
Dossier 威胁行动者数据源
dossier_threat_actor_CL
| sort by TimeGenerated desc
Dossier rpz 源记录数据源
dossier_rpz_feeds_records_CL
| sort by TimeGenerated desc
Dossier rpz 源数据源
dossier_rpz_feeds_CL
| sort by TimeGenerated desc
Dossier 名称服务器与数据源匹配
dossier_nameserver_matches_CL
| sort by TimeGenerated desc
Dossier 名称服务器数据源
dossier_nameserver_CL
| sort by TimeGenerated desc
Dossier 恶意软件分析 v3 数据源
dossier_malware_analysis_v3_CL
| sort by TimeGenerated desc
Dossier inforank 数据源
dossier_inforank_CL
| sort by TimeGenerated desc
Dossier infoblox web cat 数据源
dossier_infoblox_web_cat_CL
| sort by TimeGenerated desc
Dossier 地理位置数据源
dossier_geo_CL
| sort by TimeGenerated desc
Dossier dns 数据源
dossier_dns_CL
| sort by TimeGenerated desc
Dossier atp 威胁数据源
dossier_atp_threat_CL
| sort by TimeGenerated desc
Dossier atp 数据源
dossier_atp_CL
| sort by TimeGenerated desc
Dossier ptr 数据源
dossier_ptr_CL
| sort by TimeGenerated desc
先决条件
若要与 Infoblox Data Connector via REST API （使用 Azure Functions）集成，请确保满足以下条件：
- Azure 订阅：需要有具有所有者角色的 Azure 订阅才能在 Microsoft Entra ID 中注册应用程序，并将参与者的角色分配给资源组中的应用。
- Microsoft.Web/sites 权限：必须对 Azure Functions 拥有读写权限才能创建函数应用。 请参阅文档以详细了解 Azure Functions。
- REST API 凭据/权限：需要 Infoblox API 密钥。 请参阅 Rest API 参考上的文档以了解 API 的详细信息
供应商安装说明
注意
该连接器使用 Azure Functions 连接到 Infoblox API，为 TIDE 创建威胁指示器并将 Dossier 数据拉入 Microsoft Sentinel。 这可能会导致额外的数据引入成本。 有关详细信息，请参阅 Azure Functions 定价页。
（可选步骤）将工作区和 API 授权密钥或令牌安全地存储在 Azure 密钥保管库中。 Azure Key Vault 提供了一种存储和检索键值的安全机制。 按照这些说明，将 Azure Key Vault 与 Azure 函数应用结合使用。
步骤 1 - Microsoft Entra ID 中应用程序的应用注册步骤
此集成需要在 Azure 门户中进行应用注册。 请按照本部分中的步骤在 Microsoft Entra ID 中创建新应用程序：
- 登录 Azure 门户。
- 搜索并选择 Microsoft Entra ID。
- 在“管理”下，选择“应用注册”>“新建注册”。
- 输入应用程序的显示名称。
- 选择“注册”，完成初始应用注册。
- 注册完成后，Azure 门户会显示应用注册的“概述”窗格。 你可以看到“应用程序(客户端) ID”和“租户 ID”。 执行 TriggersSync playbook 时，需要客户端 ID 和租户 ID 作为配置参数。
参考链接： /azure/active-directory/develop/quickstart-register-app
步骤 2 - 在 Microsoft Entra ID 中为应用程序添加客户端密码
客户端密码有时称为应用程序密码，是执行 TriggersSync playbook 所需的字符串值。 请按照本部分中的步骤创建新的客户端密码：
- 在 Azure 门户中的“应用注册”中，选择你的应用程序。
- 选择“证书和机密”>“客户端密码”>“新建客户端密码”。
- 添加客户端机密的说明。
- 选择机密的过期时间，或指定自定义的生存期。 限制为 24 个月。
- 选择 添加 。
- 记录机密的值，以便在客户端应用程序代码中使用。 退出此页面后，此机密值永不再显示。 机密值是必需的，将作为执行 TriggersSync playbook 的配置参数。
参考链接： /azure/active-directory/develop/quickstart-register-app#add-a-client-secret
步骤 3 - 在 Microsoft Entra ID 中为应用程序分配参与者角色
请按照本部分中的步骤分配角色：
- 在 Azure 门户中，转到“资源组”并选择相应资源组。
- 从左侧面板转到“访问控制(IAM)”。
- 单击“添加”，然后选择“添加角色分配”。
- 选择“参与者”作为角色，然后单击“下一步”。
- 在“将访问权限分配给”中选择
User, group, or service principal。 - 单击“添加成员”，然后在键入你创建的应用名称并选择该应用。
- 现在，单击“查看 + 分配”，然后再次单击“查看 + 分配”。
参考链接：/azure/role-based-access-control/role-assignments-portal
步骤 4 - 生成 Infoblox API 凭据的步骤
按照这些说明生成 Infoblox API 密钥。 在 Infoblox 云服务门户中，生成 API 密钥并将其复制到安全的地方，以便在下一步中使用。 可以在此处找到有关如何创建 API 密钥的说明。
步骤 5 - 部署连接器和关联的 Azure 函数的步骤
重要说明：在部署 Infoblox Data 连接器之前，请准备好工作区 ID 和工作区主密钥（可从下面复制）以及 Infoblox API 授权凭据
Azure 资源管理器 (ARM) 模板
使用此方法可自动部署 Infoblox Data 连接器。
单击下面的“部署到 Azure” 按钮。
选择首选的“订阅”、“资源组”和“位置”。
输入以下信息：Azure 租户 ID Azure 客户端 ID Azure 客户端机密 Infoblox API 令牌 Infoblox 基 URL 工作区 ID 工作区密钥 日志级别（默认值：INFO）置信度威胁级别 App Insights 工作区资源 ID
选中“我同意上述条款和条件”复选框。
单击“购买”进行部署。
后续步骤
有关详细信息，请转到 Azure 市场中的相关解决方案。