你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
适用于 Microsoft Sentinel 的 Netskope Data Connector（使用 Azure Functions）连接器
Netskope 数据连接器提供以下功能：
- NetskopeToAzureStorage：从 Netskope 获取 Netskope Alerts 和 Events 数据，并将其发布到 Azure 存储。
- StorageToSentinel：从 Azure 存储获取 Netskope Alerts 和 Events 数据，并将其发布到 Log Analytics 工作区中的自定义日志表。
- WebTxMetrics：从 Netskope 获取 WebTxMetrics 数据，并将其发布到 Log Analytics 工作区中的自定义日志表。
有关 REST API 的更多详细信息，请参阅以下文档：
这是自动生成的内容。 有关更改，请联系解决方案提供商。
连接器属性
| 连接器属性 | 说明 |
|---|---|
| Log Analytics 表 | alertscompromisedcredentialdata_CL alertsctepdata_CL alertsdlpdata_CL alertsmalsitedata_CL alertsmalwaredata_CL alertspolicydata_CL alertsquarantinedata_CL alertsremediationdata_CL alertssecurityassessmentdata_CL alertsubadata_CL eventsapplicationdata_CL eventsauditdata_CL eventsconnectiondata_CL eventsincidentdata_CL eventsnetworkdata_CL eventspagedata_CL Netskope_WebTx_metrics_CL |
| 数据收集规则支持 | 目前不支持 |
| 支持的服务 | Netskope |
查询示例
Netskope CompromisedCredential Alerts 数据
alertscompromisedcredentialdata_CL
| sort by TimeGenerated desc
Netskope CTEP Alerts 数据
alertsctepdata_CL
| sort by TimeGenerated desc
Netskope DLP Alerts 数据
alertsdlpdata_CL
| sort by TimeGenerated desc
Netskope Malsite Alerts 数据
alertsmalsitedata_CL
| sort by TimeGenerated desc
Netskope Malware Alerts 数据
alertsmalwaredata_CL
| sort by TimeGenerated desc
Netskope Policy Alerts 数据
alertspolicydata_CL
| sort by TimeGenerated desc
Netskope Quarantine Alerts 数据
alertsquarantinedata_CL
| sort by TimeGenerated desc
Netskope Remediation Alerts 数据
alertsremediationdata_CL
| sort by TimeGenerated desc
Netskope SecurityAssessment Alerts 数据
alertssecurityassessmentdata_CL
| sort by TimeGenerated desc
Netskope Uba Alerts 数据
alertsubadata_CL
| sort by TimeGenerated desc
Netskope Application Events 数据。
eventsapplicationdata_CL
| sort by TimeGenerated desc
Netskope Audit Events 数据
eventsauditdata_CL
| sort by TimeGenerated desc
Netskope Connection Events 数据
eventsconnectiondata_CL
| sort by TimeGenerated desc
Netskope Incident Events 数据
eventsincidentdata_CL
| sort by TimeGenerated desc
Netskope Network Events 数据
eventsnetworkdata_CL
| sort by TimeGenerated desc
Netskope Page Events 数据
eventspagedata_CL
| sort by TimeGenerated desc
Netskope WebTransactions Metrics 数据
Netskope_WebTx_metrics_CL
| sort by TimeGenerated desc
先决条件
若要与 Netskope Data Connector（使用 Azure Functions）集成，请确保满足以下条件：
- Azure 订阅：需要具有所有者角色的 Azure 订阅才能在 Azure Active Directory() 中注册应用程序并将贡献者角色分配给资源组中的应用程序。
- Microsoft.Web/sites 权限：必须对 Azure Functions 拥有读写权限才能创建函数应用。 请参阅文档以详细了解 Azure Functions。
- REST API 凭据/权限：需要 Netskope 租户和 Netskope API 令牌。 请参阅 Rest API 参考上的文档以了解 API 的详细信息
供应商安装说明
注意
此连接器使用 Azure Functions 连接到 Netskope API，将其 Alerts 和 Events 数据拉取到自定义日志表中。 有关详细信息，请参阅 Azure Functions 定价页。
（可选步骤）将工作区和 API 授权密钥或令牌安全地存储在 Azure 密钥保管库中。 Azure Key Vault 提供了一种存储和检索键值的安全机制。 按照这些说明，将 Azure Key Vault 与 Azure 函数应用结合使用。
步骤 1 - Microsoft Entra ID 中应用程序的应用注册步骤
此集成需要在 Azure 门户中进行应用注册。 请按照本部分中的步骤在 Microsoft Entra ID 中创建新应用程序：
- 登录 Azure 门户。
- 搜索并选择 Microsoft Entra ID。
- 在“管理”下，选择“应用注册”>“新建注册”。
- 输入应用程序的显示名称。
- 选择“注册”，完成初始应用注册。
- 注册完成后，Azure 门户会显示应用注册的“概述”窗格。 你可以看到“应用程序(客户端) ID”和“租户 ID”。 执行 TriggersSync playbook 时，需要客户端 ID 和租户 ID 作为配置参数。
参考链接： /azure/active-directory/develop/quickstart-register-app
步骤 2 - 在 Microsoft Entra ID 中为应用程序添加客户端密码
客户端密码有时称为应用程序密码，是执行 TriggersSync playbook 所需的字符串值。 请按照本部分中的步骤创建新的客户端密码：
- 在 Azure 门户中的“应用注册”中，选择你的应用程序。
- 选择“证书和机密”>“客户端密码”>“新建客户端密码”。
- 添加客户端机密的说明。
- 选择机密的过期时间，或指定自定义的生存期。 限制为 24 个月。
- 选择 添加 。
- 记录机密的值，以便在客户端应用程序代码中使用。 退出此页面后，此机密值永不再显示。 机密值是必需的，将作为执行 TriggersSync playbook 的配置参数。
参考链接： /azure/active-directory/develop/quickstart-register-app#add-a-client-secret
步骤 3 - 在 Microsoft Entra ID 中为应用程序分配参与者角色
请按照本部分中的步骤分配角色：
- 在 Azure 门户中，转到“资源组”并选择相应资源组。
- 从左侧面板转到“访问控制(IAM)”。
- 单击“添加”，然后选择“添加角色分配”。
- 选择“参与者”作为角色，然后单击“下一步”。
- 在“将访问权限分配给”中选择
User, group, or service principal。 - 单击“添加成员”，然后在键入你创建的应用名称并选择该应用。
- 现在，单击“查看 + 分配”，然后再次单击“查看 + 分配”。
参考链接： /azure/role-based-access-control/role-assignments-portal
步骤 4 - 为 Netskope 帐户创建/获取凭据的步骤
按照本部分中的步骤创建/获取 Netskope 主机名和 Netskope API 令牌：
- 登录到“Netskope 租户”，然后转到左侧导航栏上的“设置”菜单。
- 单击“工具”，然后单击“REST API v2”
- 现在，单击“新建令牌”按钮。 然后，系统将询问令牌名称、有效期和要从中提取数据的终结点。
- 完成后，单击“保存”按钮，将生成令牌。 复制令牌并将其保存在安全的位置，以便将来使用。
步骤 5 - 为 Netskope Alerts 和 Events 数据收集创建 Azure 函数的步骤
重要说明：部署 Netskope 数据连接器之前，请准备好工作区 ID 和工作区主密钥（可从以下位置复制）以及 Netskope API 授权密钥。
使用 ARM 模板部署函数应用，以便将 Netskope Alerts 和 Events 数据引入 Sentinel。
单击下面的“部署到 Azure” 按钮。
选择首选的“订阅”、“资源组”和“位置”。
输入以下信息：Netskope 主机名、Netskope API 令牌。在要获取警报和事件日志级别工作区 ID 工作区密钥的终结点的“警报和事件类型”下拉菜单中选择“是”
单击“查看 + 创建”。
验证后，单击“创建”进行部署。
后续步骤
有关详细信息，请转到 Azure 市场中的相关解决方案。