共用方式為


適用於 Microsoft Sentinel 的自動化邏輯 WebCTRL 連接器

您可以從連線至 Microsoft Sentinel 的 Windows 電腦上裝載的 WebCTRL SQL 伺服器,串流稽核記錄。 此連線可讓您檢視儀表板、建立自訂警示及改善調查。 這可讓您深入了解由 WebCTRL BAS 應用程式監視或控制的工業控制系統。

這是自動產生的內容。 如需變更,請連絡解決方案提供者。

連接器屬性

連接器屬性 描述
記錄分析資料表 事件 (AutomatedLogic-WebCTRL)
資料收集規則支援 目前不支援
支援者: Microsoft Corporation

查詢範例

應用程式所引發的警告和錯誤總計

Event

| where Source == "ALCWebCTRL"

| where EventLevel in (1,2,3)

廠商安裝指示

  1. 安裝 Windows 的 Microsoft 代理程式並使其上線。

了解代理程式設定windows 事件上線

如果您已安裝 Windows 的 Microsoft 代理程式,您可以略過此步驟

  1. 設定 Windows 工作以讀取稽核資料,並將其寫入 Windows 事件

安裝並設定 Windows 排程工作,以讀取 SQL 中的稽核記錄,並將其寫入為 Windows 事件。 代理程式會收集這些 Windows 事件,並轉送到 Microsoft Sentinel。

請注意,所有機器的資料皆會儲存在選取的工作區中

2.1 將設定檔案複製到伺服器上的位置。

2.2 更新 ALC-WebCTRL-AuditPull.ps1 (已在上述步驟中複製) 指令碼參數,例如目標資料庫名稱和 Windows 事件 ID 的參數。 如需詳細資訊,請參閱指令碼的註解。

2.3 根據需求,在上述步驟中複製的 ALC-WebCTRL-AuditPullTaskConfig.xml 檔案中,更新 Windows 工作設定。 詳情請參閱檔案中的註解。

2.4 使用上述步驟中複製的更新組態,安裝 Windows 工作

從步驟 2.1 中複製設定檔案的目錄,在 powershell 中執行下列命令

schtasks.exe /create /XML "ALC-WebCTRL-AuditPullTaskConfig.xml" /tn "ALC-WebCTRL-AuditPull"

  1. 驗證連線

請遵循指示以驗證連線能力:

開啟 Log Analytics,檢查是否使用事件結構描述接收記錄。

連線將資料串流至工作區可能需要大約 20 分鐘的時間。

如果未收到記錄,請針對任何執行時間問題驗證下列步驟:

  1. 請確定排程的工作已建立,且在 Windows 工作排程器中處於執行中的狀態。
  1. 針對步驟 2.4 中的新建工作,請在 Windows 工作排程器中,檢查 [歷程記錄] 分頁的工作執行錯誤
  1. 請確定 SQL 稽核表格包含排程 Windows 工作執行時的新記錄。

下一步

如需詳細資訊,請移至 Azure Marketplace 中的相關解決方案 (英文)。