適用於 Microsoft Sentinel 的自動化邏輯 WebCTRL 連接器
您可以從連線至 Microsoft Sentinel 的 Windows 電腦上裝載的 WebCTRL SQL 伺服器,串流稽核記錄。 此連線可讓您檢視儀表板、建立自訂警示及改善調查。 這可讓您深入了解由 WebCTRL BAS 應用程式監視或控制的工業控制系統。
這是自動產生的內容。 如需變更,請連絡解決方案提供者。
連接器屬性
連接器屬性 | 描述 |
---|---|
記錄分析資料表 | 事件 (AutomatedLogic-WebCTRL) |
資料收集規則支援 | 目前不支援 |
支援者: | Microsoft Corporation |
查詢範例
應用程式所引發的警告和錯誤總計
Event
| where Source == "ALCWebCTRL"
| where EventLevel in (1,2,3)
廠商安裝指示
- 安裝 Windows 的 Microsoft 代理程式並使其上線。
了解代理程式設定和 windows 事件上線。
如果您已安裝 Windows 的 Microsoft 代理程式,您可以略過此步驟
- 設定 Windows 工作以讀取稽核資料,並將其寫入 Windows 事件
安裝並設定 Windows 排程工作,以讀取 SQL 中的稽核記錄,並將其寫入為 Windows 事件。 代理程式會收集這些 Windows 事件,並轉送到 Microsoft Sentinel。
請注意,所有機器的資料皆會儲存在選取的工作區中
2.1 將設定檔案複製到伺服器上的位置。
2.2 更新 ALC-WebCTRL-AuditPull.ps1 (已在上述步驟中複製) 指令碼參數,例如目標資料庫名稱和 Windows 事件 ID 的參數。 如需詳細資訊,請參閱指令碼的註解。
2.3 根據需求,在上述步驟中複製的 ALC-WebCTRL-AuditPullTaskConfig.xml 檔案中,更新 Windows 工作設定。 詳情請參閱檔案中的註解。
2.4 使用上述步驟中複製的更新組態,安裝 Windows 工作
從步驟 2.1 中複製設定檔案的目錄,在 powershell 中執行下列命令
schtasks.exe /create /XML "ALC-WebCTRL-AuditPullTaskConfig.xml" /tn "ALC-WebCTRL-AuditPull"
- 驗證連線
請遵循指示以驗證連線能力:
開啟 Log Analytics,檢查是否使用事件結構描述接收記錄。
連線將資料串流至工作區可能需要大約 20 分鐘的時間。
如果未收到記錄,請針對任何執行時間問題驗證下列步驟:
- 請確定排程的工作已建立,且在 Windows 工作排程器中處於執行中的狀態。
- 針對步驟 2.4 中的新建工作,請在 Windows 工作排程器中,檢查 [歷程記錄] 分頁的工作執行錯誤
- 請確定 SQL 稽核表格包含排程 Windows 工作執行時的新記錄。
下一步
如需詳細資訊,請移至 Azure Marketplace 中的相關解決方案 (英文)。