Konektor CyberArkAudit (pomocí Azure Functions) pro Microsoft Sentinel

  • Článek

Datový konektor CyberArk Audit poskytuje možnost načíst protokoly událostí zabezpečení služby CyberArk Audit a další události do Služby Microsoft Sentinel prostřednictvím rozhraní REST API. Konektor poskytuje možnost získat události, které pomáhají zkoumat potenciální rizika zabezpečení, analyzovat využití spolupráce vašeho týmu, diagnostikovat problémy s konfigurací a provádět další akce.

Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.

atributy Připojení oru

atribut Připojení or Popis
Nastavení aplikace CyberArkAuditUsername
CyberArkAuditPassword
CyberArkAuditServerURL
ID pracovního prostoru
WorkspaceKey
LogAnalyticsUri (volitelné)
Kód aplikace funkcí Azure https://aka.ms/sentinel-CyberArkAudit-functionapp
Tabulky Log Analytics CyberArk_AuditEvents_CL
Podpora pravidel shromažďování dat V současnosti není podporováno
Podporováno Podpora CyberArk

Ukázky dotazů

Události auditu cyberarku – všechny aktivity.

CyberArkAudit

| sort by TimeGenerated desc

Požadavky

Pokud chcete provést integraci s CyberArkAuditem (pomocí Azure Functions), ujistěte se, že máte:

  • Oprávnění Microsoft.Web/sites: Vyžaduje se oprávnění ke čtení a zápisu do Azure Functions k vytvoření aplikace funkcí. Další informace o službě Azure Functions najdete v dokumentaci.
  • Auditovat podrobnosti o rozhraní REST API Připojení a přihlašovací údaje: OauthUsername, OauthPassword, WebAppID, AuditApiKey, IdentityEndpoint a AuditApiBaseUrl se vyžadují pro volání rozhraní API.

Pokyny k instalaci dodavatele

Poznámka:

Tento konektor používá Azure Functions k připojení k rozhraní API služby Azure Blob Storage k načtení protokolů do Služby Microsoft Sentinel. To může vést k dalším nákladům na příjem dat a ukládání dat do služby Azure Blob Storage. Podrobnosti najdete na stránce s cenami služby Azure Functions a na stránce s cenami služby Azure Blob Storage.

Poznámka:

Autorizační klíče rozhraní API nebo tokeny jsou bezpečně uložené ve službě Azure Key Vault. Azure Key Vault poskytuje zabezpečený mechanismus pro ukládání a načítání hodnot klíčů.

KROK 1 – Kroky konfigurace integrace SIEM pro audit CyberArk

Podle pokynů získejte podrobnosti o připojení a přihlašovací údaje.

  1. Pro účet CyberArk Audit použijte uživatelské jméno a heslo.

KROK 2: V následujících dvou možnostech nasazení vyberte jednu z následujících dvou možností nasazení pro nasazení konektoru a přidružené funkce Azure Functions.

DŮLEŽITÉ: Před nasazením datového konektoru CyberArk Audit zadejte název pracovního prostoru a umístění pracovního prostoru (můžete ho zkopírovat z následujícího příkladu).

Název pracovního prostoru

Umístění pracovního prostoru

Možnost 1 – Šablona Azure Resource Manageru (ARM)

Tuto metodu použijte pro automatizované nasazení datového konektoru CyberArk Audit pomocí šablony ARM.

  1. Klikněte níže na tlačítko Nasadit do Azure .

    Nasadit do Azure

  2. Vyberte upřednostňované předplatné, skupinu prostředků a umístění.

POZNÁMKA: Ve stejné skupině prostředků nemůžete kombinovat aplikace pro Windows a Linux ve stejné oblasti. Vyberte existující skupinu prostředků bez aplikací pro Windows nebo vytvořte novou skupinu prostředků. 3. Zadejte CyberArkAuditUsername, CyberArkAuditPassword, CyberArkAuditServerURL a nasaďte. 4. Označte zaškrtávací políčko označené jako Souhlasím s podmínkami a ujednáními uvedenými výše. 5. Kliknutím na tlačítko Koupit nasadíte.

Možnost 2 – Ruční nasazení služby Azure Functions

Pomocí následujících podrobných pokynů nasaďte datový konektor CyberArk Audit ručně se službou Azure Functions (nasazení přes Visual Studio Code).

1. Nasazení aplikace funkcí

POZNÁMKA: Budete muset připravit VS Code pro vývoj funkcí Azure.

  1. Stáhněte si soubor aplikace funkcí Azure. Extrahujte archiv do místního vývojového počítače.

  2. Spusťte VS Code. V hlavní nabídce zvolte Soubor a vyberte Otevřít složku.

  3. Vyberte složku nejvyšší úrovně z extrahovaných souborů.

  4. Na panelu aktivit zvolte ikonu Azure a pak v oblasti Azure: Functions zvolte tlačítko Nasadit do aplikace funkcí. Pokud ještě nejste přihlášení, zvolte ikonu Azure na panelu aktivit a pak v oblasti Azure: Functions zvolte Přihlásit se k Azure , pokud už jste přihlášení, přejděte k dalšímu kroku.

  5. Podle pokynů na obrazovce zadejte tyto informace:

    a. Vyberte složku: Zvolte složku z pracovního prostoru nebo přejděte do složky, která obsahuje vaši aplikaci funkcí.

    b. Vyberte Předplatné: Zvolte předplatné, které chcete použít.

    c. Vyberte Vytvořit novou aplikaci funkcí v Azure (nevybírejte možnost Upřesnit).

    d. Zadejte globálně jedinečný název aplikace funkcí: Zadejte název, který je platný v cestě URL. Název, který zadáte, se ověří, aby se zajistilo, že je jedinečný ve službě Azure Functions. (např. CyberArkXXXXX).

    e. Vyberte modul runtime: Zvolte Python 3.8.

    f. Vyberte umístění pro nové prostředky. Pokud chcete dosáhnout lepšího výkonu a nižších nákladů, zvolte stejnou oblast , ve které se nachází Microsoft Sentinel.

  6. Zahájí se nasazení. Po vytvoření aplikace funkcí a použití balíčku nasazení se zobrazí oznámení.

  7. Přejděte na Web Azure Portal pro konfiguraci aplikace funkcí.

2. Konfigurace aplikace funkcí

  1. V aplikaci funkcí vyberte název aplikace funkcí a vyberte Konfigurace.

  2. Na kartě Nastavení aplikace vyberte ** Nové nastavení aplikace**.

  3. Přidejte jednotlivá nastavení aplikace s příslušnými řetězcovými hodnotami (rozlišují se malá a velká písmena):

    • CyberArkAuditUsername
    • CyberArkAuditPassword
    • CyberArkAuditServerURL
    • ID pracovního prostoru
    • WorkspaceKey
    • LogAnalyticsUri (volitelné)

    K přepsání koncového bodu rozhraní API log Analytics pro vyhrazený cloud použijte logAnalyticsUri. Například pro veřejný cloud ponechte hodnotu prázdnou; Pro cloudové prostředí Azure GovUS zadejte hodnotu v následujícím formátu: https://<CustomerId>.ods.opinsights.azure.us.

  4. Po zadání všech nastavení aplikace klikněte na Uložit.

Další kroky

Další informace najdete v souvisejícím řešení na Azure Marketplace.