[Deprecato] Connettore Black CylancePROTECT per Microsoft Sentinel

  • Articolo

Importante

La raccolta di log da molti dispositivi e appliance è ora supportata da Common Event Format (CEF) tramite AMA, syslog tramite AMA o log personalizzati tramite il connettore dati AMA in Microsoft Sentinel. Per altre informazioni, vedere Trovare il connettore dati di Microsoft Sentinel.

Il connettore Black CylancePROTECT consente di connettere facilmente i log CylancePROTECT con Microsoft Sentinel. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità operative di sicurezza.

Questo contenuto è generato automaticamente. Per modifiche, contattare il provider di soluzioni.

Attributi connettore

Attributo connettore Descrizione
Tabelle Log Analytics Syslog (CylancePROTECT)
Supporto regole di raccolta dati Trasformazione area di lavoro DCR
Supportata da: Microsoft Corporation

Esempi di query

Primi 10 tipi di evento

CylancePROTECT​
         
| summarize count() by EventName
         
| top 10 by count_

Primi 10 criteri attivati

CylancePROTECT​
         
| where EventType == "Threat" 
         
| summarize count() by PolicyName 
         
| top 10 by count_

Prerequisiti

Per eseguire l'integrazione con Black CylancePROTECT, assicurarsi di avere:

  • CylancePROTECT: deve essere configurato per esportare i log tramite Syslog.

Istruzioni per l’installazione di Vendor

Nota

Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Log di Microsoft Sentinel, fare clic su Funzioni e cercare l'alias CyclanePROTECT e caricare il codice della funzione oppure fare clic qui, nella seconda riga della query immettere i nomi host dei dispositivi CyclanePROTECT e qualsiasi altro identificatore univoco per il logstream. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.

  1. Installare e caricare l'agente per Linux

È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux.

  1. Configurare i log da raccogliere

È possibile configurare le strutture da raccogliere e le rispettive gravità.

  1. Selezionare il collegamento seguente per aprire la configurazione degli agenti dell'area di lavoro e selezionare la scheda Syslog.

  2. Selezionare Aggiungi struttura e scegliere nell'elenco a discesa delle strutture. Ripetere per tutte le strutture che si desidera aggiungere.

  3. Contrassegnare le caselle di controllo per i livelli di gravità desiderati per ogni struttura.

  4. Fare clic su Applica.

  5. Configurare e connettere CylancePROTECT

Seguire queste istruzioni per configurare CylancePROTECT per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, visitare la soluzione correlata in Azure Marketplace.