Usar o Azure Functions para conectar o Microsoft Azure Sentinel à fonte de dados

Artigo
06/05/2023

Você pode usar o Azure Functions, em conjunto a várias linguagens de codificação, como o PowerShell ou o Python, para criar um conector sem servidor para os pontos de extremidade da API REST das fontes de dados compatíveis. Os aplicativos do Azure Function permitem que você conecte o Microsoft Azure Sentinel à API REST da fonte de dados para efetuar pull dos logs.

Este artigo descreve como configurar o Microsoft Azure Sentinel para usar os aplicativos do Azure Function. Talvez você também precise configurar o sistema de origem e encontrar links de informações específicos do fornecedor e do produto na página de cada conector de dados no portal ou na seção do serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.

Observação

Depois de serem ingeridos no Microsoft Azure Sentinel, os dados são armazenados na localização geográfica do workspace no qual você está executando o Microsoft Azure Sentinel.

Para retenção de longo prazo, o ideal é também armazenar os dados em tipos de log como Logs auxiliares e Logs básicos. Para obter mais informações, confira Planos de retenção de log do Microsoft Sentinel.
Usar o Azure Functions para ingerir dados no Microsoft Azure Sentinel pode resultar em custos adicionais de ingestão de dados. Para saber mais, confira a página sobre preços do Azure Functions.

Pré-requisitos

Verifique se você tem as seguintes permissões e credenciais antes de usar o Azure Functions para conectar o Microsoft Azure Sentinel à fonte de dados e efetuar pull de seus logs:

Você precisa ter permissões de leitura e gravação no workspace do Microsoft Azure Sentinel.
Você precisa ter permissões de leitura nas chaves compartilhadas do workspace. Saiba mais sobre chaves do workspace.
Você deve ter permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Saiba mais sobre o Azure Functions.
Você também precisará ter credenciais para acessar a API do produto: um nome de usuário e senha, um token, uma chave ou alguma outra combinação. Você também pode precisar de outras informações de API, como um URI de ponto de extremidade.

Para obter mais informações, confira a documentação do serviço ao qual você está se conectando e a seção para o serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.
Instale a solução que contém o conector baseado no Azure Functions do Hub de Conteúdo no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

Configurar e conectar a fonte de dados

Observação

Você pode armazenar com segurança chaves de autorização de espaço de trabalho e de API ou tokens no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.
Alguns conectores de dados dependem de um analisador baseado em uma função Kusto para funcionar conforme o esperado. Confira a seção sobre o serviço na página de referência de conectores de dados do Microsoft Sentinel para obter links para instruções de como criar a função e o alias do Kusto.

Etapa 1: obter as credenciais de API do seu sistema de origem

Siga as instruções do sistema de origem para obter suas credenciais/tokens/chaves de autorização de API. Copie e cole-as em um arquivo de texto para mais tarde.

Você pode encontrar detalhes sobre as credenciais exatas necessárias e links para as instruções do seu produto para localizá-las ou criá-las, na página de conector de dados no portal e na seção para o serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.

Talvez você também precise configurar o registro em log ou outras configurações no sistema de origem. Você encontrará as instruções relevantes junto as instruções do parágrafo anterior.

Etapa 2: implantar o conector e o aplicativo de funções do Azure associado

Escolha uma opção de implantação

Esse método fornece uma implantação automatizada do seu conector baseado no Azure Function usando um modelo do ARM.

No portal do Microsoft Azure Sentinel, selecione Conectores de dados. Selecione o conector baseado no Azure Functions na lista e abra a página do conector.
Em Configuração, copie a chave primária e a ID do workspace do Microsoft Azure Sentinel e cole-as em algum lugar.
Selecione Implantar no Azure. (Talvez seja preciso rolar para baixo para encontrar o botão.)
A tela Implantação personalizada será exibida.
- Selecione uma assinatura, um grupo de recursos e uma região na qual implantar seu aplicativo de funções.
- Insira as credenciais/chaves de autorização/tokens de API que você salvou na Etapa 1 acima.
- Insira a Chave do Workspace (chave primária) e a ID do Workspace do Microsoft Azure Sentinel que você copiou.
  
  Observação
  
  Se estiver usando segredos do Azure Key Vault para qualquer um dos valores acima, use o esquema @Microsoft.KeyVault(SecretUri={Security Identifier}) no lugar dos valores da cadeia de caracteres. Para obter mais detalhes, consulte a documentação de referências do Key Vault.
- Preencha todos os outros campos no formulário na tela de implantação personalizada. Confira a página do conector de dados no portal ou a seção do serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.
- Selecione Examinar + criar. Após concluir a validação, selecione Criar.

Use as instruções passo a passo a seguir para implantar manualmente conectores baseados no Azure Functions que usam funções do PowerShell.

No portal do Microsoft Azure Sentinel, selecione Conectores de dados. Selecione o conector baseado no Azure Functions na lista e abra a página do conector.
Em Configuração, copie a chave primária e a ID do workspace do Microsoft Azure Sentinel e cole-as em algum lugar.
Criar um Aplicativo de Funções
1. No portal do Azure, procure e selecione o Aplicativo de Funções.
2. Na página Aplicativo de Funções, selecione Criar. O assistente para Criar aplicativo de funções será aberto.
3. Na guia Básico:
  - Selecionar uma assinatura e um grupo de recursos.
  - Nomear o aplicativo de funções.
  - Definir a pilha de runtime para o PowerShell Core.
  - Selecionar o número de versão apropriado.
  - Selecionar a região na qual você deseja implantar e, em seguida, selecionar Avançar: hospedagem.
4. Na guia Hospedagem:
  - Escolher a conta de armazenamento que você deseja usar ou criar uma.
  - Selecionar Consumo (sem servidor) como tipo de plano.
5. Faça outras alterações de configuração necessárias e selecione Revisar + criar.
6. Aguarde a mensagem "Validação aprovada" ser exibida e selecione Criar.
7. Quando a implantação for concluída, selecione Ir para recursos.
Importar código de aplicativo de funções
1. Na aplicativo de funções criado recentemente, selecione funções no menu de navegação.
2. Na página Funções, selecione + Adicionar.
3. No painel Adicionar função, selecione o gatilho do temporizador.
4. Insira um nome exclusivo para a função e insira uma expressão cron para especificar o agendamento. O intervalo padrão é a cada 5 minutos.
5. Quando a função tiver sido criada, selecione Código + Teste no painel esquerdo.
6. Baixe o código do aplicativo de funções fornecido pelo fornecedor do seu sistema de origem e copie e cole-o no editor run.ps1do aplicativo de funções, substituindo o que está lá por padrão. Você pode encontrar o link para download na página do conector ou na seção para o serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.
7. Selecione Salvar.
Configurar o aplicativo de funções
1. Na página de seu aplicativo de funções, selecione Configuração em Configurações no menu de navegação.
2. Na guia Configurações do aplicativo, selecione + Novas configurações do aplicativo.
3. Adicione as configurações de aplicativo prescritas para seu produto individualmente, com seus respectivos valores de cadeia de caracteres que diferenciam maiúsculas de minúsculas. Confira a página do conector de dados ou a seção do produto na seção do serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.
  
  Dica
  
  Se aplicável, use a configuração de aplicativo logAnalyticsUri para substituir o ponto de extremidade da API da análise de logs, se você estiver usando uma nuvem dedicada. Portanto, por exemplo, se você estiver usando a nuvem pública, deixe o valor vazio; para o ambiente de nuvem GovUS do Azure, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

Use as instruções passo a passo a seguir para implantar manualmente conectores baseados no Azure Functions que usam funções do Python. Esse tipo de implantação exige o Visual Studio Code.

No portal do Microsoft Azure Sentinel, selecione Conectores de dados. Selecione o conector baseado no Azure Functions na lista e abra a página do conector.
Em Configuração, copie a chave primária e a ID do workspace do Microsoft Azure Sentinel e cole-as em algum lugar.
Implantar um aplicativo de funções

Observação

Você precisará preparar o Visual Studio Code (VS Code) para o desenvolvimento do Azure Function.
1. Baixe o arquivo de aplicativo do Azure Function usando o link fornecido na página de conector de dados e na seção para o serviço na página de referência de conectores de dados do Microsoft Azure Sentinel. Extraia o arquivo morto no computador de desenvolvimento local.
2. Iniciar o VS Code. Na barra de menus, selecione Arquivo > Abrir Pasta....
3. Selecione a pasta no nível superior dos arquivos extraídos do arquivo morto.
4. Escolha o ícone do Azure na barra de atividade do VS Code (à esquerda). Em seguida, na área Azure: Functions, escolha o botão Implantar no aplicativo de funções... .
  
  Observação
  
  Se você ainda não tiver entrado, escolha o ícone do Azure na barra de Atividades. Em seguida, na área Azure: Functions, escolha Entrar no Azure.
  Se você já tiver entrado, vá para a próxima etapa.
5. Forneça as seguintes informações nos prompts:
  - Selecione a pasta: escolha uma pasta do seu espaço de trabalho ou navegue até uma pasta que contenha seu aplicativo de funções.
  - Selecione a assinatura: Escolha a assinatura a ser usada.
  - Selecione Criar novo aplicativo de funções no Azure. (Não escolha a opção Avançada).
  - Insira um nome globalmente exclusivo para o aplicativo de funções: dê ao seu aplicativo de funções um nome que seria válido em um caminho de URL. O nome que você escolher será validado para garantir que ele seja exclusivo em todo o Azure Functions.
  - Selecione um runtime: escolha Python 3.8.
6. A implantação será iniciada. Uma notificação é exibida depois que seu aplicativo de funções é criado e o pacote de implantação é aplicado.
7. Volte para a página de aplicativo de funções para a configuração.
Configurar o aplicativo de funções
1. Na página de seu aplicativo de funções, selecione Configuração em Configurações no menu de navegação.
2. Na guia Configurações do aplicativo, selecione + Novas configurações do aplicativo.
3. Adicione as configurações de aplicativo prescritas para seu produto individualmente, com seus respectivos valores de cadeia de caracteres que diferenciam maiúsculas de minúsculas. Confira a página do conector de dados ou a seção do serviço na página de referência de conectores de dados do Microsoft Azure Sentinel para adicionar as configurações de aplicativo.
  - Se aplicável, use a configuração de aplicativo logAnalyticsUri para substituir o ponto de extremidade da API da análise de logs, se você estiver usando uma nuvem dedicada. Portanto, por exemplo, se você estiver usando a nuvem pública, deixe o valor vazio; para o ambiente de nuvem GovUS do Azure, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.

Localizar seus dados

Depois de estabelecer uma conexão com êxito, os dados aparecem nos Logs em CustomLogs, nas tabelas listadas na seção para o serviço na página de referência de conectores de dados do Microsoft Azure Sentinel.

Para consultar dados, insira um desses nomes de tabela, ou o alias da função Kusto relevante, na janela de consulta.

Confira a guia Próximas etapas na página do conector para ver algumas consultas de exemplo úteis.

Validar a conectividade

Pode levar até 20 minutos até que os logs comecem a ser exibidos no Log Analytics.

Próximas etapas

Neste documento, você aprendeu a conectar o Microsoft Azure Sentinel à fonte de dados usando conectores baseados no Azure Functions. Para saber mais sobre o Microsoft Azure Sentinel, confira os artigos a seguir:

Saiba como obter visibilidade dos seus dados e de possíveis ameaças.
Comece a detectar ameaças com o Microsoft Sentinel.
Use pastas de trabalho para monitorar seus dados.

Compartilhar via