Connettere Microsoft Sentinel ad altri servizi Microsoft con un connettore dati basato su agente Windows

Questo articolo descrive come connettere Microsoft Sentinel ad altre connessioni basate su agente Windows di servizi Microsoft. Microsoft Sentinel usa l'agente di monitoraggio Azure per fornire supporto predefinito da servizio a servizio per l'inserimento di dati da molti servizi di Azure e Microsoft 365, Amazon Web Services e vari servizi di Windows Server.

L'agente di monitoraggio Azure usa le regole di raccolta dati (DCR) per definire i dati da raccogliere da ogni agente. Le regole di raccolta dati offrono due vantaggi distinti:

  • Gestire le impostazioni di raccolta su larga scala , consentendo al contempo configurazioni con ambito univoco per subset di computer. Sono indipendenti dall'area di lavoro e indipendenti dalla macchina virtuale, il che significa che possono essere definiti una volta e riutilizzati tra computer e ambienti. Vedere Configurare la raccolta dati per l'agente di monitoraggio Azure.

  • Compilare filtri personalizzati per scegliere gli eventi esatti da inserire. L'agente di monitoraggio Azure usa queste regole per filtrare i dati all'origine e inserire solo gli eventi desiderati, lasciando tutto il resto alle spalle. Questo può risparmiare un sacco di soldi in costi di inserimento dati!

Nota

Per informazioni sulla disponibilità delle funzionalità nei cloud del governo degli Stati Uniti, vedere le tabelle Microsoft Sentinel in Disponibilità delle funzionalità cloud per i clienti del governo degli Stati Uniti.

Importante

Alcuni connettori basati sull'agente di monitoraggio Azure sono attualmente in ANTEPRIMA. Per altre condizioni legali applicabili alle funzionalità di Azure in versione beta, in anteprima o non ancora rilasciate in disponibilità generale, vedere le Condizioni aggiuntive per l'utilizzo per Microsoft Azure Previews.

Prerequisiti

  • È necessario disporre delle autorizzazioni di lettura e scrittura per l'area di lavoro Microsoft Sentinel.

  • Per raccogliere eventi da qualsiasi sistema che non sia una macchina virtuale Azure, il sistema deve avere Azure Arc installato e abilitato prima di abilitare il connettore basato su agente di monitoraggio Azure.

    Tra queste vi sono anche:

    • Server Windows installati nei computer fisici
    • Server Windows installati in macchine virtuali locali
    • Server Windows installati in macchine virtuali in cloud non Azure

  • Per il connettore dati Eventi inoltrati di Windows:

    • È necessario che Raccolta eventi di Windows (WEC) sia attivata e in esecuzione, con Monitoraggio di Azure Agent installato sul computer WEC.
    • È consigliabile installare i parser ASIM (Advanced Security Information Model) per garantire il supporto completo per la normalizzazione dei dati. È possibile distribuire questi parser dal Azure-Sentinel repository GitHub usando il pulsante Distribuisci in Azure.

  • Installare la soluzione Microsoft Sentinel correlata dal Content Hub di Microsoft Sentinel. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

Creare regole di raccolta dati tramite l'interfaccia utente grafica

Seguire questa procedura per creare una regola di raccolta dati nel portale di Microsoft Sentinel.

  1. In Microsoft Sentinel selezionare Configurazione>Connettori dati. Selezionare il connettore nell'elenco e quindi selezionare Apri pagina connettore nel riquadro dei dettagli. Seguire quindi le istruzioni visualizzate nella scheda Istruzioni , come descritto nei passaggi seguenti.

  2. Verificare di disporre delle autorizzazioni appropriate come descritto nella sezione Prerequisiti della pagina del connettore. Sono necessarie almeno le autorizzazioni di lettura e scrittura per l'area di lavoro Microsoft Sentinel.

  3. In Configurazione selezionare +Aggiungi regola di raccolta dati. La procedura guidata Crea: regola di raccolta dati si aprirà a destra.

  4. In Informazioni di base immettere un nome di regola e specificare una sottoscrizione e un gruppo di risorse in cui verrà creata la regola di raccolta dati . Non deve essere lo stesso gruppo di risorse o la stessa sottoscrizione in cui si trovano i computer monitorati e le relative associazioni, purché si trovino nello stesso tenant.

  5. Nella scheda Risorse selezionare +Aggiungi risorse per aggiungere computer a cui verrà applicata la regola di raccolta dati. Verrà visualizzata la finestra di dialogo Selezionare un ambito e verrà visualizzato un elenco di sottoscrizioni disponibili. Espandere una sottoscrizione per visualizzarne i gruppi di risorse ed espandere un gruppo di risorse per visualizzare i computer disponibili. Nell'elenco verranno visualizzati le macchine virtuali di Azure e i server abilitati per Azure Arc. È possibile contrassegnare le caselle di controllo delle sottoscrizioni o dei gruppi di risorse per selezionare tutti i computer che contengono oppure è possibile selezionare singoli computer. Selezionare Applica dopo aver scelto tutti i computer. Al termine di questo processo, l'agente di monitoraggio Azure verrà installato in tutti i computer selezionati che non lo hanno già installato.

  6. Nella scheda Raccolta scegliere gli eventi da raccogliere: selezionare Tutti gli eventi o Personalizzato per specificare altri log o per filtrare gli eventi usando query XPath. Immettere espressioni nella casella che valutano criteri XML specifici per gli eventi da raccogliere, quindi selezionare Aggiungi. È possibile immettere fino a 20 espressioni in una singola casella e fino a 100 caselle in una regola.

    Per altre informazioni, vedere la documentazione Monitoraggio di Azure.

    Nota

    • Il connettore Eventi di sicurezza di Windows offre altri due set di eventi predefiniti che puoi scegliere di raccogliere: Common e Minimal.

    • L'agente di monitoraggio Azure supporta solo query XPath per XPath versione 1.0.

    Per testare la validità di una query XPath, usare il cmdlet di PowerShell Get-WinEvent con il parametro -FilterXPath . Ad esempio:

    $XPath = '*[System[EventID=1035]]'
Get-WinEvent -LogName 'Application' -FilterXPath $XPath
    • Se vengono restituiti eventi, la query è valida.
    • Se viene visualizzato il messaggio "Non sono stati trovati eventi che corrispondono ai criteri di selezione specificati", la query potrebbe essere valida, ma non sono presenti eventi corrispondenti nel computer locale.
    • Se viene visualizzato il messaggio "La query specificata non è valida", la sintassi della query non è valida.

  7. Dopo aver aggiunto tutte le espressioni di filtro desiderate, selezionare Avanti: Rivedi e crea.

  8. Quando viene visualizzato il messaggio Convalida superata , selezionare Crea.

Verranno visualizzate tutte le regole di raccolta dati, incluse quelle create usando l'API, in Configurazione nella pagina del connettore. Da qui è possibile modificare o eliminare le regole esistenti.

Creare regole di raccolta dati usando l'API

È anche possibile creare regole di raccolta dati usando l'API, che possono semplificare la vita se si creano molte regole, ad esempio se si è un provider di servizi condivisi. Di seguito è riportato un esempio (per il connettore Eventi di sicurezza di Windows tramite AMA) che puoi usare come modello per creare una regola:

Inviare la richiesta PUT seguente per creare o aggiornare una regola di raccolta dati che definisce le origini degli eventi, l’area di lavoro di Log Analytics di destinazione e il flusso di dati tra queste.

URL e intestazione della richiesta

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Corpo della richiesta

Il corpo JSON seguente definisce la configurazione DCR, incluse le origini dati del registro eventi Windows, l'area di lavoro di Log Analytics di destinazione e i flussi di dati che instradano gli eventi raccolti a tale area di lavoro.

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Per altre informazioni, vedere:

Passaggi successivi

Per altre informazioni, vedere:

  • Last updated on