Connettere la piattaforma di intelligence sulle minacce a Microsoft Sentinel

Molte organizzazioni usano soluzioni TIP (Threat Intelligence Platform) per aggregare feed di indicatori di minaccia da varie origini. Dal feed aggregato, i dati vengono curati per essere applicati a soluzioni di sicurezza come dispositivi di rete, soluzioni EDR/XDR o soluzioni siem (Security Information and Event Management), ad esempio Microsoft Sentinel. Usando il connettore dati TIP, è possibile usare queste soluzioni per importare gli indicatori di minaccia in Microsoft Sentinel.

Poiché il connettore dati TIP funziona con l'API Microsoft Graph Security tiIndicators per importare gli indicatori di minaccia, è possibile usare il connettore per inviare gli indicatori a Microsoft Sentinel (e ad altre soluzioni di sicurezza Microsoft come Defender XDR) da qualsiasi altro TIP personalizzato in grado di comunicare con tale API.

Altre informazioni sull'intelligence sulle minacce in Microsoft Sentinel e in particolare sui prodotti TIP che è possibile integrare con Microsoft Sentinel.

Prerequisiti

Prima di iniziare, assicurarsi di avere i ruoli e le autorizzazioni seguenti:

• Per installare, aggiornare ed eliminare contenuti o soluzioni autonomi nell'hub contenuto, è necessario il ruolo collaboratore Microsoft Sentinel a livello di gruppo di risorse.
• Per concedere le autorizzazioni al prodotto TIP o a qualsiasi altra applicazione personalizzata che usa l'integrazione diretta con l'API Indicatori TI di Microsoft Graph, è necessario disporre del ruolo amministratore della sicurezza Microsoft Entra o delle autorizzazioni equivalenti.
• Per archiviare gli indicatori di minaccia, è necessario disporre delle autorizzazioni di lettura e scrittura per l'area di lavoro Microsoft Sentinel.

Registrare un'applicazione e abilitare il connettore TIP

Per importare gli indicatori di minaccia da Microsoft Sentinel dalla soluzione integrata TIP o di intelligence sulle minacce personalizzata, seguire questa procedura:

1. Ottieni un ID applicazione e un segreto del client da Microsoft Entra ID.
2. Inserire queste informazioni nella soluzione TIP o nell'applicazione personalizzata.
3. Abilitare il connettore dati TIP in Microsoft Sentinel.

Iscriversi per ottenere un ID applicazione e un segreto client da Microsoft Entra ID

Che si utilizzi un TIP o una soluzione personalizzata, l'API tiIndicators richiede alcune informazioni di base per consentire di connettere il feed all'API e inviare gli indicatori di minaccia. Le tre informazioni necessarie sono:

• ID applicazione (client)
• ID della directory (tenant)
• Segreto del client

È possibile ottenere queste informazioni da Microsoft Entra ID tramite la registrazione dell'app, che include i tre passaggi seguenti:

• Registrare un'app con Microsoft Entra ID.
• Specificare le autorizzazioni richieste dall'app per connettersi all'API TiIndicators di Microsoft Graph e inviare indicatori di minaccia.
• Ottenere il consenso dell'organizzazione per concedere queste autorizzazioni all'applicazione.

Registrare un'applicazione con Microsoft Entra ID

Registra un'app in Microsoft Entra ID per ottenere l'ID dell'applicazione e l'ID tenant necessari per l'integrazione con TIP.

1. Nel portale di Azure passare a Microsoft Entra ID.

2. Nel menu selezionare Registrazioni app e quindi selezionare Nuova registrazione.

3. Scegliere un nome per la registrazione dell'applicazione, selezionare Tenant singolo e quindi selezionare Registra.

   

4. Nella schermata visualizzata copiare i valori ID applicazione (client) e ID directory (tenant). Queste due informazioni sono necessarie in un secondo momento per configurare la soluzione TIP o personalizzata per inviare indicatori di minaccia a Microsoft Sentinel. La terza informazione necessaria, il segreto client, viene più tardi.

Specificare le autorizzazioni necessarie per l'applicazione

Concedere all'applicazione l'autorizzazione API necessaria per inviare indicatori di minaccia.

1. Indietro alla pagina principale di Microsoft Entra ID.

2. Nel menu selezionare Registrazioni app e quindi selezionare l'app appena registrata.

3. Nel menu selezionare Autorizzazioni> APIAggiungi un'autorizzazione.

4. Nella pagina Selezionare un'API selezionare l'API Microsoft Graph . Scegliere quindi da un elenco di autorizzazioni di Microsoft Graph.

5. Al prompt Quale tipo di autorizzazioni richiede l'applicazione?, selezionare Autorizzazioni applicazione. Questa autorizzazione è il tipo usato dalle applicazioni che eseguono l'autenticazione con l'ID app e i segreti dell'app (chiavi API).

6. Selezionare ThreatIndicators.ReadWrite.OwnedBy e quindi selezionare Aggiungi autorizzazioni per aggiungere questa autorizzazione all'elenco di autorizzazioni dell'app.

   

Ottenere il consenso dell'organizzazione per concedere queste autorizzazioni

1. Per concedere il consenso, è necessario un ruolo con privilegi. Per altre informazioni, vedere Concedere il consenso amministratore a livello di tenant a un'applicazione.

   

2. Dopo aver concesso il consenso all'app, dovrebbe essere visualizzato un segno di spunta verde in Stato.

Dopo aver registrato l'app e aver concesso le autorizzazioni, è necessario ottenere un segreto client per l'app.

1. Indietro alla pagina principale di Microsoft Entra ID.

2. Nel menu selezionare Registrazioni app e quindi selezionare l'app appena registrata.

3. Nel menu selezionare Certificati & segreti. Selezionare quindi Nuovo segreto client per ricevere un segreto (chiave API) per l'app.

   

4. Selezionare Aggiungi e quindi copiare il segreto client.

   Importante

   È necessario copiare il segreto client prima di uscire da questa schermata. Non è possibile recuperare di nuovo questo segreto se si va via da questa pagina. Questo valore è necessario quando si configura la soluzione TIP o personalizzata.

Inserire queste informazioni nella soluzione TIP o nell'applicazione personalizzata

Sono ora disponibili tutte e tre le informazioni necessarie per configurare la soluzione TIP o personalizzata per inviare indicatori di minaccia a Microsoft Sentinel:

• ID applicazione (client)
• ID della directory (tenant)
• Segreto del client

Inserire questi valori nella configurazione del TIP integrato o della soluzione personalizzata, ove richiesto.

1. Per il prodotto di destinazione, specificare Azure Sentinel. (Se si specifica Microsoft Sentinel, si verifica un errore.)

2. Per l'azione, specificare alert.

Al termine della configurazione, gli indicatori di minaccia vengono inviati dalla soluzione TIP o personalizzata tramite l'API TiIndicators di Microsoft Graph, destinata a Microsoft Sentinel.

Abilitare il connettore dati TIP in Microsoft Sentinel

L'ultimo passaggio del processo di integrazione consiste nell'abilitare il connettore dati TIP in Microsoft Sentinel. L'abilitazione del connettore consente a Microsoft Sentinel di ricevere gli indicatori di minaccia inviati dalla soluzione TIP o personalizzata. Questi indicatori sono disponibili per tutte le aree di lavoro Microsoft Sentinel per l'organizzazione. Per abilitare il connettore dati TIP per ogni area di lavoro, seguire questa procedura:

1. Per Microsoft Sentinel nel portale di Azure, in Gestione contenuto selezionare Hub contenuto.
   Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Hub contenuto per la gestione>dei contenuti.

2. Trova e seleziona la soluzione Threat Intelligence.

3. Selezionare il pulsante Installa/Aggiorna.

   Per altre informazioni su come gestire i componenti della soluzione, vedere Individuare e distribuire contenuto predefinito.

4. Per configurare il connettore dati TIP, selezionare Configuration>Data connectors.

5. Individuare e selezionare il connettore dati Threat Intelligence Platforms - BEING DEPRECATED, quindi selezionare Apri pagina del connettore.

6. Poiché la registrazione dell'app è già stata completata e la soluzione TIP o personalizzata è stata configurata per l'invio di indicatori di minaccia, l'unico passaggio a sinistra consiste nel selezionare Connetti.

Entro pochi minuti, gli indicatori di minaccia dovrebbero iniziare a scorrere in questa area di lavoro Microsoft Sentinel. È possibile trovare i nuovi indicatori nel riquadro Intelligence sulle minacce, a cui è possibile accedere dal menu Microsoft Sentinel.

Contenuto correlato

Il connettore dati TIP descritto qui utilizza l'API Microsoft Graph Security tiIndicators, che è destinata alla deprecazione. Per connettere il tuo TIP usando il metodo consigliato, vedi Connetti il tuo TIP con l'API di caricamento.

• Visualizzare i dati raccolti
• Rilevare le minacce con regole di analisi predefinite