Microsoft Sentinel-Protokolle erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Microsoft Sentinel so konfigurieren, dass Vorfälle und Benachrichtigungen mithilfe von Logic Apps und Webhooks an Google Security Operations gesendet werden.

Microsoft Sentinel ist eine cloudnative Lösung für Sicherheitsinformationen und ‑ereignismanagement (SIEM) sowie für Sicherheitsorchestrierung, ‑automatisierung und ‑reaktion (SOAR). Es bietet intelligente Sicherheitsanalysen und Threat Intelligence für das gesamte Unternehmen.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für:
  • Logic Apps erstellen
  • Microsoft Sentinel-Automatisierungsregeln konfigurieren
  • Berechtigungen für Ressourcengruppen verwalten
  • Dienstprinzipale erstellen und verwalten
• Zugriff auf die Google Cloud Console (zum Erstellen von API-Schlüsseln)

Webhook-Feed in Google SecOps erstellen

Feed erstellen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Sentinel Incidents.
5. Wählen Sie Webhook als Quelltyp aus.
6. Wählen Sie Microsoft Sentinel als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Trennzeichen für Aufteilung (optional): Lassen Sie das Feld leer, wenn jeder Vorfall oder jede Benachrichtigung ein einzelnes Ereignis sein soll.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Secret-Schlüssel generieren und speichern

Nachdem Sie den Feed erstellt haben, müssen Sie einen Secret-Schlüssel für die Authentifizierung generieren:

1. Klicken Sie auf der Feed-Detailseite auf Geheimen Schlüssel generieren.
2. Ein Dialogfeld mit dem geheimen Schlüssel wird angezeigt.

3. Kopieren Sie den geheimen Schlüssel und speichern Sie ihn sicher.

   Hinweis :Der geheime Schlüssel wird nur einmal angezeigt und kann später nicht mehr abgerufen werden. Wenn Sie den Schlüssel verlieren, müssen Sie einen neuen geheimen Schlüssel generieren.

Achtung :Damit keine HTTP 429-Fehler (Zu viele Anfragen) auftreten und es nicht zu Verzögerungen bei der Datenaufnahme kommt, sollten Sie nicht denselben geteilten Schlüssel oder dasselbe Speicherkonto für mehrere Feeds verwenden.

Feed-Endpunkt-URL abrufen

1. Rufen Sie den Tab Details des Feeds auf.
2. Kopieren Sie im Bereich Endpunktinformationen die Feed-Endpunkt-URL.

3. Das URL-Format lautet:

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   oder

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. Speichern Sie diese URL für die nächsten Schritte.

5. Klicken Sie auf Fertig.

Google Cloud API-Schlüssel erstellen

Für Google SecOps ist ein API-Schlüssel für die Authentifizierung erforderlich. Erstellen Sie einen eingeschränkten API-Schlüssel in der Google Cloud Console.

API-Schlüssel erstellen

1. Rufen Sie die Seite Anmeldedaten in derGoogle Cloud Console auf.
2. Wählen Sie Ihr Projekt aus (das Projekt, das mit Ihrer Google SecOps-Instanz verknüpft ist).
3. Klicken Sie auf Anmeldedaten erstellen > API-Schlüssel.
4. Ein API-Schlüssel wird erstellt und in einem Dialogfeld angezeigt.
5. Klicken Sie auf API-Schlüssel bearbeiten, um den Schlüssel einzuschränken.

API-Schlüssel einschränken

1. Auf der Seite mit den API-Schlüssel-Einstellungen:
   • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Webhook API Key.
2. Gehen Sie unter API-Einschränkungen so vor:
   • Wählen Sie Schlüssel einschränken aus.
   • Suchen Sie in der Liste APIs auswählen nach Google SecOps API (oder Chronicle API) und wählen Sie die API aus.
3. Klicken Sie auf Speichern.
4. Kopieren Sie den API-Schlüsselwert aus dem Feld API-Schlüssel oben auf der Seite.

5. Speichern Sie den API-Schlüssel sicher.

   Hinweis :Durch das Einschränken des API-Schlüssels wird sichergestellt, dass er nur mit der Google SecOps API verwendet werden kann. Dadurch wird das Sicherheitsrisiko verringert, falls der Schlüssel manipuliert wird.

Logic App für Microsoft Sentinel-Vorfälle konfigurieren

In diesem Abschnitt wird eine Logic App konfiguriert, um Microsoft Sentinel-Vorfälle an Google SecOps zu senden.

Logic App erstellen

1. Melden Sie sich im Azure-Portal an.
2. Klicken Sie auf Ressource erstellen.
3. Suchen Sie nach Logic App.
4. Klicken Sie auf Erstellen, um den Erstellungsprozess zu starten.
5. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Abo: Wählen Sie das Abo aus.
   • Ressourcengruppe: Wählen Sie die Ressourcengruppe aus.
   • Name: Geben Sie einen Namen für die Logic App ein, z. B. Sentinel-Incidents-to-SecOps.
   • Region: Wählen Sie die Region aus.
   • Log Analytics-Arbeitsbereich: Wählen Sie den Log Analytics-Arbeitsbereich aus.
6. Klicken Sie auf Überprüfen + Erstellen.
7. Klicken Sie auf Erstellen.
8. Klicken Sie nach dem Erstellen der Logic App auf Zur Ressource.

Logic App Designer konfigurieren

1. Klicken Sie auf Entwicklungstools  > Logic App Designer.
2. Klicken Sie auf Trigger hinzufügen.
3. Suchen Sie nach Microsoft Sentinel.
4. Wählen Sie Microsoft Sentinel-Vorfall als Trigger aus.
5. Wenn Sie noch keine Verbindung zu Microsoft Sentinel erstellt haben, müssen Sie dies jetzt tun.
6. Klicken Sie auf Neu erstellen und folgen Sie der Anleitung zur Authentifizierung:
   • Wählen Sie Mit verwalteter Identität anmelden (empfohlen) oder Anmelden aus, um Ihre Anmeldedaten zu verwenden.
7. Klicken Sie auf Neuen Schritt einfügen.
8. Klicken Sie auf Aktion hinzufügen.
9. Suchen Sie nach HTTP und wählen Sie die Option als Aktion aus.
10. Geben Sie Werte für die folgenden Eingabeparameter an:
    • URI: Fügen Sie die Feed-Endpunkt-URL aus dem Google SecOps-Feed ein.
    • Methode: Wählen Sie POST aus.
    • Überschriften: Fügen Sie die folgenden Überschriften hinzu:
      • Header name: X-goog-api-key
      • Wert: Fügen Sie den zuvor erstellten API-Schlüssel ein.
      • Header name: X-Webhook-Access-Key
      • Wert: Fügen Sie den geheimen Schlüssel aus der Feed-Erstellung ein.
11. Klicken Sie in das Feld Body (Textkörper).
12. Klicken Sie im Steuerfeld für dynamische Inhalte auf den Tab Ausdruck.

13. Geben Sie @{triggerBody()} in das Ausdrucksfeld ein und klicken Sie auf OK.

    Hinweis :Mit dem Ausdruck @{triggerBody()} wird das vollständige JSON-Dokument für den Vorfall an Google SecOps gesendet. Dieser Parameter ist erforderlich. Andernfalls empfängt der Webhook leere Anfragen und es werden keine Daten aufgenommen.

14. Klicken Sie auf Speichern, um die Logic App zu speichern.

Microsoft Sentinel-Berechtigungen zum Ausführen der Logic App erteilen

Damit Automatisierungsregeln die Logic App erfolgreich auslösen können, sind zwei separate Berechtigungszuweisungen erforderlich.

Berechtigung 1: Der verwalteten Identität der Logik-App Zugriff auf den Sentinel-Arbeitsbereich gewähren

Die verwaltete Identität der Logic App benötigt die Berechtigung, Vorfälle aus dem Microsoft Sentinel-Arbeitsbereich zu lesen.

Verwaltete Identität für Logic App aktivieren

1. Rufen Sie im Azure-Portal Ihre Logic App-Ressource (Sentinel-Incidents-to-SecOps) auf.
2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Identität aus.
3. Legen Sie auf dem Tab Vom System zugewiesen für Status die Option Ein fest.
4. Klicken Sie auf Speichern.
5. Klicken Sie zum Bestätigen auf Ja.
6. Notieren Sie sich nach der Aktivierung die angezeigte Objekt-ID (Prinzipal-ID).

Logic App die Rolle „Microsoft Sentinel Responder“ gewähren

1. Rufen Sie im Azure-Portal Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Zugriffssteuerung (IAM) aus.
3. Klicken Sie auf + Hinzufügen> Rollenzuweisung hinzufügen.
4. Suchen Sie auf dem Tab Rolle nach Microsoft Sentinel Responder und wählen Sie die Rolle aus:
   • Alternative: Wenn das Playbook nur Vorfälle liest, verwenden Sie die Rolle Microsoft Sentinel Reader.
5. Klicken Sie auf Weiter.
6. Konfigurieren Sie auf dem Tab Mitglieder Folgendes:
   1. Zugriff zuweisen an: Wählen Sie Verwaltete Identität aus.
   2. Klicken Sie auf + Mitglieder auswählen.
   3. Wählen Sie in der Liste Verwaltete Identität die Option Logic App aus.
   4. Wählen Sie Ihre Logic App (Sentinel-Incidents-to-SecOps) aus der Liste aus.
7. Klicken Sie auf Auswählen.
8. Klicken Sie auf Überprüfen und zuweisen.
9. Klicken Sie zur Bestätigung noch einmal auf Überprüfen und zuweisen.

Berechtigung 2: Microsoft Sentinel-Automatisierungsberechtigungen für Ressourcengruppe erteilen

Für Microsoft Sentinel ist die Rolle Microsoft Sentinel Automation Contributor (Microsoft Sentinel-Beitragender für die Automatisierung) für die Ressourcengruppe erforderlich, die die Logic App enthält. Ohne diese Berechtigung können durch Automatisierungsregeln keine Playbooks ausgelöst werden.

Automatisierungsberechtigungen über die Sentinel-Benutzeroberfläche erteilen

1. Rufen Sie im Azure-Portal Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Gehe zu den Einstellungen > Automatisierung.
3. Klicken Sie oben auf der Seite auf Playbook-Berechtigungen verwalten.
4. Konfigurieren Sie im Bereich Berechtigungen verwalten Folgendes:
   1. Wählen Sie die Ressourcengruppe mit Ihrer Logic App aus (Sentinel-Incidents-to-SecOps).

5. Klicken Sie auf Übernehmen.

   Hinweis :Dadurch wird dem Microsoft Sentinel-Dienstprinzipal (Azure Security Insights) die Rolle Microsoft Sentinel Automation Contributor für die ausgewählte Ressourcengruppe zugewiesen.

Automatisierungsberechtigungen überprüfen (optional)

1. Rufen Sie im Azure-Portal die Ressourcengruppe auf, die Ihre Logic App enthält.
2. Wählen Sie in der linken Navigationsleiste Zugriffssteuerung (IAM) aus.
3. Klicken Sie auf Rollenzuweisungen.
4. Suchen Sie nach Azure Security Insights.

5. Prüfen Sie, ob Azure Security Insights die Rolle Microsoft Sentinel Automation Contributor hat.

   Hinweis :Wenn Sie Playbook-Berechtigungen verwalten in der Sentinel-Benutzeroberfläche nicht sehen, können Sie Berechtigungen manuell erteilen:

6. Rufen Sie die Ressourcengruppe mit Ihrer Logic App auf.

7. Wählen Sie Zugriffssteuerung (IAM) > Rollenzuweisung hinzufügen aus.

8. Wählen Sie die Rolle Microsoft Sentinel Automation Contributor aus.

9. Wählen Sie unter Mitglieder die Option Nutzer, Gruppe oder Diensthauptkonto aus.

10. Klicken Sie auf + Mitglieder auswählen und suchen Sie nach Azure Security Insights.

11. Wählen Sie Azure Security Insights aus und klicken Sie auf Select (Auswählen).

12. Klicken Sie zur Bestätigung zweimal auf Überprüfen und zuweisen.

Logic App für Microsoft Sentinel-Benachrichtigungen konfigurieren

In diesem Abschnitt wird eine separate Logic App konfiguriert, um Microsoft Sentinel-Benachrichtigungen an Google SecOps zu senden.

Hinweis :Alert-Trigger sind in der Vorschau und können nur manuell oder durch geplante Analyseregeln ausgelöst werden. Sie können nicht von Automatisierungsregeln aufgerufen werden.

Logic App für Benachrichtigungen erstellen

1. Rufen Sie die Startseite des Azure-Portals auf.
2. Klicken Sie auf Ressource erstellen.
3. Suchen Sie nach Logic App.
4. Klicken Sie auf Erstellen, um den Erstellungsprozess zu starten.
5. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Abo: Wählen Sie das Abo aus.
   • Ressourcengruppe: Wählen Sie die Ressourcengruppe aus.
   • Name: Geben Sie einen Namen für die Logic App ein, z. B. Sentinel-Alerts-to-SecOps.
   • Region: Wählen Sie die Region aus.
   • Log Analytics-Arbeitsbereich: Wählen Sie den Log Analytics-Arbeitsbereich aus.
6. Klicken Sie auf Überprüfen + Erstellen.
7. Klicken Sie auf Erstellen.
8. Klicken Sie nach dem Erstellen der Logic App auf Zur Ressource.

Logic App-Designer für Benachrichtigungen konfigurieren

1. Klicken Sie auf Entwicklungstools  > Logic App Designer.
2. Klicken Sie auf Trigger hinzufügen.
3. Suchen Sie nach Microsoft Sentinel.
4. Wählen Sie Microsoft Sentinel-Warnung als Trigger aus.
5. Wenn Sie noch keine Verbindung zu Microsoft Sentinel erstellt haben, müssen Sie dies jetzt tun.
6. Klicken Sie auf Neu erstellen und folgen Sie der Anleitung zur Authentifizierung:
   • Wählen Sie Mit verwalteter Identität anmelden (empfohlen) oder Anmelden aus, um Ihre Anmeldedaten zu verwenden.
7. Klicken Sie auf Neuen Schritt einfügen.
8. Klicken Sie auf Aktion hinzufügen.
9. Suchen Sie nach HTTP und wählen Sie die Option als Aktion aus.
10. Geben Sie Werte für die folgenden Eingabeparameter an:
    • URI: Fügen Sie die Feed-Endpunkt-URL aus dem Google SecOps-Feed ein.
    • Methode: Wählen Sie POST aus.
    • Überschriften: Fügen Sie die folgenden Überschriften hinzu:
      • Header name: X-goog-api-key
      • Wert: Fügen Sie den zuvor erstellten API-Schlüssel ein.
      • Header name: X-Webhook-Access-Key
      • Wert: Fügen Sie den geheimen Schlüssel aus der Feed-Erstellung ein.
11. Klicken Sie in das Feld Body (Textkörper).
12. Klicken Sie im Steuerfeld für dynamische Inhalte auf den Tab Ausdruck.

13. Geben Sie @{triggerBody()} in das Ausdrucksfeld ein und klicken Sie auf OK.

    Hinweis :Mit dem Ausdruck @{triggerBody()} wird die vollständige JSON-Datei der Benachrichtigung an Google SecOps gesendet. Dieser Parameter ist erforderlich. Andernfalls empfängt der Webhook leere Anfragen und es werden keine Daten aufgenommen.

14. Klicken Sie auf Speichern, um die Logic App zu speichern.

Microsoft Sentinel-Berechtigungen zum Ausführen der Logic App für Benachrichtigungen erteilen

Für die Logic App für Benachrichtigungen sind zwei separate Berechtigungszuweisungen erforderlich, die mit der Konfiguration der Logic App für Vorfälle identisch sind.

Berechtigung 1: Der verwalteten Identität der Logic App Zugriff auf den Sentinel-Arbeitsbereich gewähren

Die verwaltete Identität der Logic App für Benachrichtigungen benötigt die Berechtigung, Benachrichtigungen aus dem Microsoft Sentinel-Arbeitsbereich zu lesen.

Verwaltete Identität für die Logic App für Benachrichtigungen aktivieren

1. Rufen Sie im Azure-Portal die Logic Apps-Ressource für Ihre Benachrichtigungen auf (Sentinel-Alerts-to-SecOps).
2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Identität aus.
3. Legen Sie auf dem Tab Vom System zugewiesen für Status die Option Ein fest.
4. Klicken Sie auf Speichern.
5. Klicken Sie zum Bestätigen auf Ja.
6. Notieren Sie sich nach der Aktivierung die angezeigte Objekt-ID (Prinzipal-ID).

Der Logic App für Benachrichtigungen die Rolle „Microsoft Sentinel Responder“ zuweisen

1. Rufen Sie im Azure-Portal Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Zugriffssteuerung (IAM) aus.
3. Klicken Sie auf + Hinzufügen> Rollenzuweisung hinzufügen.
4. Suchen Sie auf dem Tab Rolle nach Microsoft Sentinel Responder und wählen Sie die Rolle aus:
   • Alternative: Wenn das Playbook nur Warnungen liest, verwenden Sie die Rolle Microsoft Sentinel Reader.
5. Klicken Sie auf Weiter.
6. Konfigurieren Sie auf dem Tab Mitglieder Folgendes:
   1. Zugriff zuweisen an: Wählen Sie Verwaltete Identität aus.
   2. Klicken Sie auf + Mitglieder auswählen.
   3. Wählen Sie in der Liste Verwaltete Identität die Option Logic App aus.
   4. Wählen Sie die Logic App für Benachrichtigungen (Sentinel-Alerts-to-SecOps) aus der Liste aus.
7. Klicken Sie auf Auswählen.
8. Klicken Sie auf Überprüfen und zuweisen.
9. Klicken Sie zur Bestätigung noch einmal auf Überprüfen und zuweisen.

Berechtigung 2: Microsoft Sentinel-Automatisierungsberechtigungen für die Ressourcengruppe für Benachrichtigungen erteilen

Für Microsoft Sentinel ist die Rolle Microsoft Sentinel Automation Contributor (Microsoft Sentinel-Automatisierungsbeitragender) für die Ressourcengruppe erforderlich, die die Logic App für Warnungen enthält.

Automatisierungsberechtigungen über die Sentinel-Benutzeroberfläche erteilen

1. Rufen Sie im Azure-Portal Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Gehe zu den Einstellungen > Automatisierung.
3. Klicken Sie oben auf der Seite auf Playbook-Berechtigungen verwalten.
4. Konfigurieren Sie im Bereich Berechtigungen verwalten Folgendes:
   1. Wählen Sie die Ressourcengruppe mit der Logic App für Benachrichtigungen aus (Sentinel-Alerts-to-SecOps).
      • Wenn es sich um dieselbe Ressourcengruppe wie die Logic App für Vorfälle handelt, ist sie möglicherweise bereits ausgewählt.

5. Klicken Sie auf Übernehmen.

   Hinweis :Wenn die Ressourcengruppe bereits für die Logic App für Vorfälle konfiguriert wurde, werden mit diesem Schritt dieselben Berechtigungen für die Logic App für Benachrichtigungen gewährt.

Automatisierungsberechtigungen für die Logic App für Benachrichtigungen prüfen (optional)

1. Rufen Sie im Azure-Portal die Ressourcengruppe auf, die Ihre Logic App für Benachrichtigungen enthält.
2. Wählen Sie in der linken Navigationsleiste Zugriffssteuerung (IAM) aus.
3. Klicken Sie auf Rollenzuweisungen.
4. Suchen Sie nach Azure Security Insights.
5. Prüfen Sie, ob Azure Security Insights die Rolle Microsoft Sentinel Automation Contributor hat.

Automatisierungsregeln für Microsoft Sentinel konfigurieren

Automatisierungsregeln lösen Logic Apps aus, wenn Vorfälle in Microsoft Sentinel erstellt oder aktualisiert werden.

Automatisierungsregel für die Erstellung von Vorfällen erstellen

1. Rufen Sie Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Klicken Sie auf Konfiguration > Automatisierung.
3. Klicken Sie auf Erstellen.
4. Wählen Sie Automatisierte Regel aus.
5. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Name: Geben Sie einen Namen für die Automatisierungsregel ein, z. B. Send New Incidents to SecOps.
   • Trigger: Wählen Sie Wenn ein Vorfall erstellt wird aus.
   • Aktionen: Wählen Sie aus der Liste Playbook ausführen aus.
   • Wählen Sie die für Vorfälle erstellte Logic App aus (Sentinel-Incidents-to-SecOps).
6. Klicken Sie auf Übernehmen.

Automatisierungsregel für Vorfallaktualisierungen erstellen

1. Rufen Sie Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Klicken Sie auf Konfiguration > Automatisierung.
3. Klicken Sie auf Erstellen.
4. Wählen Sie Automatisierte Regel aus.
5. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Name: Geben Sie einen Namen für die Automatisierungsregel ein, z. B. Send Updated Incidents to SecOps.
   • Trigger: Wählen Sie When incident is updated (Wenn Vorfall aktualisiert wird) aus.
   • Bedingung: Klicken Sie auf Bedingung (UND) hinzufügen> > Status > Geändert.
6. Konfigurieren Sie im Abschnitt Aktionen Folgendes:
   1. Wählen Sie in der Liste Playbook ausführen aus.
   2. Wählen Sie die für Vorfälle erstellte Logic App aus (Sentinel-Incidents-to-SecOps).
7. Klicken Sie auf Übernehmen.

Automatisierungsregel für Benachrichtigungen erstellen

Hinweis :Für Regeln zur automatischen Benachrichtigung wird der Trigger When alert is created verwendet, der sich von Triggern für Vorfälle unterscheidet.

1. Rufen Sie Ihren Microsoft Sentinel-Arbeitsbereich auf.
2. Klicken Sie auf Konfiguration > Automatisierung.
3. Klicken Sie auf Erstellen.
4. Wählen Sie Automatisierte Regel aus.
5. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Name: Geben Sie einen Namen für die Automatisierungsregel ein, z. B. Send Alerts to SecOps.
   • Trigger: Wählen Sie Wenn Benachrichtigung erstellt wird aus.
   • Aktionen: Wählen Sie aus der Liste Playbook ausführen aus.
   • Wählen Sie die für Benachrichtigungen erstellte Logic App aus (Sentinel-Alerts-to-SecOps).
6. Klicken Sie auf Übernehmen.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten