Collecter les journaux Microsoft Sentinel

Compatible avec :

Google SecOps SIEM

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.

Ce document explique comment configurer Microsoft Sentinel pour envoyer des incidents et des alertes à Google Security Operations à l'aide d'applications logiques et de webhook.

Microsoft Sentinel est une solution cloud native de gestion des informations et des événements de sécurité (SIEM) et d'orchestration, d'automatisation et de réponse de sécurité (SOAR). Il fournit des renseignements intelligents sur les menaces et des analyses de sécurité pour l'ensemble de l'entreprise.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une instance Google SecOps
• Accès privilégié au portail Microsoft Azure avec les autorisations suivantes :
  • Créer des applications logiques
  • Configurer des règles d'automatisation Microsoft Sentinel
  • Gérer les autorisations des groupes de ressources
  • Créer et gérer des principaux de service
• Accès à la console Google Cloud (pour la création de clés API)

Créer un flux de webhook dans Google SecOps

Créer le flux

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Sentinel Incidents).
5. Sélectionnez Webhook comme type de source.
6. Sélectionnez Microsoft Sentinel comme type de journal.
7. Cliquez sur Suivant.
8. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Délimiteur de fractionnement (facultatif) : laissez ce champ vide (chaque incident ou alerte est un événement unique).
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
9. Cliquez sur Suivant.
10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Générer et enregistrer une clé secrète

Après avoir créé le flux, vous devez générer une clé secrète pour l'authentification :

1. Sur la page d'informations sur le flux, cliquez sur Générer une clé secrète.
2. Une boîte de dialogue affiche la clé secrète.

3. Copiez et enregistrez la clé secrète de manière sécurisée.

   Remarque : La clé secrète ne s'affiche qu'une seule fois et ne peut pas être récupérée ultérieurement. Si vous la perdez, vous devrez générer une nouvelle clé secrète.

Attention : Pour éviter les erreurs HTTP 429 (Too Many Requests) et les retards d'ingestion, n'utilisez pas la même clé partagée ni le même compte de stockage pour plusieurs flux.

Obtenir l'URL du point de terminaison du flux

1. Accédez à l'onglet Détails du flux.
2. Dans la section Endpoint Information (Informations sur le point de terminaison), copiez l'URL du point de terminaison du flux.

3. Le format d'URL est le suivant :

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   ou

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. Enregistrez cette URL pour les étapes suivantes.

5. Cliquez sur OK.

Créer Google Cloud une clé API

Google SecOps nécessite une clé API pour l'authentification. Créez une clé API restreinte dans la console Google Cloud .

Créer la clé API

1. Accédez à la page Identifiants de la consoleGoogle Cloud .
2. Sélectionnez votre projet (celui associé à votre instance Google SecOps).
3. Cliquez sur Créer des identifiants > Clé API.
4. Une clé API est créée et affichée dans une boîte de dialogue.
5. Cliquez sur Modifier la clé API pour la restreindre.

Restreindre la clé API

1. Sur la page des paramètres de la clé API :
   • Nom : saisissez un nom descriptif (par exemple, Google SecOps Webhook API Key).
2. Sous Restrictions relatives aux API :
   • Sélectionnez Restreindre la clé.
   • Dans la liste Sélectionner des API, recherchez et sélectionnez API Google SecOps (ou API Chronicle).
3. Cliquez sur Enregistrer.
4. Copiez la valeur de la clé API dans le champ Clé API en haut de la page.

5. Enregistrez la clé API de manière sécurisée.

   Remarque : Restreindre la clé API permet de s'assurer qu'elle ne peut être utilisée qu'avec l'API Google SecOps, ce qui réduit les risques de sécurité en cas de clé compromise.

Configurer une application logique pour les incidents Microsoft Sentinel

Cette section configure une application logique pour envoyer les incidents Microsoft Sentinel à Google SecOps.

Créer une application logique

1. Connectez-vous au portail Azure.
2. Cliquez sur Créer une ressource.
3. Recherchez Logic App.
4. Cliquez sur Créer pour lancer le processus de création.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Abonnement : sélectionnez l'abonnement.
   • Groupe de ressources : sélectionnez le groupe de ressources.
   • Name (Nom) : saisissez un nom pour l'application logique (par exemple, Sentinel-Incidents-to-SecOps).
   • Région : sélectionnez la région.
   • Espace de travail Log Analytics : sélectionnez l'espace de travail Log Analytics.
6. Cliquez sur Examiner et créer.
7. Cliquez sur Créer.
8. Une fois l'application logique créée, cliquez sur Accéder à la ressource.

Configurer le concepteur Logic Apps

1. Cliquez sur Outils de développement> Concepteur d'applications logiques.
2. Cliquez sur Ajouter un déclencheur.
3. Recherchez Microsoft Sentinel.
4. Sélectionnez Incident Microsoft Sentinel comme déclencheur.
5. Si vous n'avez pas encore créé de connexion à Microsoft Sentinel, vous devez le faire maintenant.
6. Cliquez sur Créer et suivez les instructions pour vous authentifier :
   • Sélectionnez Se connecter avec une identité gérée (recommandé) ou Se connecter pour utiliser vos identifiants.
7. Cliquez sur Insérer une étape.
8. Cliquez sur Ajouter une action.
9. Recherchez et sélectionnez HTTP comme action.
10. Spécifiez les valeurs des paramètres d'entrée suivants :
    • URI : collez l'URL du point de terminaison du flux Google SecOps.
    • Méthode : sélectionnez POST.
    • En-têtes : ajoutez les en-têtes suivants :
      • Nom de l'en-tête : X-goog-api-key
      • Valeur : collez la clé API créée précédemment.
      • Nom de l'en-tête : X-Webhook-Access-Key
      • Valeur : collez la clé secrète issue de la création du flux.
11. Cliquez dans le champ Corps.
12. Cliquez sur l'onglet Expression dans le panneau de contenu dynamique.

13. Saisissez @{triggerBody()} dans le champ d'expression, puis cliquez sur OK.

    Remarque : L'expression @{triggerBody()} envoie le code JSON complet de l'incident à Google SecOps. Ce paramètre est obligatoire. Sans lui, le webhook reçoit des requêtes vides et aucune donnée n'est ingérée.

14. Cliquez sur Enregistrer pour enregistrer l'application logique.

Accorder des autorisations Microsoft Sentinel pour exécuter Logic App

Deux attributions d'autorisations distinctes sont nécessaires pour que les règles d'automatisation déclenchent correctement l'application logique.

Autorisation 1 : Accorder à l'identité gérée de l'application logique l'accès à l'espace de travail Sentinel

L'identité managée de l'application logique doit être autorisée à lire les incidents de l'espace de travail Microsoft Sentinel.

Activer l'identité gérée pour Logic App

1. Dans le portail Azure, accédez à votre ressource Logic App (Sentinel-Incidents-to-SecOps).
2. Dans le panneau de navigation de gauche, sélectionnez Identité sous Paramètres.
3. Dans l'onglet Attribué par le système, définissez État sur Activé.
4. Cliquez sur Enregistrer.
5. Cliquez sur Oui pour confirmer la suppression.
6. Une fois l'identité gérée activée, notez l'ID d'objet (principal) qui s'affiche.

Attribuer le rôle Répondeur Microsoft Sentinel à l'application logique

1. Dans le portail Azure, accédez à votre espace de travail Microsoft Sentinel.
2. Dans le panneau de navigation de gauche, sélectionnez Contrôle des accès (IAM) sous Paramètres.
3. Cliquez sur + Ajouter > Ajouter une attribution de rôle.
4. Dans l'onglet Rôle, recherchez et sélectionnez Répondeur Microsoft Sentinel :
   • Alternative : Si le playbook ne lit que les incidents, utilisez le rôle Lecteur Microsoft Sentinel.
5. Cliquez sur Suivant.
6. Dans l'onglet Membres, configurez les éléments suivants :
   1. Attribuer l'accès à : sélectionnez Identité gérée.
   2. Cliquez sur + Sélectionner des membres.
   3. Dans la liste Identité gérée, sélectionnez Application logique.
   4. Sélectionnez votre application logique (Sentinel-Incidents-to-SecOps) dans la liste.
7. Cliquez sur Sélectionner.
8. Cliquez sur Examiner et attribuer.
9. Cliquez de nouveau sur Vérifier et attribuer pour confirmer.

Autorisation 2 : Accorder des autorisations d'automatisation Microsoft Sentinel sur le groupe de ressources

Microsoft Sentinel nécessite le rôle Contributeur à l'automatisation Microsoft Sentinel sur le groupe de ressources contenant l'application logique. Sans cette autorisation, les règles d'automatisation ne peuvent pas déclencher de playbooks.

Accorder des autorisations d'automatisation via l'interface utilisateur Sentinel

1. Dans le portail Azure, accédez à votre espace de travail Microsoft Sentinel.
2. Accédez à Paramètres > Automatisation.
3. Cliquez sur Gérer les autorisations du playbook en haut de la page.
4. Dans le volet Gérer les autorisations, configurez les éléments suivants :
   1. Sélectionnez le groupe de ressources contenant votre application logique (Sentinel-Incidents-to-SecOps).

5. Cliquez sur Appliquer.

   Remarque : Cela accorde au principal de service Microsoft Sentinel (Azure Security Insights) le rôle Contributeur d'automatisation Microsoft Sentinel sur le groupe de ressources sélectionné.

Vérifier les autorisations d'automatisation (facultatif)

1. Dans le portail Azure, accédez au groupe de ressources contenant votre application logique.
2. Dans le panneau de navigation de gauche, sélectionnez Contrôle d'accès (IAM).
3. Cliquez sur Attributions de rôle.
4. Recherchez Azure Security Insights.

5. Vérifiez que Azure Security Insights dispose du rôle Contributeur à l'automatisation Microsoft Sentinel.

   Remarque : Si l'option Gérer les autorisations des playbooks ne s'affiche pas dans l'interface utilisateur de Sentinel, vous pouvez accorder les autorisations manuellement :

6. Accédez au groupe de ressources contenant votre application logique.

7. Sélectionnez Contrôle d'accès (IAM)> Ajouter une attribution de rôle.

8. Sélectionnez le rôle Contributeur à l'automatisation Microsoft Sentinel.

9. Dans Membres, sélectionnez Utilisateur, groupe ou compte principal de service.

10. Cliquez sur + Sélectionner des membres, puis recherchez Azure Security Insights.

11. Sélectionnez Insights sur la sécurité Azure, puis cliquez sur Sélectionner.

12. Cliquez deux fois sur Examiner et attribuer pour confirmer.

Configurer une application logique pour les alertes Microsoft Sentinel

Cette section configure une application logique distincte pour envoyer des alertes Microsoft Sentinel à Google SecOps.

Remarque : Les déclencheurs d'alertes sont en aperçu et ne peuvent être déclenchés que manuellement ou par des règles d'analyse planifiées. Elles ne peuvent pas être appelées par des règles d'automatisation.

Créer une application logique pour les alertes

1. Accédez à la page d'accueil du portail Azure.
2. Cliquez sur Créer une ressource.
3. Recherchez Logic App.
4. Cliquez sur Créer pour lancer le processus de création.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Abonnement : sélectionnez l'abonnement.
   • Groupe de ressources : sélectionnez le groupe de ressources.
   • Name (Nom) : saisissez un nom pour l'application logique (par exemple, Sentinel-Alerts-to-SecOps).
   • Région : sélectionnez la région.
   • Espace de travail Log Analytics : sélectionnez l'espace de travail Log Analytics.
6. Cliquez sur Examiner et créer.
7. Cliquez sur Créer.
8. Une fois l'application logique créée, cliquez sur Accéder à la ressource.

Configurer le concepteur Logic Apps pour les alertes

1. Cliquez sur Outils de développement> Concepteur d'applications logiques.
2. Cliquez sur Ajouter un déclencheur.
3. Recherchez Microsoft Sentinel.
4. Sélectionnez Alerte Microsoft Sentinel comme déclencheur.
5. Si vous n'avez pas encore créé de connexion à Microsoft Sentinel, vous devez le faire maintenant.
6. Cliquez sur Créer et suivez les instructions pour vous authentifier :
   • Sélectionnez Se connecter avec une identité gérée (recommandé) ou Se connecter pour utiliser vos identifiants.
7. Cliquez sur Insérer une étape.
8. Cliquez sur Ajouter une action.
9. Recherchez et sélectionnez HTTP comme action.
10. Spécifiez les valeurs des paramètres d'entrée suivants :
    • URI : collez l'URL du point de terminaison du flux Google SecOps.
    • Méthode : sélectionnez POST.
    • En-têtes : ajoutez les en-têtes suivants :
      • Nom de l'en-tête : X-goog-api-key
      • Valeur : collez la clé API créée précédemment.
      • Nom de l'en-tête : X-Webhook-Access-Key
      • Valeur : collez la clé secrète issue de la création du flux.
11. Cliquez dans le champ Corps.
12. Cliquez sur l'onglet Expression dans le panneau de contenu dynamique.

13. Saisissez @{triggerBody()} dans le champ d'expression, puis cliquez sur OK.

    Remarque : L'expression @{triggerBody()} envoie le code JSON complet de l'alerte à Google SecOps. Ce paramètre est obligatoire. Sans lui, le webhook reçoit des requêtes vides et aucune donnée n'est ingérée.

14. Cliquez sur Enregistrer pour enregistrer l'application logique.

Accorder des autorisations Microsoft Sentinel pour exécuter l'application logique d'alertes

Deux attributions d'autorisations distinctes sont requises pour l'application logique des alertes, identiques à la configuration de l'application logique des incidents.

Autorisation 1 : Accorder à l'identité managée de l'application logique d'alerte l'accès à l'espace de travail Sentinel

L'identité managée de l'application logique d'alertes doit être autorisée à lire les alertes de l'espace de travail Microsoft Sentinel.

Activer l'identité gérée pour l'application logique des alertes

1. Dans le portail Azure, accédez à la ressource de votre application logique d'alertes (Sentinel-Alerts-to-SecOps).
2. Dans le panneau de navigation de gauche, sélectionnez Identité sous Paramètres.
3. Dans l'onglet Attribué par le système, définissez État sur Activé.
4. Cliquez sur Enregistrer.
5. Cliquez sur Oui pour confirmer la suppression.
6. Une fois l'identité gérée activée, notez l'ID d'objet (principal) qui s'affiche.

Attribuer le rôle Répondeur Microsoft Sentinel à l'application logique des alertes

1. Dans le portail Azure, accédez à votre espace de travail Microsoft Sentinel.
2. Dans le panneau de navigation de gauche, sélectionnez Contrôle des accès (IAM) sous Paramètres.
3. Cliquez sur + Ajouter > Ajouter une attribution de rôle.
4. Dans l'onglet Rôle, recherchez et sélectionnez Répondeur Microsoft Sentinel :
   • Alternative : Si le playbook ne lit que les alertes, utilisez le rôle Lecteur Microsoft Sentinel.
5. Cliquez sur Suivant.
6. Dans l'onglet Membres, configurez les éléments suivants :
   1. Attribuer l'accès à : sélectionnez Identité gérée.
   2. Cliquez sur + Sélectionner des membres.
   3. Dans la liste Identité gérée, sélectionnez Application logique.
   4. Sélectionnez votre application logique d'alertes (Sentinel-Alerts-to-SecOps) dans la liste.
7. Cliquez sur Sélectionner.
8. Cliquez sur Examiner et attribuer.
9. Cliquez de nouveau sur Vérifier et attribuer pour confirmer.

Autorisation 2 : Accorder des autorisations d'automatisation Microsoft Sentinel sur le groupe de ressources pour les alertes

Microsoft Sentinel nécessite le rôle Contributeur à l'automatisation Microsoft Sentinel sur le groupe de ressources contenant l'application logique des alertes.

Accorder des autorisations d'automatisation via l'interface utilisateur Sentinel

1. Dans le portail Azure, accédez à votre espace de travail Microsoft Sentinel.
2. Accédez à Paramètres > Automatisation.
3. Cliquez sur Gérer les autorisations du playbook en haut de la page.
4. Dans le volet Gérer les autorisations, configurez les éléments suivants :
   1. Sélectionnez le groupe de ressources contenant votre application logique d'alertes (Sentinel-Alerts-to-SecOps).
      • Si ce groupe de ressources est le même que celui de l'application logique des incidents, il peut déjà être sélectionné.

5. Cliquez sur Appliquer.

   Remarque : Si le groupe de ressources a déjà été configuré pour l'application logique des incidents, cette étape accorde les mêmes autorisations pour l'application logique des alertes.

Vérifier les autorisations d'automatisation pour l'application logique d'alertes (facultatif)

1. Dans le portail Azure, accédez au groupe de ressources contenant votre application logique d'alertes.
2. Dans le panneau de navigation de gauche, sélectionnez Contrôle d'accès (IAM).
3. Cliquez sur Attributions de rôle.
4. Recherchez Azure Security Insights.
5. Vérifiez que Azure Security Insights dispose du rôle Contributeur à l'automatisation Microsoft Sentinel.

Configurer des règles d'automatisation pour Microsoft Sentinel

Les règles d'automatisation déclenchent des applications logiques lorsque des incidents sont créés ou mis à jour dans Microsoft Sentinel.

Créer une règle d'automatisation pour la création d'incidents

1. Accédez à votre espace de travail Microsoft Sentinel.
2. Cliquez sur Configuration > Automatisation.
3. Cliquez sur Créer.
4. Sélectionnez Règle d'automatisation.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Nom : saisissez un nom pour la règle d'automatisation (par exemple, Send New Incidents to SecOps).
   • Déclencheur : sélectionnez Lorsqu'un incident est créé.
   • Actions : sélectionnez Exécuter le playbook dans la liste.
   • Sélectionnez l'application logique créée pour les incidents (Sentinel-Incidents-to-SecOps).
6. Cliquez sur Appliquer.

Créer une règle d'automatisation pour les mises à jour des incidents

1. Accédez à votre espace de travail Microsoft Sentinel.
2. Cliquez sur Configuration > Automatisation.
3. Cliquez sur Créer.
4. Sélectionnez Règle d'automatisation.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Nom : saisissez un nom pour la règle d'automatisation (par exemple, Send Updated Incidents to SecOps).
   • Déclencheur : sélectionnez Lorsqu'un incident est mis à jour.
   • Condition : cliquez sur Ajouter > Condition (AND) > État > Modifié.
6. Dans la section Actions, configurez les éléments suivants :
   1. Sélectionnez Exécuter le playbook dans la liste.
   2. Sélectionnez l'application logique créée pour les incidents (Sentinel-Incidents-to-SecOps).
7. Cliquez sur Appliquer.

Créer une règle d'automatisation pour les alertes

Remarque : Les règles d'automatisation des alertes utilisent le déclencheur Lorsqu'une alerte est créée, qui est distinct des déclencheurs d'incidents.

1. Accédez à votre espace de travail Microsoft Sentinel.
2. Cliquez sur Configuration > Automatisation.
3. Cliquez sur Créer.
4. Sélectionnez Règle d'automatisation.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Nom : saisissez un nom pour la règle d'automatisation (par exemple, Send Alerts to SecOps).
   • Déclencheur : sélectionnez Lors de la création de l'alerte.
   • Actions : sélectionnez Exécuter le playbook dans la liste.
   • Sélectionnez l'application logique créée pour les alertes (Sentinel-Alerts-to-SecOps).
6. Cliquez sur Appliquer.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.