Raccogli i log di Microsoft Sentinel

Supportata in:

Questo documento spiega come configurare Microsoft Sentinel per inviare incidenti e avvisi a Google Security Operations utilizzando app per la logica e webhook.

Microsoft Sentinel è una soluzione cloud-native di security information and event management (SIEM) e security orchestration, automation and response (SOAR). Fornisce analisi di sicurezza intelligenti e informazioni sulle minacce in tutta l'azienda.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale di Microsoft Azure con le autorizzazioni per:
    • Crea app per la logica
    • Configura le regole di automazione di Microsoft Sentinel
    • Gestisci le autorizzazioni del gruppo di risorse
    • Crea e gestisci le entità di servizio
  • Accesso alla console Google Cloud (per la creazione delle chiavi API)

Crea un feed webhook in Google SecOps

Crea il feed

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed di notizie.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Sentinel Incidents).
  5. Seleziona Webhook come Tipo di origine.
  6. Seleziona Microsoft Sentinel come Tipo di log.
  7. Fai clic su Avanti.
  8. Specifica i valori per i seguenti parametri di input:
    • (Facoltativo) Delimitatore di suddivisione: lascia vuoto (ogni incidente o avviso è un singolo evento).
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
  9. Fai clic su Avanti.
  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza, quindi fai clic su Invia.

Genera e salva la chiave segreta

Dopo aver creato il feed, devi generare una chiave segreta per l'autenticazione:

  1. Nella pagina dei dettagli del feed, fai clic su Genera chiave segreta.
  2. Viene visualizzata una finestra di dialogo con la chiave segreta.

  3. Copia e salva la chiave segreta in modo sicuro.

Ottieni l'URL dell'endpoint del feed

  1. Vai alla scheda Dettagli del feed.
  2. Nella sezione Endpoint Information (Informazioni sull'endpoint), copia l'Feed endpoint URL (URL endpoint del feed).

  3. Il formato dell'URL è:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dove {region} è la regione dell'istanza Google SecOps (ad esempio us, europe o asia-southeast1) e {parent} è il percorso della risorsa nel formato projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Salva questo URL per i passaggi successivi.

  5. Fai clic su Fine.

Crea una chiave API Google Cloud

Google SecOps richiede una chiave API per l'autenticazione. Crea una chiave API con limitazioni nella console Google Cloud .

Crea la chiave API

  1. Vai alla pagina Credenziali della consoleGoogle Cloud .
  2. Seleziona il tuo progetto (il progetto associato alla tua istanza di Google SecOps).
  3. Fai clic su Crea credenziali > Chiave API.
  4. Viene creata una chiave API e visualizzata in una finestra di dialogo.
  5. Fai clic su Modifica chiave API per limitare la chiave.

Limitare la chiave API

  1. Nella pagina delle impostazioni della chiave API:
    • Nome: inserisci un nome descrittivo (ad esempio Google SecOps Webhook API Key).
  2. In Restrizioni API:
    • Seleziona Limita chiave.
    • Nell'elenco Seleziona API, cerca e seleziona API Google SecOps (o API Chronicle).
  3. Fai clic su Salva.
  4. Copia il valore della chiave API dal campo Chiave API nella parte superiore della pagina.

  5. Salva la chiave API in modo sicuro.

Configurare l'app per la logica per gli incidenti di Microsoft Sentinel

Questa sezione configura un'app per la logica per inviare gli incidenti di Microsoft Sentinel a Google SecOps.

Crea app per la logica

  1. Accedi al portale di Azure.
  2. Fai clic su Crea una risorsa.
  3. Cerca App per la logica.
  4. Fai clic su Crea per avviare il processo di creazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Abbonamento: seleziona l'abbonamento.
    • Gruppo di risorse: seleziona il gruppo di risorse.
    • Nome: inserisci un nome per l'app per la logica (ad esempio, Sentinel-Incidents-to-SecOps).
    • Regione: seleziona la regione.
    • Workspace di Analisi dei log: seleziona il workspace di Analisi dei log.
  6. Fai clic su Review + create (Rivedi e crea).
  7. Fai clic su Crea.
  8. Dopo aver creato l'app per la logica, fai clic su Vai alla risorsa.

Configura Logic App Designer

  1. Fai clic su Strumenti di sviluppo > Progettazione app per la logica.
  2. Fai clic su Aggiungi un trigger.
  3. Cerca Microsoft Sentinel.
  4. Seleziona Incidente di Microsoft Sentinel come trigger.
  5. Se non hai ancora creato una connessione a Microsoft Sentinel, devi farlo ora.
  6. Fai clic su Crea nuovo e segui le istruzioni per l'autenticazione:
    • Seleziona Accedi con l'identità gestita (opzione consigliata) o Accedi per utilizzare le tue credenziali.
  7. Fai clic su Inserisci un nuovo passaggio.
  8. Fai clic su Aggiungi un'azione.
  9. Cerca e seleziona HTTP come azione.
  10. Specifica i valori per i seguenti parametri di input:
    • URI: incolla l'URL dell'endpoint del feed dal feed Google SecOps.
    • Metodo: seleziona POST.
    • Intestazioni: aggiungi le seguenti intestazioni:
      • Nome intestazione: X-goog-api-key
      • Valore: incolla la chiave API creata in precedenza.
      • Nome intestazione: X-Webhook-Access-Key
      • Valore: incolla la chiave secret della creazione del feed.
  11. Fai clic sul campo Corpo.
  12. Fai clic sulla scheda Espressione nel riquadro dei contenuti dinamici.

  13. Inserisci @{triggerBody()} nel campo dell'espressione e fai clic su Ok.

  14. Fai clic su Salva per salvare l'app per la logica.

Concedi a Microsoft Sentinel le autorizzazioni per eseguire l'app per la logica

Per consentire alle regole automatizzate di attivare correttamente l'app per la logica, sono necessarie due assegnazioni di autorizzazioni separate.

Autorizzazione 1: concedi all'identità gestita dell'app logica l'accesso allo spazio di lavoro Sentinel

L'identità gestita dell'app per la logica deve disporre dell'autorizzazione per leggere gli incidenti dall'area di lavoro di Microsoft Sentinel.

Abilitare l'identità gestita per l'app logica

  1. Nel portale Azure, vai alla risorsa Logic App (Sentinel-Incidents-to-SecOps).
  2. Nel menu di navigazione a sinistra, seleziona Identità in Impostazioni.
  3. Nella scheda Assegnata dal sistema, imposta Stato su On.
  4. Fai clic su Salva.
  5. Fai clic su Yes (Sì) per confermare.
  6. Dopo l'attivazione, prendi nota dell'ID oggetto (entità) visualizzato.

Concedi il ruolo Microsoft Sentinel Responder all'app per la logica

  1. Nel portale Azure, vai all'area di lavoro Microsoft Sentinel.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM) in Impostazioni.
  3. Fai clic su + Aggiungi > Aggiungi assegnazione ruolo.
  4. Nella scheda Ruolo, cerca e seleziona Microsoft Sentinel Responder:
    • Alternativa: se il playbook legge solo gli incidenti, utilizza il ruolo Microsoft Sentinel Reader.
  5. Fai clic su Avanti.
  6. Nella scheda Membri, configura quanto segue:
    1. Assegna accesso a: seleziona Identità gestita.
    2. Fai clic su + Seleziona membri.
    3. Nell'elenco Identità gestita, seleziona Logic App.
    4. Seleziona la tua app per la logica (Sentinel-Incidents-to-SecOps) dall'elenco.
  7. Fai clic su Seleziona.
  8. Fai clic su Review + assign (Rivedi e assegna).
  9. Fai di nuovo clic su Rivedi e assegna per confermare.

Autorizzazione 2: concedi le autorizzazioni di automazione di Microsoft Sentinel al gruppo di risorse

Microsoft Sentinel richiede il ruolo Collaboratore di automazione di Microsoft Sentinel nel gruppo di risorse contenente l'app per la logica. Senza questa autorizzazione, le regole di automazione non possono attivare i playbook.

Concedi le autorizzazioni di automazione tramite l'interfaccia utente di Sentinel

  1. Nel portale Azure, vai alla tua area di lavoro Microsoft Sentinel.
  2. Vai a Impostazioni > Automazione.
  3. Fai clic su Gestisci le autorizzazioni del playbook nella parte superiore della pagina.
  4. Nel riquadro Gestisci autorizzazioni, configura quanto segue:
    1. Seleziona il gruppo di risorse contenente la tua app per la logica (Sentinel-Incidents-to-SecOps).

  5. Fai clic su Applica.

(Facoltativo) Verifica le autorizzazioni di automazione

  1. Nel portale Azure, vai al gruppo di risorse contenente la tua app per la logica.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM).
  3. Fai clic su Assegnazioni di ruoli.
  4. Cerca Azure Security Insights.

  5. Verifica che Azure Security Insights abbia il ruolo Collaboratore di automazione di Microsoft Sentinel.

  6. Vai al gruppo di risorse contenente l'app per la logica.

  7. Seleziona Controllo degli accessi (IAM) > Aggiungi assegnazione di ruolo.

  8. Seleziona il ruolo Microsoft Sentinel Automation Contributor.

  9. In Membri, seleziona Utente, gruppo o entità servizio.

  10. Fai clic su + Seleziona membri e cerca Azure Security Insights.

  11. Seleziona Azure Security Insights e fai clic su Select (Seleziona).

  12. Fai clic due volte su Rivedi e assegna per confermare.

Configurare l'app per la logica per gli avvisi di Microsoft Sentinel

Questa sezione configura un'app per la logica separata per inviare gli avvisi di Microsoft Sentinel a Google SecOps.

Crea un'app per la logica per gli avvisi

  1. Vai alla home page del portale Azure.
  2. Fai clic su Crea una risorsa.
  3. Cerca App per la logica.
  4. Fai clic su Crea per avviare il processo di creazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Abbonamento: seleziona l'abbonamento.
    • Gruppo di risorse: seleziona il gruppo di risorse.
    • Nome: inserisci un nome per l'app per la logica (ad esempio, Sentinel-Alerts-to-SecOps).
    • Regione: seleziona la regione.
    • Workspace di Analisi dei log: seleziona il workspace di Analisi dei log.
  6. Fai clic su Review + create (Rivedi e crea).
  7. Fai clic su Crea.
  8. Dopo aver creato l'app per la logica, fai clic su Vai alla risorsa.

Configura Logic App Designer per gli avvisi

  1. Fai clic su Strumenti di sviluppo > Progettazione app per la logica.
  2. Fai clic su Aggiungi un trigger.
  3. Cerca Microsoft Sentinel.
  4. Seleziona Avviso Microsoft Sentinel come attivatore.
  5. Se non hai ancora creato una connessione a Microsoft Sentinel, devi farlo ora.
  6. Fai clic su Crea nuovo e segui le istruzioni per l'autenticazione:
    • Seleziona Accedi con l'identità gestita (opzione consigliata) o Accedi per utilizzare le tue credenziali.
  7. Fai clic su Inserisci un nuovo passaggio.
  8. Fai clic su Aggiungi un'azione.
  9. Cerca e seleziona HTTP come azione.
  10. Specifica i valori per i seguenti parametri di input:
    • URI: incolla l'URL dell'endpoint del feed dal feed Google SecOps.
    • Metodo: seleziona POST.
    • Intestazioni: aggiungi le seguenti intestazioni:
      • Nome intestazione: X-goog-api-key
      • Valore: incolla la chiave API creata in precedenza.
      • Nome intestazione: X-Webhook-Access-Key
      • Valore: incolla la chiave secret della creazione del feed.
  11. Fai clic sul campo Corpo.
  12. Fai clic sulla scheda Espressione nel riquadro dei contenuti dinamici.

  13. Inserisci @{triggerBody()} nel campo dell'espressione e fai clic su Ok.

  14. Fai clic su Salva per salvare l'app per la logica.

Concedere le autorizzazioni a Microsoft Sentinel per eseguire l'app per la logica degli avvisi

Per l'app per la logica degli avvisi sono necessarie due assegnazioni di autorizzazioni separate, identiche alla configurazione dell'app per la logica degli incidenti.

Autorizzazione 1: concedi all'identità gestita dell'app logica degli avvisi l'accesso allo spazio di lavoro Sentinel

L'identità gestita dell'app per la logica degli avvisi deve disporre dell'autorizzazione per leggere gli avvisi dallo spazio di lavoro Microsoft Sentinel.

Abilita l'identità gestita per l'app per la logica degli avvisi

  1. Nel portale Azure, vai alla risorsa dell'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps).
  2. Nel menu di navigazione a sinistra, seleziona Identità in Impostazioni.
  3. Nella scheda Assegnata dal sistema, imposta Stato su On.
  4. Fai clic su Salva.
  5. Fai clic su Yes (Sì) per confermare.
  6. Dopo l'attivazione, prendi nota dell'ID oggetto (entità) visualizzato.

Concedi il ruolo di risponditore di Microsoft Sentinel all'app per la logica degli avvisi

  1. Nel portale Azure, vai all'area di lavoro Microsoft Sentinel.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM) in Impostazioni.
  3. Fai clic su + Aggiungi > Aggiungi assegnazione ruolo.
  4. Nella scheda Ruolo, cerca e seleziona Microsoft Sentinel Responder:
    • Alternativa: se il playbook legge solo gli avvisi, utilizza il ruolo Lettore Microsoft Sentinel.
  5. Fai clic su Avanti.
  6. Nella scheda Membri, configura quanto segue:
    1. Assegna accesso a: seleziona Identità gestita.
    2. Fai clic su + Seleziona membri.
    3. Nell'elenco Identità gestita, seleziona Logic App.
    4. Seleziona l'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps) dall'elenco.
  7. Fai clic su Seleziona.
  8. Fai clic su Review + assign (Rivedi e assegna).
  9. Fai di nuovo clic su Rivedi e assegna per confermare.

Autorizzazione 2: concedi le autorizzazioni di automazione di Microsoft Sentinel al gruppo di risorse per gli avvisi

Microsoft Sentinel richiede il ruolo Microsoft Sentinel Automation Contributor nel gruppo di risorse contenente l'app per la logica degli avvisi.

Concedi le autorizzazioni di automazione tramite l'interfaccia utente di Sentinel

  1. Nel portale Azure, vai alla tua area di lavoro Microsoft Sentinel.
  2. Vai a Impostazioni > Automazione.
  3. Fai clic su Gestisci le autorizzazioni del playbook nella parte superiore della pagina.
  4. Nel riquadro Gestisci autorizzazioni, configura quanto segue:
    1. Seleziona il gruppo di risorse contenente l'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps).
      • Se si tratta dello stesso gruppo di risorse dell'app per la logica degli incidenti, potrebbe essere già selezionato.

  5. Fai clic su Applica.

(Facoltativo) Verifica delle autorizzazioni di automazione per l'app per la logica degli avvisi

  1. Nel portale Azure, vai al gruppo di risorse contenente l'app per la logica degli avvisi.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM).
  3. Fai clic su Assegnazioni di ruoli.
  4. Cerca Azure Security Insights.
  5. Verifica che Azure Security Insights abbia il ruolo Collaboratore di automazione di Microsoft Sentinel.

Configurare le regole di automazione per Microsoft Sentinel

Le regole di Automation attivano le app per la logica quando vengono creati o aggiornati incidenti in Microsoft Sentinel.

Crea una regola automatizzata per la creazione di incidenti

  1. Vai alla tua area di lavoro di Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola di automazione (ad esempio, Send New Incidents to SecOps).
    • Trigger: seleziona Quando viene creato l'incidente.
    • Azioni: seleziona Esegui playbook dall'elenco.
    • Seleziona l'app per la logica creata per gli incidenti (Sentinel-Incidents-to-SecOps).
  6. Fai clic su Applica.

Crea una regola di automazione per gli aggiornamenti degli incidenti

  1. Vai alla tua area di lavoro di Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola automatizzata (ad esempio, Send Updated Incidents to SecOps).
    • Trigger: seleziona When incident is updated (Quando l'incidente viene aggiornato).
    • Condizione: fai clic su Aggiungi > Condizione (AND) > Stato > Modificato.
  6. Nella sezione Azioni, configura quanto segue:
    1. Seleziona Esegui playbook dall'elenco.
    2. Seleziona l'app per la logica creata per gli incidenti (Sentinel-Incidents-to-SecOps).
  7. Fai clic su Applica.

Crea una regola di automazione per gli avvisi

  1. Vai al tuo spazio di lavoro Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola automatizzata (ad esempio, Send Alerts to SecOps).
    • Trigger (Attivatore): seleziona When alert is created (Quando viene creato l'avviso).
    • Azioni: seleziona Esegui playbook dall'elenco.
    • Seleziona l'app per la logica creata per gli avvisi (Sentinel-Alerts-to-SecOps).
  6. Fai clic su Applica.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.