Raccogliere i log di Microsoft Sentinel

Supportato in:

Questo documento spiega come configurare Microsoft Sentinel per inviare incidenti e avvisi a Google Security Operations utilizzando Logic Apps e webhook.

Microsoft Sentinel è una soluzione cloud-native di security information and event management (SIEM) e security orchestration, automation and response (SOAR). Offre analisi della sicurezza intelligente e threat intelligence in tutta l'azienda.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale Microsoft Azure con autorizzazioni per:
    • Crea app per la logica
    • Configurare le regole di automazione di Microsoft Sentinel
    • Gestire le autorizzazioni del gruppo di risorse
    • Creare e gestire le entità di servizio
  • Accesso alla Google Cloud console (per la creazione di chiavi API)

Crea un feed webhook in Google SecOps

Creare il feed

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Sentinel Incidents).
  5. Seleziona Webhook come Tipo di origine.
  6. Seleziona Microsoft Sentinel come tipo di log.
  7. Fai clic su Avanti.
  8. Specifica i valori per i seguenti parametri di input:
    • Delimitatore di divisione (facoltativo): lascia vuoto (ogni incidente o avviso è un singolo evento).
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
  9. Fai clic su Avanti.
  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Genera e salva la chiave segreta

Dopo aver creato il feed, devi generare una chiave segreta per l'autenticazione:

  1. Nella pagina dei dettagli del feed, fai clic su Genera chiave segreta.
  2. Una finestra di dialogo mostra la chiave segreta.

  3. Copia e salva la chiave segreta in modo sicuro.

Recuperare l'URL dell'endpoint del feed

  1. Vai alla scheda Dettagli del feed.
  2. Nella sezione Endpoint Information (Informazioni sull'endpoint), copia l'URL dell'endpoint del feed.

  3. Il formato dell'URL è:

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    o

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. Salva questo URL per i passaggi successivi.

  5. Fai clic su Fine.

Crea chiave API Google Cloud

Google SecOps richiede una chiave API per l'autenticazione. Crea una chiave API limitata nella console Google Cloud .

Creare la chiave API

  1. Vai alla pagina Credenziali della consoleGoogle Cloud .
  2. Seleziona il tuo progetto (quello associato alla tua istanza di Google SecOps).
  3. Fai clic su Crea credenziali > Chiave API.
  4. Viene creata una chiave API e visualizzata in una finestra di dialogo.
  5. Fai clic su Modifica chiave API per limitare la chiave.

Limitare la chiave API

  1. Nella pagina delle impostazioni Chiave API:
    • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Webhook API Key).
  2. In Limitazioni API:
    • Seleziona Limita chiave.
    • Nell'elenco Seleziona API, cerca e seleziona API Google SecOps (o API Chronicle).
  3. Fai clic su Salva.
  4. Copia il valore della chiave API dal campo Chiave API nella parte superiore della pagina.

  5. Salva la chiave API in modo sicuro.

Configurare Logic App per gli incidenti di Microsoft Sentinel

Questa sezione configura un'app per la logica per inviare gli incidenti di Microsoft Sentinel a Google SecOps.

Crea app per la logica

  1. Accedi al portale di Azure.
  2. Fai clic su Crea una risorsa.
  3. Cerca Logic App.
  4. Fai clic su Crea per avviare il processo di creazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Abbonamento: seleziona l'abbonamento.
    • Gruppo di risorse: seleziona il gruppo di risorse.
    • Nome: inserisci un nome per l'app per la logica (ad esempio, Sentinel-Incidents-to-SecOps).
    • Regione: seleziona la regione.
    • Spazio di lavoro Log Analytics: seleziona lo spazio di lavoro Log Analytics.
  6. Fai clic su Review + create (Rivedi e crea).
  7. Fai clic su Crea.
  8. Dopo aver creato l'app per la logica, fai clic su Vai alla risorsa.

Configura Logic App Designer

  1. Fai clic su Strumenti di sviluppo > Logic App Designer.
  2. Fai clic su Aggiungi un attivatore.
  3. Cerca Microsoft Sentinel.
  4. Seleziona Incidente Microsoft Sentinel come trigger.
  5. Se non hai ancora creato una connessione a Microsoft Sentinel, devi farlo ora.
  6. Fai clic su Crea nuovo e segui le istruzioni per l'autenticazione:
    • Seleziona Accedi con l'identità gestita (opzione consigliata) o Accedi per utilizzare le tue credenziali.
  7. Fai clic su Inserisci un nuovo passaggio.
  8. Fai clic su Aggiungi un'azione.
  9. Cerca e seleziona HTTP come azione.
  10. Specifica i valori per i seguenti parametri di input:
    • URI: incolla l'URL dell'endpoint del feed dal feed Google SecOps.
    • Metodo: seleziona POST.
    • Intestazioni: aggiungi le seguenti intestazioni:
      • Nome intestazione: X-goog-api-key
      • Valore: incolla la chiave API creata in precedenza.
      • Nome intestazione: X-Webhook-Access-Key
      • Valore: incolla la chiave segreta dalla creazione del feed.
  11. Fai clic sul campo Corpo.
  12. Fai clic sulla scheda Espressione nel riquadro dei contenuti dinamici.

  13. Inserisci @{triggerBody()} nel campo dell'espressione e fai clic su Ok.

  14. Fai clic su Salva per salvare l'app per la logica.

Concedere le autorizzazioni a Microsoft Sentinel per eseguire Logic App

Per attivare correttamente l'app per la logica, sono necessarie due assegnazioni di autorizzazioni separate per le regole di automazione.

Autorizzazione 1: concedi all'identità gestita dell'app logica l'accesso allo spazio di lavoro Sentinel

L'identità gestita dell'app per la logica deve disporre dell'autorizzazione per leggere gli incidenti dallo spazio di lavoro Microsoft Sentinel.

Abilitare l'identità gestita per l'app logica

  1. Nel portale di Azure, vai alla risorsa dell'app per la logica (Sentinel-Incidents-to-SecOps).
  2. Nel menu di navigazione a sinistra, seleziona Identità in Impostazioni.
  3. Nella scheda Assegnato dal sistema, imposta Stato su On.
  4. Fai clic su Salva.
  5. Fai clic su Yes (Sì) per confermare.
  6. Dopo l'attivazione, prendi nota dell'ID oggetto (entità) visualizzato.

Concedi il ruolo di Microsoft Sentinel Responder all'app logica

  1. Nel portale Azure, vai al tuo workspace Microsoft Sentinel.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM) in Impostazioni.
  3. Fai clic su + Aggiungi > Assegna ruolo.
  4. Nella scheda Ruolo, cerca e seleziona Microsoft Sentinel Responder:
    • Alternativa: se il playbook legge solo gli incidenti, utilizza il ruolo Lettore Microsoft Sentinel.
  5. Fai clic su Avanti.
  6. Nella scheda Membri, configura quanto segue:
    1. Assegna accesso a: seleziona Identità gestita.
    2. Fai clic su + Seleziona membri.
    3. Nell'elenco Identità gestita, seleziona Logic App.
    4. Seleziona la tua app per la logica (Sentinel-Incidents-to-SecOps) dall'elenco.
  7. Fai clic su Seleziona.
  8. Fai clic su Rivedi e assegna.
  9. Fai di nuovo clic su Rivedi e assegna per confermare.

Autorizzazione 2: concedi le autorizzazioni di automazione di Microsoft Sentinel sul gruppo di risorse

Microsoft Sentinel richiede il ruolo Collaboratore automazione Microsoft Sentinel nel gruppo di risorse contenente l'app per la logica. Senza questa autorizzazione, le regole di automazione non possono attivare i playbook.

Concedi le autorizzazioni di automazione tramite la UI di Sentinel

  1. Nel portale Azure, vai al tuo workspace Microsoft Sentinel.
  2. Vai a Impostazioni > Automazione.
  3. Fai clic su Gestisci autorizzazioni playbook nella parte superiore della pagina.
  4. Nel riquadro Gestisci autorizzazioni, configura quanto segue:
    1. Seleziona il gruppo di risorse contenente la tua app per la logica (Sentinel-Incidents-to-SecOps).

  5. Fai clic su Applica.

(Facoltativo) Verifica le autorizzazioni di automazione

  1. Nel portale Azure, vai al gruppo di risorse contenente la tua app per la logica.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM).
  3. Fai clic su Assegnazioni dei ruoli.
  4. Cerca Azure Security Insights.

  5. Verifica che Azure Security Insights disponga del ruolo Collaboratore automazione Microsoft Sentinel.

  6. Vai al gruppo di risorse contenente la tua app per la logica.

  7. Seleziona Controllo dell'accesso (IAM) > Aggiungi assegnazione di ruolo.

  8. Seleziona il ruolo Microsoft Sentinel Automation Contributor.

  9. In Membri, seleziona Utente, gruppo o service principal.

  10. Fai clic su + Seleziona membri e cerca Azure Security Insights.

  11. Seleziona Azure Security Insights e fai clic su Seleziona.

  12. Fai clic due volte su Rivedi e assegna per confermare.

Configurare l'app per la logica per gli avvisi di Microsoft Sentinel

Questa sezione configura un'app per la logica separata per inviare avvisi di Microsoft Sentinel a Google SecOps.

Crea un'app per la logica per gli avvisi

  1. Vai alla home page del portale Azure.
  2. Fai clic su Crea una risorsa.
  3. Cerca Logic App.
  4. Fai clic su Crea per avviare il processo di creazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Abbonamento: seleziona l'abbonamento.
    • Gruppo di risorse: seleziona il gruppo di risorse.
    • Nome: inserisci un nome per l'app per la logica (ad esempio, Sentinel-Alerts-to-SecOps).
    • Regione: seleziona la regione.
    • Spazio di lavoro Log Analytics: seleziona lo spazio di lavoro Log Analytics.
  6. Fai clic su Review + create (Rivedi e crea).
  7. Fai clic su Crea.
  8. Dopo aver creato l'app per la logica, fai clic su Vai alla risorsa.

Configura Logic App Designer per gli avvisi

  1. Fai clic su Strumenti di sviluppo > Logic App Designer.
  2. Fai clic su Aggiungi un attivatore.
  3. Cerca Microsoft Sentinel.
  4. Seleziona Avviso Microsoft Sentinel come attivatore.
  5. Se non hai ancora creato una connessione a Microsoft Sentinel, devi farlo ora.
  6. Fai clic su Crea nuovo e segui le istruzioni per l'autenticazione:
    • Seleziona Accedi con l'identità gestita (opzione consigliata) o Accedi per utilizzare le tue credenziali.
  7. Fai clic su Inserisci un nuovo passaggio.
  8. Fai clic su Aggiungi un'azione.
  9. Cerca e seleziona HTTP come azione.
  10. Specifica i valori per i seguenti parametri di input:
    • URI: incolla l'URL dell'endpoint del feed dal feed Google SecOps.
    • Metodo: seleziona POST.
    • Intestazioni: aggiungi le seguenti intestazioni:
      • Nome intestazione: X-goog-api-key
      • Valore: incolla la chiave API creata in precedenza.
      • Nome intestazione: X-Webhook-Access-Key
      • Valore: incolla la chiave segreta dalla creazione del feed.
  11. Fai clic sul campo Corpo.
  12. Fai clic sulla scheda Espressione nel riquadro dei contenuti dinamici.

  13. Inserisci @{triggerBody()} nel campo dell'espressione e fai clic su Ok.

  14. Fai clic su Salva per salvare l'app per la logica.

Concedere le autorizzazioni a Microsoft Sentinel per eseguire l'app per la logica degli avvisi

Per l'app per la logica degli avvisi sono necessarie due assegnazioni di autorizzazioni separate, identiche alla configurazione dell'app per la logica degli incidenti.

Autorizzazione 1: concedi all'identità gestita dell'app logica di avvisi l'accesso allo spazio di lavoro Sentinel

L'identità gestita dell'app per la logica degli avvisi deve disporre dell'autorizzazione per leggere gli avvisi dallo spazio di lavoro Microsoft Sentinel.

Abilita l'identità gestita per l'app per la logica degli avvisi

  1. Nel portale Azure, vai alla risorsa dell'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps).
  2. Nel menu di navigazione a sinistra, seleziona Identità in Impostazioni.
  3. Nella scheda Assegnato dal sistema, imposta Stato su On.
  4. Fai clic su Salva.
  5. Fai clic su Yes (Sì) per confermare.
  6. Dopo l'attivazione, prendi nota dell'ID oggetto (entità) visualizzato.

Concedi il ruolo di risponditore di Microsoft Sentinel all'app per la logica degli avvisi

  1. Nel portale Azure, vai al tuo workspace Microsoft Sentinel.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM) in Impostazioni.
  3. Fai clic su + Aggiungi > Assegna ruolo.
  4. Nella scheda Ruolo, cerca e seleziona Microsoft Sentinel Responder:
    • Alternativa: se il playbook legge solo gli avvisi, utilizza il ruolo Lettore Microsoft Sentinel.
  5. Fai clic su Avanti.
  6. Nella scheda Membri, configura quanto segue:
    1. Assegna accesso a: seleziona Identità gestita.
    2. Fai clic su + Seleziona membri.
    3. Nell'elenco Identità gestita, seleziona Logic App.
    4. Seleziona l'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps) dall'elenco.
  7. Fai clic su Seleziona.
  8. Fai clic su Rivedi e assegna.
  9. Fai di nuovo clic su Rivedi e assegna per confermare.

Autorizzazione 2: concedi le autorizzazioni di automazione di Microsoft Sentinel sul gruppo di risorse per gli avvisi

Microsoft Sentinel richiede il ruolo Collaboratore automazione Microsoft Sentinel nel gruppo di risorse contenente l'app per la logica degli avvisi.

Concedi le autorizzazioni di automazione tramite la UI di Sentinel

  1. Nel portale Azure, vai al tuo workspace Microsoft Sentinel.
  2. Vai a Impostazioni > Automazione.
  3. Fai clic su Gestisci autorizzazioni playbook nella parte superiore della pagina.
  4. Nel riquadro Gestisci autorizzazioni, configura quanto segue:
    1. Seleziona il gruppo di risorse contenente l'app per la logica degli avvisi (Sentinel-Alerts-to-SecOps).
      • Se si tratta dello stesso gruppo di risorse dell'app per la logica degli incidenti, potrebbe essere già selezionato.

  5. Fai clic su Applica.

(Facoltativo) Verifica delle autorizzazioni di automazione per l'app per la logica degli avvisi

  1. Nel portale Azure, vai al gruppo di risorse contenente l'app per la logica degli avvisi.
  2. Nel menu di navigazione a sinistra, seleziona Controllo dell'accesso (IAM).
  3. Fai clic su Assegnazioni dei ruoli.
  4. Cerca Azure Security Insights.
  5. Verifica che Azure Security Insights disponga del ruolo Collaboratore automazione Microsoft Sentinel.

Configurare le regole di automazione per Microsoft Sentinel

Le regole di Automation attivano Logic Apps quando vengono creati o aggiornati incidenti in Microsoft Sentinel.

Crea una regola di automazione per la creazione di incidenti

  1. Vai al tuo workspace Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola di automazione (ad esempio, Send New Incidents to SecOps).
    • Trigger: seleziona Quando viene creato l'incidente.
    • Azioni: seleziona Esegui playbook dall'elenco.
    • Seleziona l'app per la logica creata per gli incidenti (Sentinel-Incidents-to-SecOps).
  6. Fai clic su Applica.

Crea una regola di automazione per gli aggiornamenti degli incidenti

  1. Vai al tuo workspace Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola di automazione (ad esempio, Send Updated Incidents to SecOps).
    • Trigger: seleziona Quando l'incidente viene aggiornato.
    • Condizione: fai clic su Aggiungi > Condizione (AND) > Stato > Modificato.
  6. Nella sezione Azioni, configura quanto segue:
    1. Seleziona Esegui playbook dall'elenco.
    2. Seleziona l'app per la logica creata per gli incidenti (Sentinel-Incidents-to-SecOps).
  7. Fai clic su Applica.

Crea una regola di automazione per gli avvisi

  1. Vai al tuo workspace Microsoft Sentinel.
  2. Fai clic su Configurazione > Automazione.
  3. Fai clic su Crea.
  4. Seleziona Regola di automazione.
  5. Specifica i valori per i seguenti parametri di input:
    • Nome: inserisci un nome per la regola di automazione (ad esempio, Send Alerts to SecOps).
    • Attivatore: seleziona Quando viene creato l'avviso.
    • Azioni: seleziona Esegui playbook dall'elenco.
    • Seleziona l'app per la logica creata per gli avvisi (Sentinel-Alerts-to-SecOps).
  6. Fai clic su Applica.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.