استخدم تكامل Microsoft Sentinel لتضمين بيانات الأحداث من وإلى Cato في عمليات المراقبة والتتبع والتحقيق الحالية الخاصة بك. يرسل التكامل الأصلي الأحداث مباشرة من Cato إلى Sentinel ويقوم بتخطيطها تلقائيًا إلى نموذج بيانات Sentinel، بحيث يمكن لوحات المعلومات وقواعد التحليل والتنبيهات والوظائف الأخرى الخاصة بـ Sentinel معالجة بيانات حدث Cato دون الحاجة إلى تحليل إضافي أو تطبيع.
يستخدم التكامل موصل مستأجر Microsoft القياسي لتحقق النقل عبر تكاملات Cato وMicrosoft. يوفر الموصل المشترك سير عمل إعداد متسقًا وتحكمًا مركزيًا في الوصول من أجل تكاملات مثل Entra ID وتطبيق API وبياناته.
تستخدم إحدى الشركات Microsoft Sentinel لمراقبة الأمان المركزي والرد. بصفتهم عملاء كاتو، لديهم بيانات مفيدة من ميزات الأمان الرئيسية مثل IPS. يمكنهم استخدام هذا الدمج لإرسال أنواع أحداث IPS ذات الشدة العالية مباشرة إلى Sentinel، حيث يمكن دمجها بسهولة في سير العمل الحالي لفريق الأمن السيبراني (SoC).
-
تكامل مستأجر MS في علامة التبويب التكاملات المعدة في CMA (الموارد > التكاملات)
هذا هو الدمج الأب لتطبيقات Microsoft
- مساحة عمل لتحليلات السجلات موجودة مسبقًا في Sentinel حيث سيتم تخزين أحداث Cato
- لإضافة موصل، يجب أن يكون لديك إذن محرر لـ التكاملات (في قسم الموارد). لمزيد من المعلومات، انظر إلى إدارة أدوار المسؤول باستخدام RBAC.
- راجع المتطلبات الأساسية لجميع تكاملات أحداث Cato في البدء باستخدام التكاملات الحدثية
يعمل مستأجر MS كموصل أم لمعظم تطبيقات Microsoft. عند إضافة دمج مع تطبيق Microsoft، تكون الخطوة الأولى لتكوين الدمج هي إنشاء موصل الأب. تحتاج فقط لتكوين هذا الموصل مرة واحدة، ثم يمكن استخدامه لجميع تطبيقات Microsoft.
لإنشاء تكامل المستأجر MS:
- من قائمة التنقل، اختر الموارد > التكاملات واضغط على علامة التبويب المعدة التكاملات.
- اضغط على جديد. يفتح لوحة موصل جديد.
-
في لوحة موصل جديد، حدد تطبيق مستأجر MS (تكوين مستأجر MS جديد).
- أدخل اسم الموصل.
-
انقر فوق تفويض وحفظ.
تفتح علامة تبويب متصفح جديدة على تطبيق Microsoft 365.
- في علامة تبويب المتصفح الجديدة، قم بالمصادقة على تطبيق Microsoft 365:
-
حدد حساب Microsoft لتطبيق Microsoft 365.
وإلا، قد يكون هناك خطأ في مصادقة Microsoft.
- أدخل كلمة المرور للتطبيق ووافق عليه.
- قبول الأذونات للسماح لـ Cato بالوصول إلى تطبيق Microsoft 365.
-
تظهر الشاشة أنك قد نجحت في تطبيق الأذونات للتطبيق.
يمكنك إغلاق علامة تبويب المتصفح والعودة إلى تطبيق إدارة كاتو.
-
- يتم إضافة تطبيق SaaS الخاص بـ Microsoft 365 إلى علامة تبويب التطبيقات المتكاملة.
حدد دمج Sentinel في إدارة كاتو عن طريق تحديد مستأجر Microsoft الهدف ومكان العمل والجدول، وكذلك تحديد الأحداث التي ترغب في تضمينها في الدمج باستخدام المرشحات. بعد ذلك، احفظ دمج Sentinel، تحتاج إلى المصادقة إلى مستأجر Microsoft والسماح لـ Cato بدفع البيانات لحساب Sentinel الخاص بك.
بعد إنشاء التكامل في CMA، لديك 10 دقائق لإكمال العملية في Microsoft لأسباب أمنية. إذا لم تكتمل العملية خلال هذا الإطار الزمني، ستحتاج إلى حذف الدمج في إدارة كاتو والبدء من جديد.
بعد إنشاء الدمج، تتدفق البيانات إلى Microsoft في الجدول الذي حددته أعلاه. تقوم كاتو بإلحاق الحروف "_CL" باسم الجدول لمساعدتك في تمييزه عن الجداول المدمجة في Microsoft.
حذف الدمج في إدارة كاتو لا يؤدي إلى إزالة أي موارد تم إنشاؤها في Microsoft.
ملاحظة: إذا كان الوصول إلى الخدمة الخارجية محدودًا لعناوين IP معينة، يرجى الرجوع إلى هذه المقالة للحصول على قائمة عناوين IP الخاصة بـ Cato التي تحتاج إلى السماح بها (يجب أن تكون مسجلًا للدخول لعرض هذه المقالة).
لإنشاء دمج Sentinel:
- من قائمة التنقل، اضغط على الموارد > التكاملات.
- على علامة التبويب التكاملات المعدة، اضغط جديد. يفتح لوحة تكامل جديد.
-
حدد Microsoft Sentinel وقم بتكوين الحقول التالية:
- أدخل اسمًا لهذا التكامل.
- حدد اسم تكامل المستأجر MS في حقل مستأجر الموصل.
- أدخل اسم مساحة العمل لتحليلات السجل الموجودة لديك لاستقبال البيانات في تحليلات السجل لـ Microsoft.
- أدخل اسم جدول لتحليل السجلات جديد للاحتفاظ بالبيانات في مساحة العمل لتحليل السجلات بهذا الاسم.
- حدد عدد الأيام التي تريد أن يحتفظ Microsoft فيها ببيانات Cato في حقل أيام الاحتفاظ بالجدول.
- أضف مرشحًا لإرسال بعض أحداث Cato فقط إلى Microsoft Sentinel.
- اضغط على حفظ لنشر التكامل إلى Microsoft. لديك الآن عشر دقائق لإكمال الإعداد في Microsoft.
-
يفتح لسان المتصفح ويوجهك لتفويض إنشاء التكامل في Microsoft.
ملاحظة: يجب أن تقوم بتفويض التكامل مع نفس المستأجر الذي تم إنشاء الموصل الرئيسي معه في تكامل MS Tenant أعلاه وأن يكون لديك مستخدم لديه أذونات لإنشاء الموارد على ذلك المستأجر.
-
في بوابة Microsoft، حدد مجموعة الموارد والمنطقة التي تحتوي على مساحة عمل تحليلات السجل الهدف واضغط على مراجعة + إنشاء.
- انقر فوق إنشاء لبدء النشر.
- عند اكتمال النشر، يمكنك غلق نافذة Microsoft.
-
في إدارة كاتو، بعد تحديث صفحة الإضافات، يمكنك عرض حالة الدمج في علامة التبويب التطبيقات المتكاملة.
بالإضافة إلى الدمج المباشر الأصلي الموصوف في هذه المقالة، يمكنك أيضًا دمج أحداث كاتو مع Microsoft Sentinel باستخدام الأدوات في حساب Cato على GitHub. كل نهج يقدم مزايا مميزة حسب أهدافك وبيئتك.
يقدم الدمج الأصلي لكاتو حلاً قابلاً للتوسع والدعم بأقل تكوين. فوائد الدمج الأصلي تتضمن:
- القدرة على معالجة كميات كبيرة من الأحداث بكفاءة دون قيود قائمة على API
- مدعومة بالكامل بواسطة Cato
- يقوم بربط مخطط البيانات بين Cato وMicrosoft Sentinel تلقائيًا
- قيود الأحداث الكبيرة: يمكن لبعض أحداث XOps أن تتضمن معلومات قصة واسعة في حقل البيانات الخام، وهو ما قد يؤدي إلى تجاوز الحد الأقصى لحجم الإدخال في Microsoft Sentinel (تقريبًا 1 ميجابايت). عندما يحدث ذلك، تواصل Cato إرسال الحدث إلى Sentinel، ولكنها تحذف حقل البيانات الخام للحفاظ على التوافق مع متطلبات الإدخال في Sentinel.
لا توجد تعليقات
الرجاء تسجيل الدخول لترك تعليق.