Security Data Lake-ийн оролтууд (Inputs) — 8-р хэсэг: JSON Path from HTTP API Input

← Үндсэн хуудас

JSON Path from HTTP API Input

HTTP API input with JSON Path нь REST нөөцөөс JSON хариуг уншиж, тодорхой талбарын утгыг гаргаж аваад Security Data Lake-д мессеж болгон хадгалдаг.

JSON Path from HTTP API Input-ийг тохируулахын тулд дараах алхмуудыг дагана.

1. Урьдчилсан нөхцөлийг хангасан эсэхээ шалгана

Security Data Lake дээр HTTP API input тохируулахын өмнө дараахыг шалгана:

• Security Data Lake-ээс зорилтот REST API endpoint-д хандах боломжтой.
• API нь зөв JSON хариу буцаадаг.
• Гаргаж авах утгын JSON path-ийг мэдэж байгаа.
• API нь нэвтрэлт шаарддаг бол хандахад хэрэгтэй нэвтрэх мэдээлэл, токен эсвэл header-үүд танд бий.

2. Security Data Lake дээр оролтыг тохируулна

Оролт үүсгэх, тохируулах талаар Setting up a new Input хэсгийг (Creating a new Pull input дэд хэсэг) үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

• Title — Оролтдоо давтагдашгүй нэр өгнө.
• URI of JSON resource — HTTP хүсэлтэд JSON буцаадаг нөөцийн URI-г оруулна.
• Interval — Цуглуулагчийн ажиллах хугацааны завсар. Хугацааны нэгжийг дараагийн талбарт сонгоно. Жишээ: Interval-ийг 5, Interval time unit-ийг minutes гэж тохируулбал цуглуулагч 5 минут тутамд ажиллана.
• Interval time unit — Цуглуулагчийн ажиллах завсрын хугацааны нэгжийг сонгоно.
• JSON path of data to extract — JSON хариунаас гаргаж авах утгыг заасан JSONPath илэрхийллийг оруулна. Дэлгэрэнгүйг Use Case хэсгээс үзнэ үү.
• Message source — Үүссэн мессежийн source талбарт ашиглах утгыг заана.
• Enable Throttling — Мессеж боловсруулалт хоцорсон үед Security Data Lake энэ оролтын өгөгдөл хүлээн авалтыг түр зогсоож, системд гүйцэх боломж олгоно.
• HTTP method (optional) — Хүсэлтийн HTTP method-ийг сонгоно. Анхдагч нь GET.
• HTTP body (optional) — HTTP хүсэлтийн body-г оруулна. HTTP method нь POST эсвэл PUT бол энэ талбарыг заавал бөглөнө.
• HTTP content type (optional) — Хүсэлтийн HTTP content type-ийг сонгоно. HTTP method нь POST эсвэл PUT бол энэ талбарыг заавал бөглөнө.
• Additional, sensitive HTTP headers (optional) — Нэвтрэх эрхийн мэдээлэл зэрэг нууц мэдээлэл агуулсан HTTP header-үүдийг таслалаар тусгаарлан оруулна. Жишээ: Authorization: Bearer <token>
• Additional HTTP headers (optional) — Нэмэлт HTTP header-үүдийг таслалаар тусгаарлан оруулна. Жишээ: Accept: application/json, X-Requester: Data Insights
• Override source (optional) — Анхдагчаар source талбарт хүлээн авсан пакетийн hostname орно. Эх сурвалжийг илүү тодорхой ялгахын тулд үүнийг өөрийн мөрөөр солиж болно.
• Encoding (optional) — Мессежүүд оролтод тохируулсан encoding-той ижил байх ёстой. Жишээ нь UTF-16 гэж тохируулсан оролт руу UTF-8 мессеж илгээж болохгүй.
• Flatten JSON — Энэ сонголтыг сонговол бүх JSON-ийг хавтгайруулж, үр дүнг мессежийн талбар болгон буцаана: source = github ,jsonpath = $.download_count, interval time unit = Minutes

Use Case (Хэрэглээний жишээ)

Дараах жишээ нь GitHub-ээс тодорхой release багцын татаж авсан тоог гаргаж авна:

$ curl -XGET https://api.github.com/repos/YourAccount/YourRepo/releases/assets/12345
{
  "url": "https://api.github.com/repos/YourAccount/YourRepo/releases/assets/12345",
  "id": 12345,
  "name": "somerelease.tgz",
  "label": "somerelease.tgz",
  "content_type": "application/octet-stream",
  "state": "uploaded",
  "size": 38179285,
  "download_count": 9937,
  "created_at": "2013-09-30T20:05:01Z",
  "updated_at": "2013-09-30T20:05:46Z"
}

Энэ жишээнд зорилтот атрибут нь download_count тул JSONPath илэрхийллийг $.download_count гэж тохируулна.

Гаргаж авсан утга Security Data Lake-д дараахтай төстэй мессеж хэлбэрээр харагдана (жишээ зургийг энд оруулаагүй):

JSONPath ашиглах

JSONPath нь зөвхөн нэг талбар сонгохоос илүү боломжтой. Жишээ нь state талбар нь uploaded байгаа release-үүдийн жагсаалтаас эхний download_count-ыг гаргаж авч болно:

$.releases[?(@.state == 'uploaded')][0].download_count

Жагсаалтын зөвхөн эхний download_count-ыг сонгож болно:

$.releases[0].download_count

JSONPath-ийн талаар дэлгэрэнгүйг энэ нийтлэлээс үзнэ үү.

Microsoft Defender for Endpoint Input

Microsoft Defender for Endpoint нь үүлэн дээр суурилсан endpoint аюулгүй байдлын шийдэл бөгөөд байгууллагын төхөөрөмжүүдийг хамгаалж, активын удирдлага, аюулгүй байдлын суурь тохиргоо, эмзэг байдлын үнэлгээ, аюулын ахисан түвшний хамгаалалт зэрэг боломжуудыг өгдөг.

Microsoft Defender for Endpoint Input-ийг тохируулахын тулд дараах алхмуудыг дагана.

1. Урьдчилсан нөхцөлийг хангасан эсэхээ шалгана

Microsoft Defender for Endpoint plugin-г ашиглахын тулд байгууллагынхаа Microsoft Azure portal дээр client application үүсгэж, зөвшөөрөл олгоно. Үүний дараа Security Data Lake тогтсон завсараар Microsoft Defender for Endpoint-ээс лог татаж, шинэ логуудыг автоматаар хүлээн авна.

2. Azure дээр шаардлагатай тохиргоог хийнэ

1. 1Microsoft Azure-д нэвтэрнэ.

2. 2Хуудасны зүүн талын цэснээс Microsoft Entra ID-г сонгоно.

3. 3Зүүн талын цэснээс Manage > App Registrations-ийг сонгоно.

4. 4Хуудасны баруун талаас New Registration-ийг сонгоно.

5. 5Дараах алхмаар шинэ application бүртгэнэ:

1. Application-д нэр өгнө, жишээ нь Security Data Lake Log Access.

2. Байгууллага тань нэг эсвэл олон Active Directory instance ашигладаг эсэхээс хамааран тохирох дансны төрлийг, Single Tenant эсвэл Multitenant-ийг сонгоно.

3. Register-ийг сонгоно.

> Анхааруулга: Redirect URI бүү нэмээрэй.

Application үүссэний дараа дараах талбарууд автоматаар үүснэ:

- Application (client) ID
- Directory (tenant) ID

6. 6Шинээр үүсгэсэн application дээр Certificates & Secrets руу орно.

7. 7New Client Secret-ийг сонгоно.

8. 8Шинэ secret-д тайлбар бичиж, дуусах хугацааг сонгоод Add-ийг сонгоно.

9. 9Application (client) ID, Directory (tenant) ID болон Client Secret-ийг тэмдэглэж аваарай. Оролтыг тохируулахад эдгээр утга хэрэгтэй.

3. Azure дээр client application-ийн шаардлагатай эрхийг үүсгэнэ

1. 1Шинээр үүсгэсэн application дээр API Permissions руу орно.

2. 2Add a permission-ийг сонгоно.

3. 3APIs my organization uses-ийг сонгоно.

4. 4WindowsDefenderATP-г хайна.

5. 5WindowsDefenderATP-г сонгоно.

6. 6Дараах эрхүүдийг сонгоод Add permissions-ийг дарна:

- Alert.Read.All
- Alert.ReadWrite.All
- User.Read.All
- Vulnerability.Read.All
- Machine.Read.All

7. 7Grant admin consent for...-ийг сонгоно.

8. 8Гарч ирэх цонхонд Yes-ийг сонгож баталгаажуулна.

4. Security Data Lake дээр оролтыг тохируулна

Оролт үүсгэх, тохируулах талаар Setting up a new Input хэсгийг (Creating a new Pull input дэд хэсэг) үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

• Input Name — Оролтдоо давтагдашгүй нэр өгнө.
• Directory (tenant) ID — Security Data Lake лог өгөгдөл цуглуулах Active Directory instance-ийн ID.
• Application (client) ID — 2-р алхамд үүсгэсэн Client Application-ийн ID.
• Client Secret Value — 2-р алхамд үүссэн client secret-ийн утга.
• Polling Interval — Оролт шинэ лог өгөгдлийг хэдэн минут тутамд шалгахыг заана. Анхдагч нь 5 минут бөгөөд үүнийг зөвлөдөг. Утга 1 минутаас бага байж болохгүй.
• Enable Throttling — Мессеж боловсруулалт хоцорсон үед Security Data Lake энэ оролтын шинэ өгөгдөл унших үйлдлийг түр зогсоож, системд гүйцэх боломж олгоно.
• Store Full Message — Security Data Lake мессеж бүрийн түүхий лог өгөгдлийг full_message талбарт хадгална. Энэ сонголтыг идэвхжүүлбэл хадгалалтын хэмжээ мэдэгдэхүйц нэмэгдэж болно.

Microsoft Graph Input

Microsoft Graph input нь Microsoft Graph API-ийг ашиглан и-мэйлийн лог, Microsoft Entra ID лог, directory, provisioning болон sign-in audit логуудыг цуглуулдаг. Microsoft Graph API-ийн талаар дэлгэрэнгүйг албан ёсны баримтаас үзнэ үү.

1. Урьдчилсан нөхцөлийг хангасан эсэхээ шалгана

• Танд Entra ID данс байх ёстой.

• Дэмжигдсэн лог төрлүүдэд зориулж дараах эрхтэй API user тодорхойлсон байх ёстой:

- Email Logs — Эрх: User.ReadAll, User.ReadBasic.All, Mail.Read, Mail.ReadBasic, Mail.ReadBasic.All, Mail.ReadWrite; лицензийн шаардлага: Microsoft Office 365 Business
- Directory Audit logs — Эрх: AuditLog.Read.All, Directory.Read.All, Directory.ReadWrite.All; лицензийн шаардлага: байхгүй
- Sign In Audit logs — Эрх: AuditLog.Read.All; лицензийн шаардлага: хамгийн багадаа Microsoft Entra P1 эсвэл P2
- Provisioning Audit logs — Эрх: AuditLog.Read.All; лицензийн шаардлага: байхгүй

2. Azure app тохируулна

Шинэ Azure app үүсгэж, нэвтрэхэд шаардлагатай credential-уудыг гаргахын тулд Microsoft-ийн албан ёсны зааврыг дагана. Тохиргооны явцад Client ID, Tenant ID, Client Secret-ийг тэмдэглэж аваарай. Эдгээр утга Security Data Lake дээр оролтыг тохируулахад хэрэгтэй.

3. Security Data Lake дээр оролтыг тохируулна

Оролт үүсгэх, тохируулах талаар Setting up a new Input хэсгийг (Creating a new Pull input дэд хэсэг) үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

• Input Name — Оролтдоо давтагдашгүй нэр өгнө.
• Tenant ID — Лог өгөгдөл цуглуулах Microsoft Entra ID дансны Tenant ID-г заана.
• Client ID — Microsoft Entra ID данс дээр бүртгэсэн application-ийн Client ID-г оруулна.
• Client Secret — Microsoft Entra ID данс дээр бүртгэсэн application-д үүссэн Client Secret-ийг оруулна.
• Subscription Type — Байгууллагынхаа Azure AD захиалгын төрлийг сонгоно.
• Log Types to Collect — Microsoft Graph-аас цуглуулах лог төрлүүдийг сонгоно. Анхдагчаар бүх лог төрөл сонгогдсон байна. Хамгийн багадаа нэг лог төрөл сонгосон байх ёстой.
• Polling Interval — Оролт Microsoft Graph дахь шинэ өгөгдлийг хэдэн минут тутамд шалгахыг заана. Зөвшөөрөгдөх хамгийн бага завсар 5 минут.
• Read Time Offset (минут) — Шинэ логууд Microsoft Graph-д бэлэн болтол оролт хэр удаан хүлээгээд дараа нь унших хугацааг тодорхойлно.
• Enable Throttling — Мессеж боловсруулалт хоцорсон үед систем энэ оролтын шинэ өгөгдөл унших үйлдлийг түр зогсоож, гүйцэх боломж олгоно.