Оролтууд (Inputs) — 9-р хэсэг: Microsoft Office 365 Input

← Үндсэн хуудас

Microsoft Office 365 Input

Microsoft Office 365 бол үүлэн технологид суурилсан, өргөн хэрэглэгддэг бүтээмжийн хэрэгслүүдийн иж бүрдэл юм. Microsoft Office 365 оролт нь танай байгууллагын Office 365 логийг Security Data Lake руу татаж авч боловсруулах, хянах, сэрэмжлүүлэг үүсгэх боломж олгоно.

1. Урьдчилсан нөхцөлийг хангах

Дараах нөхцөлүүд биелсэн эсэхийг шалгана уу:

• Office 365 plugin-ийг идэвхжүүлэхийн тулд танай байгууллагын Microsoft Azure портал дээр үүсгэж, зөвшөөрсөн, эрх бүхий клиент аппликейшн.

• Audit log болон Microsoft Azure портал руу хандах эрхтэй, идэвхтэй Office 365 захиалга.

> Тэмдэглэл: E5 эсвэл A5 лицензтэй данс ихэвчлэн шаардлагатай эрхийг агуулдаг боловч үүнийг заавал баталгаажуулаарай.

Security Data Lake нь Office 365 audit log-ийг тогтоосон давтамжаар шалгаж, шинэ логийг автоматаар хүлээн авна.

2. Azure дээр аппликейшн тохируулах

1. 1Microsoft Azure-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Azure Active Directory-г сонгоно.

3. 3Хуудасны зүүн талын цэснээс Manage > App Registrations-г сонгоно.

4. 4Хуудасны баруун талаас New Registration-г сонгоно.

5. 5Дараах алхмаар шинэ аппликейшн бүртгэнэ:

1. Аппликейшний нэр өгнө. Жишээ нь: Security Data Lake Log Access.

2. Танай байгууллага нэг эсвэл олон Active Directory instance ашигладгаас хамааран тохирох дансны төрлийг сонгоно: Single Tenant эсвэл Multitenant.

3. Register-г сонгоно.

> Анхааруулга: Redirect URI бүү нэмээрэй.

Аппликейшн үүссэний дараа дараах талбарууд автоматаар үүснэ:

- Application (client) ID
- Directory (tenant) ID

6. 6Шинээр үүсгэсэн аппликейшний Certificates & Secrets хэсэгт орно.

7. 7New Client Secret-г сонгоно.

8. 8Шинэ secret-ийн тайлбар бичиж, дуусах хугацааг сонгоод Add-г сонгоно.

9. 9Application (client) ID, Directory (tenant) ID болон Client Secret-ийг тэмдэглэж аваарай. Оролтыг тохируулахад эдгээр утга хэрэгтэй.

3. Azure дээр клиент аппликейшний шаардлагатай эрхүүдийг үүсгэх

1. 1Шинээр үүсгэсэн аппликейшний API Permissions хэсэгт орно.
2. 2Add a permission-г сонгоно.
3. 3Office 365 Management APIs-г сонгоно.
4. 4Application Permissions-г сонгоно.
5. 5Жагсаалтад байгаа бүх эрхийг сонгоод Add permissions-г сонгоно.
6. 6Grant admin consent for...-г сонгоно.
7. 7Гарч ирэх харилцах цонхонд Yes-г сонгож баталгаажуулна.

Unified Audit Logging-г идэвхжүүлэх

Microsoft Purview-н Audit Log Search хуудас-д орж, audit logging-г идэвхжүүлэхийн тулд Start recording user and admin activity-г сонгоно.

Unified Audit Log-г анх идэвхжүүлсний дараа лог Security Data Lake-д харагдахад 24 цаг хүртэл хугацаа шаардагдаж болно. Azure захиалга audit logging-д зөв тохирсон эсэхийг баталгаажуулахын тулд Security Data Lake дээр Office 365 оролтын тохиргоог эхлэхээс өмнө 24 цаг хүлээхийг зөвлөж байна.

Хэрэв Start recording user and admin activity гэсэн цэнхэр товч харагдахгүй байвал audit logging аль хэдийн идэвхтэй байгаа тул үлдсэн тохиргооны алхмуудыг үргэлжлүүлж болно.

4. Security Data Lake дээр оролтыг тохируулах

Оролт үүсгэх, тохируулах талаар Шинэ оролт тохируулах хэсгийн (Creating a new Pull input хэсэг) мэдээллийг үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

O365 Connection Configuration

• Input Name — Office 365 оролтод өгөх давтагдашгүй нэрийг оруулна.
• Directory (tenant) ID — Security Data Lake-ийн лог өгөгдөл цуглуулах Active Directory instance-ийн ID-г зааж өгнө.
• Application (client) ID — Microsoft Azure портал дээр үүсгэсэн клиент аппликейшний ID-г оруулна.
• Client Secret Value — Бүртгэсэн аппликейшнд үүсгэсэн client secret-ийн утгыг оруулна.
• Subscription Type — Танай байгууллагын ашигладаг Office 365 захиалгын төрлийг сонгоно; Enterprise болон GCC Government Plans нь хамгийн түгээмэл сонголт.

O365 Content Subscription

• Log Types to Collect — Оролт Office 365-аас аль логийн төрлийг татахыг заана. Боломжит таван төрөл бүгд анхдагчаар сонгогдсон: Azure Active Directory, SharePoint, Exchange, General, DLP.
• Polling Interval — Оролт шинэ лог өгөгдлийг хэдэн минут тутамд шалгахыг заана. Анхдагч интервал нь 5 минут бөгөөд үүнийг зөвлөж байна. Утга 1 минутаас бага байж болохгүй.
• Drop DLP Logs Containing Sensitive Data — Office 365 нь DLP үйл явдал бүрт хураангуй лог (эмзэг өгөгдөлгүй) болон дэлгэрэнгүй лог (эмзэг өгөгдөлтэй) үүсгэдэг. Энэ сонголтыг идэвхжүүлбэл эмзэг өгөгдөл Security Data Lake-д хадгалагдахаас сэргийлж дэлгэрэнгүй логуудыг хаяна.
• Enable Throttling — Мессеж боловсруулалт хоцрох үед Security Data Lake энэ оролтын шинэ өгөгдөл унших үйлдлийг түр зогсоож, системд гүйцэх боломж олгоно.
• Store Full Message — Security Data Lake мессеж бүрийн түүхий лог өгөгдлийг full_message талбарт хадгална. Энэ сонголтыг идэвхжүүлбэл хадгалах зайн хэрэглээ мэдэгдэхүйц нэмэгдэж болно.

Mimecast Input

Mimecast оролт нь Mimecast API-г ашиглан и-мэйл аюулгүй байдлын логийг цуглуулж, Security Data Lake-тэй уялдуулан и-мэйлийн аюулын шинжилгээ, хяналтыг сайжруулна. Энэ оролт Mimecast API-ийн 2.0 хувилбараас лог татна.

1. Урьдчилсан нөхцөлийг хангах

Дараах нөхцөлүүд биелсэн эсэхийг шалгана уу:

• Одоо байгаа Mimecast данс.

• API аппликейшн. Тохируулах мэдээллийг Mimecast-ийн албан ёсны баримт-аас үзнэ үү.

• Mimecast Administrator үүрэгтэй, дараах эрхүүдтэй API хэрэглэгч:

- Archive Message View Logs — Archive, View Logs, Read
- Archive Search Logs — Archive, Search Logs, Read
- Audit Events — Account, Logs, Read
- DLP Logs — Monitoring, Data Leak Prevention, Read
- Message Release Logs — Monitoring, Held, Read
- Rejection Logs — Monitoring, Rejections, Read
- Search Logs — Archive, Search Logs, Read
- TTP Attachment Protection Logs — Monitoring, Attachment Protection, Read
- TTP Impersonation Protect Logs — Monitoring, Impersonation Protection, Read
- TTP URL Logs — Monitoring, URL Protection, Read

2. Mimecast дээр API аппликейшн тохируулах

API аппликейшн үүсгэх, тохируулах зааврыг Mimecast-ийн баримт-аас үзнэ үү.

3. Security Data Lake дээр оролтыг тохируулах

Оролт үүсгэх, тохируулах талаар Шинэ оролт тохируулах хэсгийн (Creating a new Pull input хэсэг) мэдээллийг үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

• Input Name — Оролтод өгөх, хэрэглэгчийн тодорхойлсон давтагдашгүй нэр.
• Client ID — Таны Mimecast API аппликейшнтэй холбоотой Client ID-г оруулна.
• Client Secret — Таны Mimecast API аппликейшнд үүсгэсэн Client Secret-ийг оруулна.
• Log Types to Collect — Цуглуулах логийн төрлүүдийг сонгоно. Бүх төрөл анхдагчаар сонгогдсон. Хамгийн багадаа нэг төрлийг заавал сонгосон байх ёстой.
• Polling Interval — Security Data Lake Mimecast API-аас шинэ өгөгдлийг хэдэн минут тутамд шалгахыг заана. Зөвшөөрөгдөх хамгийн бага интервал нь 5 минут.
• Enable Throttling — Мессеж боловсруулалт хоцрох үед Security Data Lake энэ оролтын шинэ өгөгдөл унших үйлдлийг түр зогсоож, системд гүйцэх боломж олгоно.

NetFlow Input

Cisco-н боловсруулсан сүлжээний протокол NetFlow нь хяналт, шинжилгээнд зориулсан IP траффикийн өгөгдлийг өгдөг. Security Data Lake-ээр дамжуулан эх үүсвэр, очих газар, үйлчилгээний өгөгдөл болон бусад холбогдох өгөгдлийг агуулсан IP flow өгөгдлийг цуглуулж болно. NetFlow экспортыг дэмжих эсэх нь төхөөрөмжөөс хамаарна.

Security Data Lake дээр NetFlow оролтыг тохируулах

Оролт үүсгэх, тохируулах талаар Шинэ оролт тохируулах хэсгийн (Creating a new Listener input хэсэг) мэдээллийг үзнэ үү.

Оролтыг дараах сонголтуудаар тохируулна:

• Title — Оролтод давтагдашгүй гарчиг өгнө. Жишээ нь: NetFlow Input for XYZ Source.
• Bind address — Энэ оролт сонсох IP хаягийг оруулна. Эх систем/өгөгдөл логоо энэ IP/оролт руу илгээнэ.
• Port — IP хаягийн хамт ашиглах портыг оруулна. Анхдагч порт 2055 нь ихэнх төхөөрөмжийн стандарт юм. Харин олон оролт хэрэгтэй бол өөр портын сонголтыг үйлдвэрлэгчийн баримтаас харна уу (9555, 9995, 9025, 9026 нь түгээмэл сонголтууд).
• Receive Buffer Size (заавал биш) — Ирж буй өгөгдлийг боловсруулахаас өмнө хадгалах буферийн хэмжээг тодорхойлно. Буфер том байх тусам илүү их өгөгдөл багтаах бөгөөд ачаалал ихтэй үед өгөгдөл алдах эрсдэл буурна. Оролтоор орж буй траффикийн хэмжээнээс хамааран өгөгдлийн урсгалыг хэвийн байлгахад хангалттай том, харин систем буферлэсэн өгөгдлийг боловсруулахад нөөц дэмий үрэхээс сэргийлэхээр хэт том биш байх ёстой. Оновчтой хэмжээ нь танай сүлжээний траффикийн хэмжээнээс хамаарна. Security Data Lake-ийн анхдагч тохиргоо нь туршилт болон жижиг хэрэглээнд зориулсан, нэлээд хязгаарлагдмал 256 KB тул NetFlow өгөгдлийн хэмжээ их бол энэ утгыг нэмэгдүүлэхийг зөвлөж байна. Практик зөвлөмж: хамгийн багадаа 1 MB (1024 KB) буфераас эхэлж, ажиглагдсан гүйцэтгэлд тулгуурлан тохируулна.
• Encoding (заавал биш) — Бүх мессеж оролтод тохируулсан encoding-ийг дэмжих ёстой. Жишээ нь UTF-8 encoding-тэй мессежийг UTF-16 дэмжихээр тохируулсан оролт руу илгээж болохгүй.
• Override source (заавал биш) — Анхдагчаар мессеж source талбарыг лог мессеж дэх hostname-ээр задалдаг. Гэхдээ стандарт бус эсвэл тохируулах боломжгүй hostname гаргадаг төхөөрөмжийн хувьд энэ тохиргоог өөрчлөхийг хүсвэл энд өөр source нэр зааж болно.
• NetFlow 9 field definitions (заавал биш) — NetFlow v9 field definitions нь өгөгдлийн төрөл бүрийг хэрхэн тайлбарлахыг тодорхойлно. Цуглуулсан NetFlow өгөгдлийг зөв задлан ойлгохын тулд талбаруудыг үнэн зөв тодорхойлох нь чухал. Талбарын тодорхойлолтыг танай сүлжээний төхөөрөмжөөс экспортлох өгөгдлийн төрөлд тохируулан өөрчилнө. Доор NetFlow v9 талбаруудыг тодорхойлох жишээ .yml файлын бүтцийг үзүүлэв. Энэ жишээнд Juniper Networks EX цуврал свичээс түгээмэл экспортлогддог талбарууд багтсан. Бодит талбар болон тэдгээрийн ID нь свичийн тохиргоо, NetFlow хувилбараас хамаарч өөр байж болохыг анхаарна уу. Тодорхойлолтыг Juniper Networks EX свичээс экспортлох NetFlow өгөгдөлд тохируулан засна уу.

NetFlow 9 definitions файлын жишээ:

netflow_definitions:
  # Basic flow fields
  - id: 1
    name: IN_BYTES
    type: UNSIGNED64
    description: Incoming counter with length N x 8 bits for the number of bytes associated with an IP Flow.
  - id: 2
    name: IN_PKTS
    type: UNSIGNED64
    description: Incoming counter with length N x 8 bits for the number of packets associated with an IP Flow.
  - id: 10
    name: INPUT_SNMP
    type: UNSIGNED32
    description: Input interface index. Use this value to query the SNMP IF-MIB.
  - id: 14
    name: OUT_BYTES
    type: UNSIGNED64
    description: Outgoing counter with length N x 8 bits for the number of bytes associated with an IP Flow.
  - id: 15
    name: OUT_PKTS
    type: UNSIGNED64
    description: Outgoing counter with length N x 8 bits for the number of packets associated with an IP Flow.
  - id: 16
    name: OUTPUT_SNMP
    type: UNSIGNED32
    description: Output interface index. Use this value to query the SNMP IF-MIB.

Төхөөрөмжийн sampling rate

Доорх жагсаалтад траффикийн хэмжээнээс (95-р percentile) хамаарсан, төхөөрөмжид зөвлөж буй sampling rate-ийг үзүүлэв.

• < 25 Mb/s — 1 in 1
• < 100 Mb/s — 1 in 128
• < 400 Mb/s — 1 in 256
• < 1 Gb/s — 1 in 512
• < 5 Gb/s — 1 in 1024
• < 25 Gb/s — 1 in 2048