GravityZone-ийг Microsoft Sentinel-тэй хэрхэн холбох вэ?

Энэ нийтлэлд Bitdefender GravityZone-ийг Microsoft Sentinel (өмнө нь Azure Sentinel)-тэй хэрхэн холбохыг тайлбарлана. Энэ интеграци нь GravityZone-оос аюулгүй байдлын үйл явдлыг Sentinel рүү дамжуулж, бусад аюулгүй байдлын эх үүсвэрийн өгөгдөлтэй хамт цуглуулах, шинжлэх, уялдуулах боломж олгоно. Үүгээр та төгсгөлийн төхөөрөмжийн аюулгүй байдлын харагдах байдлыг Sentinel хүртэл өргөтгөж, төвлөрсөн хяналт болон мөрдөн шалгалтыг дэмжинэ.

Урьдчилсан нөхцөл

• App Registration
• App Registration Secret
• Microsoft Sentinel-д аль хэдийн холбогдсон Log Analytics Workspace (LAW)

Шинэ App Registration үүсгэхийн тулд дараах алхмуудыг дагана уу.

1. 1Microsoft Azure портал руу нэвтэрнэ.

2. 2App registrations хэсэгт орж New registration товчийг дарна.

3. 3App registrations хуудсанд өөрийн аппликейшний бүртгэлийн мэдээллийг оруулаад Register товчийг дарна.

4. 4Апп үүссэний дараа Overview самбараас Directory (tenant) ID болон Application (client) ID-ийн утгыг тэмдэглэж аваарай.

5. 5Managed application in local directory-г дарж, шинэ аппын Overview самбараас Object ID-ийн утгыг тэмдэглэж аваарай.

Шинэ App Registration Secret үүсгэхийн тулд дараах алхмуудыг дагана уу.

1. 1Microsoft Azure портал дээр App Registrations > Manage > Certificates & Secrets > Client secrets хэсэгт орно.
2. 2New client secret товчийг дарж шаардлагатай тохиргоог хийнэ.
3. 3Client secrets табын Value талбарын утгыг тэмдэглэж аваад дараа ашиглахаар хадгална.

Өгөгдөл цуглуулах workspace байхгүй бол Log Analytics Workspace (LAW)-ээр дамжуулан шинээр үүсгэж холбож болно. Үүний тулд дараах алхмуудыг дагана уу.

1. 1Microsoft Sentinel портал дээр Log Analytics workspaces хэсэгт орж Create товчийг дарна.
2. 2Шаардлагатай мэдээллийг бөглөнө.
3. 3Workspace үүссэний дараа Overview самбар руу орж Workspace ID-ийн утгыг тэмдэглэж аваарай.

Хэрэв тохируулсан LAW аль хэдийн байгаа бол Overview самбар руу орж Workspace ID-ийн утгыг тэмдэглэж аваарай.

GravityZone Solution for Sentinel-ийг суулгах

Шийдлийг суулгахын тулд дараах алхмуудыг дагана уу.

1. 1Microsoft marketplace руу орж GravityZone Solution for Sentinel-ийг хайна.

2. 2Get it now товчийг дарж шийдлийг өөрийн Azure Sentinel workspace-д суулгана. Энэ алхам ямар ч нөөц (resource) байршуулахгүй. Зөвхөн шийдлийг Azure Sentinel Content Hub-д ашиглах боломжтой болгоно.

3. 3Marketplace-ээс суулгаж дууссаны дараа өөрийн Azure Sentinel workspace руу орж зүүн цэснээс Content Hub-ийг дарна.

4. 4GravityZone Solution for Sentinel-ийг хайна.

5. 5Аппыг сонгоод Manage товчийг дарж data connector, analytic rule, workbook зэрэг шийдлийн бүрэлдэхүүн хэсгүүдийг харж, тохируулна.

6. 6Data connector хэсгийг сонгоод Open connector page товчийг дарна.

7. 7Deploy to Azure товчийг дарж, зааврыг дагаад data connector-ийн нөөцүүдийг байршуулна.

8. 8Data connector-ийг дараах байдлаар тохируулна.

Resource group талбарт дээр үүсгэсэн Log Analytics Workspace байрлаж буй resource group-ийг сонгоно.

Log Analytics Workspace Name талбарт дээр үүсгэсэн workspace-ийн ID-г оруулна.

Entra App Object Id талбарт дээр App Registration-ийн алхмаар тэмдэглэж авсан Object ID-г оруулна.

9. 9Review and Create товчийг дарна.

10. 10Бүх мэдээллийг шалгаад Create товчийг дарна.

11. 11Байршуулалт амжилттай дуустал хүлээнэ.

12. 12Data connector байршсаны дараа дараах утгуудыг тэмдэглэж аваарай.

- Data collector rule immutable ID — Data Collection Rules > gz-sentinel-dcr-ийг сонгоод > Overview > Immutable ID
- Data collection endpoint Ingestion URL — Data Collection Endpoints > gz-sentinel-dce-ийг сонгоод > Overview > Log Ingestion

Event Push Service-ийг тохируулах

GravityZone Event Push Service-ийг тохируулахын тулд дараах алхмуудыг дагана уу.

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account (Миний данс) руу орно.

3. 3API keys хэсэгт Add товчийг дарна.

4. 4Event Push Service нүдийг тэмдэглээд Generate товчийг дарна. Шинэ цонхонд API түлхүүр харагдана. Түлхүүрийг аюулгүй газар хадгалаарай.

5. 5API key болон Access URL-ийг тэмдэглэж аваарай.

6. 6Өөрчлөлтийг хадгалахын тулд Save товчийг дарна.

GravityZone Event Push Service-ийн үйл явдлыг Postman эсвэл өөрийн сонгосон өөр API туршилтын хэрэгслээр тохируулж болно. API-ийн ерөнхий боломжийн талаар Public API баримтыг үзнэ үү.

API туршилтын хэрэгсэлд setPushEventSettings аргыг ашиглан хүсэлтээ дараах зааврын дагуу тохируулна.

• Шаардлагатай URL нь CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push хэлбэртэй бөгөөд CONTROL_CENTER_APIs_ACCESS_URL-ийг өөрийн GravityZone Access URL-ээр соль.
• Authorization type нь basic байна.
• Username нь өмнө авсан API түлхүүр байна.
• API хүсэлтийн хувьд setPushEventSettings хуудсан дээрх жишээг azureSentinelV2 service type-д заасан утгуудаар тохируулна. Анхдагчаар хүсэлтэд олон төрлийн үйл явдал орсон байдаг бөгөөд тухайн үйл явдлын утгыг true эсвэл false болгож аль нь орохыг сонгож болно.

Жишээ:

{
       "params": {
          "status": 1,
          "serviceType": "azureSentinelV2",
          "serviceSettings": {
               "url": "https://<datacollection-logingestion-url>.ingest.monitor.azure.com",
               "dcrId": "<data-collector-immutable-ID>",
               "tenantId": "<directory-tenant-id>",
               "clientId": "<application-client-id>",
               "clientSecret": "<client-secret-value>",
               "requireValidSslCertificate": true
          },
          "subscribeToEventTypes": {<events-you-want-to-receive>},

       },
       "jsonrpc": "2.0",
       "method": "setPushEventSettings",
       "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"
  }

Хүсэлт амжилттай бол хариуны утга true байна.

Дэлгэрэнгүйг setPushEventSettings хуудаснаас үзнэ үү.

Өгөгдөл орж байгааг шалгах

Events Push Service-ийг тохируулсны дараа үйл явдал орж ирэхийг хэдэн минут хүлээгээд Azure Sentinel workspace руу орно.

Logs хэсэгт GravityZone-ийн үйл явдал GzSecurityEvents_CL хүснэгтэд зөв орж байгааг шалгана.

Мөн sendTestPushEvent API дуудлагаар туршилтын үйл явдал илгээж болно.

Дэлгэрэнгүйг sendTestPushEvent хуудаснаас үзнэ үү.