GravityZone-ийг Azure Sentinel-тэй хэрхэн холбох вэ? (хуучирсан)

Azure Sentinel болон GravityZone-ийн хооронд холбоос үүсгэхийн тулд дараах алхмуудыг дагана уу.

1. 1Microsoft Azure портал руу нэвтэрнэ.

2. 2GravityZone-ийн сэрэмжлүүлгийг хүлээн авахын тулд Microsoft Azure Sentinel дотор шинэ Log Analytics Workspace үүсгэнэ.

3. 3Шинээр үүсгэсэн workspace-ийн Workspace ID болон Primary key-г хуулж хадгална.

> Тэмдэглэл: Энэ мэдээллийг Microsoft Azure > Log Analytics Workspace > Agents Management > Settings хэсгээс авч болно.

4. 4GravityZone Control Center-т Event Push API-г идэвхжүүлнэ.

1. GravityZone Control Center-т нэвтэрнэ.

2. My Account (Миний данс) руу орно.

3. API keys хэсэгт Add товчийг дарна.

4. Event Push Service API нүдийг тэмдэглээд Save товчийг дарна. Шинэ түлхүүр API Keys хүснэгтэд харагдана.

5. My Account хуудсан дээр хийсэн өөрчлөлтийг хадгалахын тулд Save товчийг дарна.

5. 5Azure интеграцийг гараар идэвхжүүлнэ.

1. Linux эсвэл Mac дээр өөрийн дуртай terminal emulator-оос Event Push Service-ийг тохируулахад шаардлагатай мэдээллийг авна.

- GravityZone API URL.

Үүнийг MyAccount > Control Center API хэсгээс олно.

- GravityZone дээр үүсгэсэн API түлхүүрийн authorization header.

Header-ийн утга нь Basic base64 кодлолтой байна. Authorization header авахын тулд API түлхүүрийн ард хоёр цэг (":") тавьж echo командаар ажиллуулна.

```
> echo -n '604821e87e4c7de3aa15d0e6a97f5ab362281dbf0763746671da2caf4b5cccd1:' | base64 -w 0
```

Үр дүн ийм төстэй байна.

```
NjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo=
```

- Azure URL.

Үүнийг эндээс олох бөгөөд дараах хэлбэртэй байна (өөрчлөх ёстой тохиргоонууд доогуураа зураастай): https://CustomerID.ods.opinsights.azure.com/api/logs?api-version=2016-04-01

> Тэмдэглэл: CustomerID-ийг 3-р алхмаар авсан WorkspaceID-ийн утгаар солино.

- HTTP Event Collector token.

- 3-р алхмаар авсан Workspace ID ("workspaceId"-д хэрэгтэй) болон Primary key ("sharedKey"-д хэрэгтэй) тохиргоонууд.

2. Дараах командыг ажиллуулна (өөрчлөх ёстой тохиргоонууд доогуураа зураастай).

```
curl -k -X POST "https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push"
-H "authorization: Basic NjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo="
-H "cache-control: no-cache"
-H "content-type: application/json"
-d '{"params": {"status": 1, "serviceType": "azureSentinel", "serviceSettings": {"workspaceId" : "5e2b52ac-51eb-4cb2-b434-94bb0d39b904", "sharedKey" : "qQgUq1MVDRc8WYYn6zUVOVtaLE/+vmu5G6Ek9qfD2odna+7v5Vb0bF4UxYSHN3MLj6hGjOoigYErjeECXWvkhQ==", "logType" : "GZevent", "requireValidSslCertificate" : false, "url" : "https://5e2b52ac-51eb-4cb2-b434-94bb0d39b904.ods.opinsights.azure.com/api/logs?api-version=2016-04-01"}, "subscribeToEventTypes": "subscribeToEventTypes": { "modules": true, "sva": true, "registration": true, "supa-update-status": true, "av": true, "aph": true, "fw": true, "avc": true, "uc": true, "dp": true, "sva-load": true, "task-status": true, "exchange-malware": true, "network-sandboxing": true, "adcloud": true, "exchange-user-credentials": true, "endpoint-moved-out": true, "endpoint-moved-in": true, "troubleshooting-activity": true, "uninstall": true, "install": true, "hwid-change": true, "new-incident": true, "antiexploit": true, "network-monitor": true, "ransomware-mitigation": true, "security-container-update-available": true, "hd": true, "new-extended-incident": true, "partner-changed": true, "integrations-hub-status": true}}, "jsonrpc": "2.0", "method":"setPushEventSettings", "id": "1"}'
```

> Тэмдэглэл: Event Push Service-ийн тохиргоо дахин ачаалагдсаны дараа GravityZone Azure руу үйл явдал илгээж эхэлнэ. Энэ нь 10 минут тутамд болдог.

Тодорхой модулийн үйл явдлыг хүлээн авахыг хүсэхгүй бол тэр модулийг командаас хасна. Жишээ нь exchange модулийн үйл явдлыг хүлээн авахыг хүсэхгүй бол командаас "exchange-malware": true,-г хасна.

> Тэмдэглэл: Холбогдох бүх үйл явдлын талаарх дэлгэрэнгүйг энэ мэдээллийн сангийн нийтлэл-ээс үзнэ үү.

Хариу ийм төстэй байна.

```
{"id":"1","jsonrpc":"2.0","result":true}
```