收集 Microsoft Sentinel 日志

支持范围：

Google SecOps SIEM

本文档介绍了如何配置 Microsoft Sentinel，以便使用 Logic Apps 和网络钩子将突发事件和提醒发送到 Google Security Operations。

Microsoft Sentinel 是一种云原生安全信息和事件管理 (SIEM) 以及安全编排、自动化和响应 (SOAR) 解决方案。它可为整个企业提供智能安全分析和威胁情报。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 Microsoft Azure 门户的特权访问权限，包括：
  • 创建逻辑应用
  • 配置 Microsoft Sentinel 自动化规则
  • 管理资源组权限
  • 创建和管理服务主体
• 访问 Google Cloud 控制台（用于创建 API 密钥）

在 Google SecOps 中创建 webhook Feed

创建 Feed

1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
2. 点击添加新新闻信息流。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Microsoft Sentinel Incidents）。
5. 选择 Webhook 作为来源类型。
6. 选择 Microsoft Sentinel 作为日志类型。
7. 点击下一步。
8. 为以下输入参数指定值：
   • 拆分定界符（可选）：留空（每个突发事件或提醒都是一个单独的事件）。
   • 资产命名空间：资产命名空间。
   • 注入标签：要应用于此 Feed 中的事件的标签。
9. 点击下一步。
10. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

生成并保存密钥

创建 Feed 后，您必须生成用于身份验证的密钥：

1. 在 Feed 详情页面上，点击生成密钥。
2. 系统会显示一个对话框，其中包含密钥。

3. 复制并妥善保存密钥。

   注意：密钥只会显示一次，之后无法检索。如果丢失，您必须生成新的密钥。

注意：为避免 HTTP 429（请求过多）错误和提取延迟，请勿在多个 Feed 中重复使用相同的共享密钥或存储账号。

获取 Feed 端点网址

1. 前往该 Feed 的详细信息标签页。
2. 在端点信息部分，复制 Feed 端点网址。

3. 网址格式为：

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   其中，{region} 是 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1），{parent} 是资源路径，格式为 projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>。

4. 保存此网址，以便在后续步骤中使用。

5. 点击完成。

创建 Google Cloud API 密钥

Google SecOps 需要使用 API 密钥进行身份验证。在 Google Cloud 控制台中创建受限 API 密钥。

创建 API 密钥

1. 前往 Google Cloud 控制台“凭证”页面。
2. 选择您的项目（与您的 Google SecOps 实例关联的项目）。
3. 点击创建凭证 > API 密钥。
4. 系统会创建 API 密钥，并在对话框中显示。
5. 点击修改 API 密钥以限制密钥。

限制 API 密钥

1. 在 API 密钥设置页面中：
   • 名称：输入一个描述性名称（例如 Google SecOps Webhook API Key）。
2. 在 API 限制下：
   • 选择限制密钥。
   • 在选择 API 列表中，搜索并选择 Google SecOps API（或 Chronicle API）。
3. 点击保存。
4. 从页面顶部的 API 密钥字段中复制 API 密钥值。

5. 安全地保存 API 密钥。

   注意：限制 API 密钥可确保其只能与 Google SecOps API 搭配使用，从而降低密钥被破解时的安全风险。

为 Microsoft Sentinel 突发事件配置逻辑应用

本部分将配置一个逻辑应用，用于将 Microsoft Sentinel 突发事件发送到 Google SecOps。

创建逻辑应用

1. 登录 Azure 门户。
2. 点击创建资源。
3. 搜索 Logic App。
4. 点击创建以开始创建过程。
5. 为以下输入参数指定值：
   • Subscription：选择相应订阅。
   • 资源组：选择资源组。
   • 名称：输入逻辑应用的名称（例如 Sentinel-Incidents-to-SecOps）。
   • 区域：选择区域。
   • Log Analytics 工作区：选择 Log Analytics 工作区。
6. 点击 Review + create（检查 + 创建）。
7. 点击创建。
8. 创建逻辑应用后，点击转到资源。

配置逻辑应用设计器

1. 依次点击开发者工具 > 逻辑应用设计器。
2. 点击添加触发器。
3. 搜索 Microsoft Sentinel。
4. 选择 Microsoft Sentinel 事件作为触发器。
5. 如果您尚未创建与 Microsoft Sentinel 的连接，则需要立即创建。
6. 点击新建，然后按照提示进行身份验证：
   • 选择使用托管式身份登录（推荐）或登录以使用您的凭证。
7. 点击插入新步骤。
8. 点击添加操作。
9. 搜索并选择 HTTP 作为操作。
10. 为以下输入参数指定值：
    • URI：粘贴 Google SecOps Feed 中的 Feed 端点网址。
    • 方法：选择 POST。
    • 标头：添加以下标头：
      • 标头名称：X-goog-api-key
      • 值：粘贴之前创建的 API 密钥。
      • 标头名称：X-Webhook-Access-Key
      • 值：粘贴创建 Feed 时生成的密钥。
11. 点击正文字段。
12. 点击动态内容面板中的表达式标签页。

13. 在表达式字段中输入 @{triggerBody()}，然后点击确定。

    注意：@{triggerBody()} 表达式会将完整的突发事件 JSON 发送到 Google SecOps。此参数是必需的，否则 webhook 会收到空请求，并且不会注入任何数据。

14. 点击保存以保存逻辑应用。

向 Microsoft Sentinel 授予运行逻辑应用的权限

需要进行两次单独的权限分配，自动化规则才能成功触发逻辑应用。

权限 1：向逻辑应用托管身份授予对 Sentinel 工作区的访问权限

逻辑应用的代管式身份需要拥有从 Microsoft Sentinel 工作区读取突发事件的权限。

为逻辑应用启用托管式身份

1. 在 Azure 门户中，前往您的逻辑应用资源 (Sentinel-Incidents-to-SecOps)。
2. 在左侧导航栏中，选择设置下的身份。
3. 在系统分配标签页上，将状态设置为开启。
4. 点击保存。
5. 点击是进行确认。
6. 启用后，请记下显示的对象（主账号）ID。

向 Logic App 授予 Microsoft Sentinel Responder 角色

1. 在 Azure 门户中，前往 Microsoft Sentinel 工作区。
2. 在左侧导航栏中，选择设置下的访问权限控制 (IAM)。
3. 点击 + 添加 > 添加角色分配。
4. 在角色标签页中，搜索并选择 Microsoft Sentinel Responder：
   • 替代方案：如果 playbook 仅读取突发事件，请使用 Microsoft Sentinel Reader 角色。
5. 点击下一步。
6. 在成员标签页中，配置以下内容：
   1. 将访问权限分配给：选择托管式身份。
   2. 点击 + 选择成员。
   3. 在代管式身份列表中，选择逻辑应用。
   4. 从列表中选择您的逻辑应用 (Sentinel-Incidents-to-SecOps)。
7. 点击选择。
8. 点击检查并分配。
9. 再次点击查看并分配进行确认。

权限 2：授予 Microsoft Sentinel 对资源组的自动化权限

Microsoft Sentinel 需要对包含逻辑应用的资源组拥有 Microsoft Sentinel 自动化参与者角色。如果没有此权限，自动化规则将无法触发 playbook。

通过 Sentinel 界面授予自动化权限

1. 在 Azure 门户中，前往 Microsoft Sentinel 工作区。
2. 前往设置 > 自动化。
3. 点击页面顶部的管理 playbook 权限。
4. 在管理权限窗格中，配置以下内容：
   1. 选择包含逻辑应用 (Sentinel-Incidents-to-SecOps) 的资源组。

5. 点击应用。

   注意：这会向 Microsoft Sentinel 服务主体 (Azure Security Insights) 授予所选资源组的 Microsoft Sentinel 自动化贡献者角色。

验证自动化操作权限（可选）

1. 在 Azure 门户中，前往包含逻辑应用的资源组。
2. 在左侧导航栏中，选择访问权限控制 (IAM)。
3. 点击角色分配。
4. 搜索 Azure Security Insights。

5. 验证 Azure Security Insights 是否具有 Microsoft Sentinel Automation Contributor 角色。

   注意：如果您在 Sentinel 界面中没有看到管理 playbook 权限，可以手动授予权限：

6. 前往包含逻辑应用的资源组。

7. 依次选择 访问权限控制 (IAM) > Add role assignment。

8. 选择 Microsoft Sentinel Automation Contributor 角色。

9. 在成员中，选择用户、群组或服务主账号。

10. 点击 + 选择成员，然后搜索 Azure Security Insights。

11. 选择 Azure Security Insights，然后点击选择。

12. 点击查看 + 分配两次进行确认。

为 Microsoft Sentinel 提醒配置逻辑应用

本部分将配置一个单独的逻辑应用，用于将 Microsoft Sentinel 提醒发送到 Google SecOps。

注意：提醒触发器处于预览版阶段，只能手动触发或通过预定的分析规则触发。它们不能被自动化规则调用。

为提醒创建逻辑应用

1. 前往 Azure 门户首页。
2. 点击创建资源。
3. 搜索 Logic App。
4. 点击创建以开始创建过程。
5. 为以下输入参数指定值：
   • Subscription：选择相应订阅。
   • 资源组：选择资源组。
   • 名称：输入逻辑应用的名称（例如 Sentinel-Alerts-to-SecOps）。
   • 区域：选择区域。
   • Log Analytics 工作区：选择 Log Analytics 工作区。
6. 点击 Review + create（检查 + 创建）。
7. 点击创建。
8. 创建逻辑应用后，点击转到资源。

为提醒配置逻辑应用设计器

1. 依次点击开发者工具 > 逻辑应用设计器。
2. 点击添加触发器。
3. 搜索 Microsoft Sentinel。
4. 选择 Microsoft Sentinel 提醒作为触发器。
5. 如果您尚未创建与 Microsoft Sentinel 的连接，则需要立即创建。
6. 点击新建，然后按照提示进行身份验证：
   • 选择使用托管式身份登录（推荐）或登录以使用您的凭证。
7. 点击插入新步骤。
8. 点击添加操作。
9. 搜索并选择 HTTP 作为操作。
10. 为以下输入参数指定值：
    • URI：粘贴 Google SecOps Feed 中的 Feed 端点网址。
    • 方法：选择 POST。
    • 标头：添加以下标头：
      • 标头名称：X-goog-api-key
      • 值：粘贴之前创建的 API 密钥。
      • 标头名称：X-Webhook-Access-Key
      • 值：粘贴创建 Feed 时生成的密钥。
11. 点击正文字段。
12. 点击动态内容面板中的表达式标签页。

13. 在表达式字段中输入 @{triggerBody()}，然后点击确定。

    注意：@{triggerBody()} 表达式会将完整的提醒 JSON 发送到 Google SecOps。此参数是必需的，否则 webhook 会收到空请求，并且不会注入任何数据。

14. 点击保存以保存逻辑应用。

向 Microsoft Sentinel 授予运行提醒逻辑应用的权限

提醒逻辑应用需要两个单独的权限分配，这与突发事件逻辑应用配置相同。

权限 1：向提醒逻辑应用代管式身份授予对 Sentinel 工作区的访问权限

提醒逻辑应用的代管式身份需要有权从 Microsoft Sentinel 工作区读取提醒。

为提醒逻辑应用启用托管式身份

1. 在 Azure 门户中，前往您的提醒逻辑应用资源 (Sentinel-Alerts-to-SecOps)。
2. 在左侧导航栏中，选择设置下的身份。
3. 在系统分配标签页上，将状态设置为开启。
4. 点击保存。
5. 点击是进行确认。
6. 启用后，请记下显示的对象（主账号）ID。

向提醒逻辑应用授予 Microsoft Sentinel Responder 角色

1. 在 Azure 门户中，前往 Microsoft Sentinel 工作区。
2. 在左侧导航栏中，选择设置下的访问权限控制 (IAM)。
3. 点击 + 添加 > 添加角色分配。
4. 在角色标签页中，搜索并选择 Microsoft Sentinel Responder：
   • 替代方案：如果 playbook 仅读取提醒，请使用 Microsoft Sentinel Reader 角色。
5. 点击下一步。
6. 在成员标签页中，配置以下内容：
   1. 将访问权限分配给：选择托管式身份。
   2. 点击 + 选择成员。
   3. 在代管式身份列表中，选择逻辑应用。
   4. 从列表中选择您的提醒逻辑应用 (Sentinel-Alerts-to-SecOps)。
7. 点击选择。
8. 点击检查并分配。
9. 再次点击查看并分配进行确认。

权限 2：授予 Microsoft Sentinel 自动化权限，以便在资源组中创建提醒

Microsoft Sentinel 需要在包含提醒逻辑应用的资源组上拥有 Microsoft Sentinel 自动化贡献者角色。

通过 Sentinel 界面授予自动化权限

1. 在 Azure 门户中，前往 Microsoft Sentinel 工作区。
2. 前往设置 > 自动化。
3. 点击页面顶部的管理 playbook 权限。
4. 在管理权限窗格中，配置以下内容：
   1. 选择包含提醒逻辑应用 (Sentinel-Alerts-to-SecOps) 的资源组。
      • 如果此资源组与突发事件逻辑应用相同，则可能已被选中。

5. 点击应用。

   注意：如果已为突发事件逻辑应用配置资源组，则此步骤会为提醒逻辑应用授予相同的权限。

验证提醒逻辑应用的自动化权限（可选）

1. 在 Azure 门户中，前往包含提醒逻辑应用的资源组。
2. 在左侧导航栏中，选择访问权限控制 (IAM)。
3. 点击角色分配。
4. 搜索 Azure Security Insights。
5. 验证 Azure Security Insights 是否具有 Microsoft Sentinel Automation Contributor 角色。

为 Microsoft Sentinel 配置自动化规则

在 Microsoft Sentinel 中创建或更新突发事件时，Automation 规则会触发逻辑应用。

创建用于创建突发事件的自动化规则

1. 前往您的 Microsoft Sentinel 工作区。
2. 依次点击配置 > 自动化。
3. 点击创建。
4. 选择自动化规则。
5. 为以下输入参数指定值：
   • 名称：输入自动化规则的名称（例如 Send New Incidents to SecOps）。
   • 触发器：选择创建突发事件时。
   • 操作：从列表中选择运行 playbook。
   • 选择为突发事件创建的逻辑应用 (Sentinel-Incidents-to-SecOps)。
6. 点击应用。

为突发事件更新创建自动化规则

1. 前往您的 Microsoft Sentinel 工作区。
2. 依次点击配置 > 自动化。
3. 点击创建。
4. 选择自动化规则。
5. 为以下输入参数指定值：
   • 名称：输入自动化规则的名称（例如 Send Updated Incidents to SecOps）。
   • 触发器：选择突发事件更新时。
   • 条件：依次点击添加 > 条件（和）> 状态 > 已更改。
6. 在操作部分中，配置以下内容：
   1. 从列表中选择运行 playbook。
   2. 选择为突发事件创建的逻辑应用 (Sentinel-Incidents-to-SecOps)。
7. 点击应用。

为提醒创建自动规则

注意：提醒自动化规则使用创建提醒时触发器，该触发器与突发事件触发器是分开的。

1. 前往您的 Microsoft Sentinel 工作区。
2. 依次点击配置 > 自动化。
3. 点击创建。
4. 选择自动化规则。
5. 为以下输入参数指定值：
   • 名称：输入自动化规则的名称（例如 Send Alerts to SecOps）。
   • 触发器：选择创建提醒时。
   • 操作：从列表中选择运行 playbook。
   • 选择为提醒创建的逻辑应用 (Sentinel-Alerts-to-SecOps)。
6. 点击应用。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。