Microsoft Content Hub ব্যবহার করে Microsoft Sentinel (EA) দিয়ে Cato ইভেন্টগুলি ইন্টিগ্রেট করা

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

সারসংক্ষেপ

এই ইন্টিগ্রেশনটি Microsoft Sentinel Content Hub থেকে ইনস্টল করা হয়েছে। এটি সেই সংস্থাগুলির সাথে সুসঙ্গত, যারা তাদের নিজের নিয়ন্ত্রণাধীন Entra অ্যাপ্লিকেশন নিবন্ধিত করতে চান এবং যারা Cato কে সর্বনিম্ন যোগ্যতা প্রদান করতে চান: একটি ডেটা সংগ্রহ নিয়মে ইভেন্টগুলি লিখতে অনুমতি, এর বেশি কিছু নয়।

Cato, Microsoft সমর্থিত পার্টনার কানেক্টর হিসেবে Codeless Connector Framework (CCF) এ নির্মিত, Content Hub এর তালিকায় তালিকাভুক্ত। এটি বোঝায় যে কানেক্টরটি Sentinel ডেটা কানেক্টর গ্যালারিতে স্থানীয় কানেক্টর স্বাস্থ্য পর্যবেক্ষণ সহ আপনার অন্যান্য Sentinel কানেক্টরগুলির পাশে প্রদর্শিত হয়। আপনি ইভেন্ট স্কিমাটি বর্তমান রাখেন।

নেটিভ টার্নকি ইন্টিগ্রেশনের সাহায্যে Cato আপনার টেন্যান্টে অ্যাপ নিবন্ধন তৈরি এবং বজায় রাখে, এর শংসাপত্র পরিবর্তন করে, এবং আপনার জন্য ইভেন্ট স্কিমা বর্তমান রাখতে সক্ষম। সম্পূর্ণ তুলনা জন্য, Microsoft Sentinel এর সাথে Cato ইভেন্ট ইন্টিগ্রেশন এ নির্দেশনা পর্যালোচনা করুন।

প্রক্রিয়া এবং মালিকরা

প্রার্থাসূচি

• একটি বিদ্যমান লগ অ্যানালিটিক্স কর্মক্ষেত্র যা Microsoft Sentinel সক্রিয় এবং সেই কর্মক্ষেত্রে পড়ার ও লেখার অনুমতি রয়েছে।

• Microsoft Entra ID-তে একটি অ্যাপ্লিকেশন নিবন্ধন করার এবং কাস্টম ক্লায়েন্ট সিক্রেট তৈরি করতে অনুমতি। এটি সাধারণত অ্যাপ্লিকেশন ডেভেলপার ভূমিকা বা এর চেয়ে উচ্চতর ভূমিকা প্রয়োজন।

• Azure-এ ডেটা সংগ্রহ নিয়মে মনিটরিং মেট্রিক্স পাবলিশার ভূমিকা নির্ধারণ করতে অনুমতি। এটি সাধারণত মালিক বা ব্যবহারকারী অ্যাক্সেস প্রশাসক ভূমিকা প্রয়োজন।

• CMA-এর সম্পদ সেকশনে ইন্টিগ্রেশন এর জন্য সম্পাদক অনুমতি। আরও তথ্যের জন্য, দেখুন RBAC ব্যবহার করে Admin ভূমিকা পরিচালনা।

• Getting Started with Event Integrations এ সকল Cato ইভেন্ট ইন্টিগ্রেশনের জন্য পূর্বশর্তগুলি পর্যালোচনা করুন।

এই একীকরণের জন্য MS Tenant কানেক্টর প্রয়োজনীয় নয়। এই কানেক্টর বিদ্যমান যাতে Cato আপনার টেনেন্টে অ্যাপ্লিকেশন নিবন্ধন তৈরি করতে পারে। এই ইন্টিগ্রেশন পদ্ধতির মাধ্যমে, আপনি নিজেই অ্যাপ্লিকেশনটি তৈরি করুন।

মোতায়েন কী তৈরি করে

আপনার সাবস্ক্রিপশনে কানেক্টর পৃষ্ঠায় Deploy কার্য দ্বারা কয়েকটি বিষয় তৈরি করা হয়। এর কোনোটিই আপনি ম্যানুয়ালি তৈরি করবেন না।

ইন্টিগ্রেশন সেট আপ করা

কানেক্টর ইনস্টল এবং মোতায়েন করা

কানেক্টর ইনস্টল ও মোতায়েন করতে:

1. Microsoft Sentinel-এ, আপনার ওয়ার্কস্পেস নির্বাচন করুন এবং Content management > Content hub এ যান।

2. Cato Networks খুঁজে বের করুন এবং সমাধান ইনস্টল করুন।

   ইনস্টলেশন উইজার্ডে সাবস্ক্রিপশন, রিসোর্স গ্রুপ ও কর্মক্ষেত্র নির্বাচন করুন যা আপনার Sentinel মোতায়েন ধারণ করে, তারপর Review + create এ ক্লিক করুন। আপনি Microsoft Marketplace-এ Microsoft Sentinel এর জন্য Cato Networks সমাধান দেখতে পারেন।

3. Configuration > Data connectors এ যান এবং Cato Networks Events (Push) নির্বাচন করুন।

4. Open connector page এর উপর ক্লিক করুন।

   যদি আপনি Open connector page বা Deploy দেখতে না পান, ব্রাউজারটি ছোট করুন। কানেক্টর পৃষ্ঠা উইন্ডোর দৃশ্যমান এলাকার নীচে রেন্ডার করতে পারে, কোন পৃষ্ঠা স্ক্রলবার ছাড়া।

5. Tenant ID কপি করুন। এই মান মোতায়েন করার আগে উপলব্ধ।

6. Deploy এ ক্লিক করুন, তালিকাভুক্ত সম্পদ পর্যালোচনা করুন এবং নিশ্চিত করুন।

   প্রথম সতর্কতা প্রদর্শিত হয়, ব্যাখ্যা করে যে একটি ডেটা সংগ্রহ এন্ডপয়েন্ট তৈরি হবে যদি ইতিমধ্যে একটি বিদ্যমান না থাকে। এটি প্রত্যাশিত।

সংযোগের মানগুলি কপি করা

মোতায়েন শেষ হলে, কানেক্টর পৃষ্ঠায় ছয়টি মান প্রদর্শিত হয়, প্রতিটি কপি বাটন সহ।

সতর্কতা:

মোতায়েন শেষ হলে Entra অ্যাপ নিবন্ধন সিক্রেট কপি করুন। কানেক্টর পৃষ্ঠা স্বয়ংক্রিয়ভাবে প্রায় এক মিনিটের মধ্যে পুনঃলোড হয়, এবং সিক্রেটটি আবার প্রদর্শিত হয় না: Microsoft কখনও সিক্রেট দেখায় না যখন এটি তৈরি হয়, এবং পৃষ্ঠাটিতে এটি প্রদর্শন করার কোন অপশন নেই। যেকোনো অন্যান্য ক্রেডেনশিয়াল হিসাবে এটি পরিচালনা এবং সংরক্ষণ করুন।

আপনি যদি এটি মিস করেন, আপনার সমাধান পুনঃস্থাপন করতে হবে না। যদি আমি ক্লায়েন্ট সিক্রেটটি হারিয়ে ফেলি তবে কি হবে? দেখুন FAQ-তে দুটি পথে পুনরুদ্ধার করার জন্য।

CMA-তে ইন্টিগ্রেশন তৈরি করা

Sentinel ইন্টিগ্রেশন তৈরি করতে:

1. CMA এর নেভিগেশন মেনু থেকে সম্পদ > ইন্টিগ্রেশন নির্বাচন করুন।

2. কনফিগার্ড ইন্টিগ্রেশন ট্যাবে, নতুন এ ক্লিক করুন। নতুন ইন্টিগ্রেশন প্যানেল খোলে।

3. Microsoft Sentinel নির্বাচন করুন।

4. Auth ক্ষেত্রটিতে Content Hub (CCF push) প্রমাণীকরণ Microsoft সেন্টিনেলের জন্য নির্বাচন করুন।
   

5. এই ইন্টিগ্রেশনের জন্য নাম প্রবেশ করান, এবং optionally একটি বিবরণ।

6. কানেক্টর পৃষ্ঠা থেকে আপনি যা কপি করেছেন তা লিখুন:

   • ডিরেক্টরি (যাক) আইডি

   • অ্যাপ্লিকেশন (ক্লায়েন্ট) আইডি

   • ক্লায়েন্ট গোপন

   • ডেটা সংগ্রহ এন্ডপয়েন্ট Uri

   • ডেটা সংগ্রহ নিয়ম অপরিবর্তনশীল আইডি

   • ইভেন্ট স্ট্রিম নাম

7. ঐচ্ছিক: কোন Cato ইভেন্টগুলি Microsoft সেন্টিনেলে পাঠানো হবে তা নিয়ন্ত্রণ করতে ফিল্টার যোগ করুন, নিচে বর্ণনা করা হয়েছে।

8. সংরক্ষণ করুন চাপ দিন।

ইভেন্ট স্কিমা আপডেট রাখা

Content Hub-এ সমাধানটি যখন প্রকাশিত হয় তখন ইভেন্ট স্কিমা ধারণ করে। Cato ইভেন্ট ক্ষেত্রগুলি সমাধান পুনঃপ্রকাশ করা হয় তার থেকেও বেশি প্রায়শই যোগ করে, তাই ইনস্টল করার পরে আপনি বর্তমান স্কিমা আলাদাভাবে প্রয়োগ করেন।

সেটআপের অংশ হিসাবে একবার এটি করুন এবং যখনই আপনি Cato চেয়ে নতুন ক্ষেত্রগুলি চান তখন পুনরায় করুন। সমাধানের নতুন সংস্করণ ইনস্টল করা আপনাকে অনুমতি দেয় না: টেবিল এবং ডেটা সংগ্রহ নিয়ম আপনার সাবস্ক্রিপশনে অন্তর্ভুক্ত এবং মোতায়েন কার্য দ্বারা তৈরি করা হয়েছে, তাই শুধুমাত্র এই টেমপ্লেট তাদের পরিবর্তন করে।

বর্তমান স্কিমা প্রয়োগ করতে:

1. স্কিমা আপডেট টেমপ্লেটটি খোলুন। কানেক্টর পৃষ্ঠায় স্কিমা আপডেটের সেকশনে, Deploy the schema update এ ক্লিক করুন। অন্যথায়, Cato Sentinel CCF repository এ যান এবং Deploy to Azure এ ক্লিক করুন।

2. কোন সাবস্ক্রিপশন এবং সম্পদের দল নির্বাচন করুন যা আপনার সেন্টিনেল কর্মক্ষেত্র ধারণ করে।

3. কর্মক্ষেত্রের নাম প্রবেশ করান। এটা একমাত্র মান আপনি প্রদান।

4. পুনরায় পর্যালোচনা করুন এবং তৈরি করুন এ ক্লিক করুন।

আপডেট আপনার ইনজেশনের এন্ডপয়েন্ট, ডেটা সংগ্রহ নিয়ম অপরিবর্তনশীল আইডি, Entra অ্যাপ্লিকেশন, ক্লায়েন্ট সিক্রেট, টেবিল ধরে রাখার এবং ইতিমধ্যেই ইনজেস্ট করা সমস্ত ডেটা সংরক্ষণ করে। কিছুই CMA-তে পুনঃপ্রবেশ করা প্রয়োজন হয় না, এবং ইনজেশান সমগ্রভাবে চালিয়ে যায়।

একটি লগ অ্যানালিটিক্স কর্মক্ষেত্রে একটি Cato কানেক্টর ধারণ করে, তাই আপনি যদি একাধিক কর্মক্ষেত্রে কানেক্টার চালান তবে প্রতি কর্মক্ষেত্রে আপডেট প্রয়োগ করুন।

নতুন ক্ষেত্রগুলি আসতে শুরু করার ৩০ মিনিট পর্যন্ত অনুমতি দিন। ইনজেশন এন্ডপয়েন্ট সংক্ষিপ্তভাবে পূর্ববর্তী স্কিমা ক্যাশ করে, এবং সেই জানালার সময় ইভেন্টগুলি সাধারণভাবে নতুন ক্ষেত্রগুলির ফাঁকা রেখেই গ্রহণ করা হয়। আপডেট ব্যর্থ হয়েছে বলে চিন্তা করার পরিবর্তে একটি প্রশ্ন দিয়ে নিশ্চিত করুন:

CatoNetworksEvents_CL
| where TimeGenerated > ago(1h)
| take 10

যদি নতুন ক্ষেত্রগুলি এক ঘণ্টা পরে এখনও ফাঁকা থাকে, তবে আপনার অ্যাকাউন্ট আইডি ও আপনার লগ অ্যানালিটিক্স কর্মক্ষেত্রের নাম সহ Cato সাহায্যকে যোগাযোগ করুন।

স্কিমা মাত্র ক্রমশ বৃদ্ধি হয়। কলামগুলি যোগ করা হয়, কখনও অপসারণ বা পুনরায় টাইপ করা হয় না, তাই একটি আপডেট বিদ্যমান ওয়ার্কবুক, অ্যানালিটিক্স নিয়ম বা সংরক্ষিত প্রশ্ন ভাঙতে পারে না।

ইন্টিগ্রেশন কাজ করছে তা যাচাই করা হচ্ছে

সেটআপের পরে, নিশ্চিত করুন:

• টেবিল CatoNetworksEvents_CL আপনার লগ অ্যানালিটিক্স কর্মক্ষেত্রে Tables এর অধীনে প্রদর্শিত হয়

• Sentinel-এ কানেক্টর পৃষ্ঠাটি কানেক্টর প্রদর্শন করে Connected

• ট্রাফিকের কয়েক মিনিটের মধ্যে ইভেন্টগুলি প্রদর্শিত হয়। লগ অ্যানালিটিক্সে CatoNetworksEvents_CL | take 10 দ্বারা অনুসন্ধান করুন

মন্তব্য:

Sentinel-এ সংযুক্ত অবস্থাটি টেবিলে আগের সাত দিনের মধ্যে প্রদর্শিত ডেটার উপর ভিত্তি করে, নয় ক্রেডেনশিয়াল এখনও বৈধ কিনা তার উপর। একটি কানেক্টর যার সিক্রেটের মেয়াদ শেষ হয়েছে, সাত দিন পর্যন্ত সংযুক্ত হিসাবে প্রদর্শন করা অব্যাহত রাখতে পারে। ইভেন্টগুলি এখনও আসছে কিনা তা নিশ্চিত করতে টেবিলের বিরুদ্ধে একটি প্রশ্ন ব্যবহার করুন।

ফিল্টারগুলি কনফিগার করুন

কোন Cato ইভেন্ট Microsoft Sentinel এ রপ্তানি করা যাবে তা নিয়ন্ত্রণ করতে ফিল্টার ব্যবহার করুন। এটি গলিত খরচ কমাতে, শব্দের সংখ্যা কমাতে এবং নির্দিষ্ট সাইট, ব্যবহারকারী বা অঞ্চলের সাথে সম্পর্কিত ইভেন্টগুলিতে তদন্তের দিকে মনোযোগ দিতে সাহায্য করে। আপনি ইভেন্টের বিভিন্ন উপসেটগুলি বিভিন্ন SIEM পরিবেশে রাউট করতে ফিল্টার ব্যবহার করতে পারেন।

ফিল্টার গ্রুপ ব্যবহার করে যেকোনো ইভেন্ট ফিল্ড বা ক্ষেত্রের সংমিশ্রণের উপর ভিত্তি করে ফিল্টার নির্ধারণ করুন। প্রতিটি গ্রুপের মধ্যে শর্তগুলি AND লজিক ব্যবহার করে। গ্রুপগুলির মধ্যে OR লজিক প্রয়োগ করা হয়। স্ক্রিনশটে দেখানো ফিল্টারগুলি ইন্টিগ্রেশন কনফিগার করে রপ্তানির জন্য:

• প্যারিস অথবা মাদ্রিদ থেকে যে ইভেন্টের উৎপত্তি হয়, যেগুলি উপ-প্রকার ইন্টারনেট ফায়ারওয়াল এর এবং ক্রিয়াকলাপ হিসাবে মোনিটর অথবা প্রম্পট ছাড়া অন্য কোন কাজের ফলাফল হয়।

• ব্যবহারকারীর নাম অন্তর্ভুক্ত করে পরীক্ষাতালিকা

ইভেন্ট ক্ষেত্র রেফারেন্স

CatoNetworksEvents_CL কলামগুলি Cato ইভেন্ট ক্ষেত্রের প্রতিফলন করে। প্রতিটি ইভেন্ট প্রকারের ক্ষেত্রগুলির জন্য Cato ইভেন্ট স্কিমা এবং ক্ষেত্র সংজ্ঞার জন্য ইভেন্ট ক্ষেত্রগুলি বোঝা দেখুন।

দুটি নাম বেড়াবে কারণ লগ অ্যানালিটিক্স তাদের সংরক্ষণ করে:

চিহ্নিত সীমাবদ্ধতা

• প্যাকেজ স্কিমা একটি শুরুর পয়েন্ট। সমাধানটি প্রকাশের সময় তার ইভেন্ট স্কিমা ধারণ করে। Cato পরে যে ক্ষেত্রগুলি যোগ করে, তখনই আপনার টেবিলে পৌঁছায় যখন আপনি স্কিমা আপডেট প্রয়োগ করেন। ইভেন্ট স্কিমা আপডেট রাখা দেখুন।

• প্রতি কর্মক্ষেত্রে এক কানেক্টর। ডেটা সংগ্রহ নিয়ম এবং কাস্টম টেবিল কর্মক্ষেত্র থেকে নামকরণ করা হয়, তাই একই লগ অ্যানালিটিক্স কর্মক্ষেত্রে আবার কানেক্টর মোতায়েন করার ক্ষেত্রে বিদ্যমান সম্পদগুলিই পুনর্ব্যবহৃত হয়, একটি দ্বিতীয় সেট তৈরি করার পরিবর্তে। একাধিক Cato অ্যাকাউন্টের ইভেন্টগুলি একটি কানেক্টর শেয়ার করতে পারে এবং তারা account_id এবং account_name দ্বারা পৃথক হয়। এদের নিজস্ব ধারণ বা অ্যাক্সেস নিয়ন্ত্রণ সমেত পৃথক টেবিলে ফিড রাখতে, প্রতিটি ক্ষেত্রে একটি পৃথক কর্মক্ষেত্র ব্যবহার করুন।

• নির্দিষ্ট টেবিল নাম। ইভেন্টগুলি সর্বদা CatoNetworksEvents_CL তে লেখা হয়। টেবিল নামটি প্রকাশিত সমাধান দ্বারা নির্ধারিত এবং পরিবর্তন করা যাবে না, কারণ কানেক্টরের স্বাস্থ্য অবস্থাটি Sentinel-এ সেই টেবিলের বিরুদ্ধে একটি প্রশ্ন দ্বারা নির্ধারিত হয়।

• বৃহত ইভেন্ট সীমাবদ্ধতা। কিছু XOps ইভেন্টগুলি raw_data ক্ষেত্রের মধ্যে বিস্তৃত গল্প তথ্য অন্তর্ভুক্ত করতে পারে, যা ইভেন্টকে Microsoft Sentinel ইনজেশনের আকার সীমাবদ্ধতা (প্রায় 1 MB) অতিক্রম করতে পারে। যখন এটি ঘটে, Cato এখনও Sentinel এ ইভেন্ট ফরওয়ার্ড করে, কিন্তু raw_data ক্ষেত্রটি বাদ দেয়।

• আনইনস্টল করা নির্মল করে না। কানেক্টর মুছে ফেলার পর ডেটা সংগ্রহের নিয়ম, কাস্টম টেবিল এবং এর ডেটা, এবং Entra অ্যাপ্লিকেশন সেই স্থানেই থাকে। তারা যদি আর প্রয়োজনীয় না হয় তাহলে Azure-এ তাদের সরিয়ে ফেলুন।