Cato ইভেন্টগুলি মাইক্রোসফট সেন্টিনেলের সাথে টার্নকি ইন্টিগ্রেশন ব্যবহার করে সংযুক্তিকরণ

সারসংক্ষেপ

এই মাইক্রোসফট সেন্টিনেল ইন্টিগ্রেশনটি ব্যবহার করে আপনার বিদ্যমান মনিটরিং, সমন্বয় এবং তদন্ত কার্যপ্রবাহে কেটো ইভেন্ট ডেটা অন্তর্ভুক্ত করুন।

এই আর্টিকেলটি নেটিভ টার্নকি ইন্টিগ্রেশন কভার করে: Cato আপনার টেনান্টে একটি Entra অ্যাপ্লিকেশন তৈরি ও পরিচালনা করে, ইভেন্টগুলি সরাসরি সেন্টিনেলে পাঠায়, এবং স্বয়ংক্রিয়ভাবে সেন্টিনেলের ডেটা মডেলে ম্যাপ করে। এটি বেশিরভাগ অ্যাকাউন্টের জন্য সুপারিশকৃত পদ্ধতি কারণ সেটআপের পর এটি নিরবিচ্ছিন্ন মনোযোগের প্রয়োজন সবচেয়ে কম।

Cato এছাড়াও একটি Content Hub ইন্টিগ্রেশন (বর্তমানে EA-এ) অফার করে, যা Microsoft Sentinel Content Hub থেকে ইনস্টল করা হয়েছে। এই পদ্ধতি দিয়ে, আপনি Entra অ্যাপ্লিকেশনটির মালিক হবেন, এবং Cato শুধুমাত্র ইভেন্ট লেখার অনুমতি পাবে। সম্পূর্ণ তুলনা জন্য, Microsoft Sentinel এর সাথে Cato ইভেন্ট ইন্টিগ্রেশন নির্দেশিকা পর্যালোচনা করুন।

প্রক্রিয়া এবং মালিকরা

প্রার্থাসূচি

• Microsoft পরিবারের ইন্টিগ্রেশনগুলি সিএমএতে একটি কনফিগার করা হয়েছে সম্পদ > ইন্টিগ্রেশন > কনফিগার করা ইন্টিগ্রেশন অধীনে। এটি Microsoft অ্যাপ্লিকেশনগুলির জন্য প্যারেন্ট কানেক্টর। এটি একবার কনফিগার করুন এবং এটি Microsoft এর সকল সংযোগের মধ্যে পুনঃব্যবহার করুন।

• সম্পাদক অনুমতি ইন্টিগ্রেশন জন্য (সেকশনে সম্পদ)। আরও তথ্যের জন্য, দেখুন RBAC ব্যবহার করে Admin ভূমিকা পরিচালনা।

• সেন্টিনেল এ বিদ্যমান লগ বিশ্লেষণ ওয়ার্কস্পেস যেখানে কেটো ইভেন্টগুলি গ্রহণ করা হবে।

• একটি Azure অ্যাকাউন্ট যা ARM টেমপ্লেটগুলি বসানোর এবং লক্ষ্য সাবস্ক্রিপশন এবং সম্পদ গ্রুপে ভূমিকা অ্যাসাইনমেন্ট প্রদান করার অনুমতি দিয়ে থাকে।

• Getting Started with Event Integrations এ সকল Cato ইভেন্ট ইন্টিগ্রেশনের জন্য পূর্বশর্তগুলি পর্যালোচনা করুন।

ইন্টিগ্রেশনের আর্কিটেকচারের বোঝা

মূল মডেল বোঝা সাহায্য করে ব্যাখ্যা করতে কেন কিছু পদক্ষেপ বিদ্যমান এবং ইভেন্টগুলি প্রত্যাশিত মতো প্রবাহিত না হলে কি পরীক্ষা করতে হবে।

এটি উচ্চ-স্তরের স্থাপত্য চিত্র:

পদক্ষেপ 1: এন্ট্রা আইডি অ্যাডমিন অনুমতি (ভোক্তা কানেক্টরের আগে)

ভোক্তা কানেক্টর অনুমোদন Microsoft Entra ভোক্তার বিরুদ্ধে একটি OAuth অনুমতি প্রম্পট ট্রিগার করে। আপনার এন্ট্রা আইডি অ্যাডমিন এটি অনুমোদন করার আগে, তাদের সঠিকভাবে জানতে হবে কি প্রদান করা হচ্ছে:

• প্রাথনা করা একমাত্র Microsoft Graph অনুমতি হল অ্যাপ্লিকেশন।ReadWrite.OwnedBy . এটি কেটোর মাল্টি-ভোক্তা অ্যাপ্লিকেশন দুটি অফারগুলি প্রদান করে এবং শুধুমাত্র সেগুলির জন্য অ্যাপ্লিকেশন যা ভোক্তা কানেক্টর তৈরি করে:

  • আপনার ভোক্তায় নতুন অ্যাপ নিবন্ধনগুলি তৈরি করার ক্ষমতা।

  • পড়া/লেখার অনুমতি, যে কোনো সময়, এর তৈরি করা অ্যাপ্লিকেশনগুলি অনুমতি দেয়, ভারতীয় কোনই আপনার ভোক্তায় অন্য কোনো অ্যাপ্লিকেশন।

• এটি একটি কম্বল ভোক্তা অ্যাক্সেস অনমোদন করে না। নবনির্মিত অ্যাপ্লিকেশনগুলি শূন্য অনুমতিসমূহ দিয়ে শুরু হয়: কোন গ্রাফ API পরিসর এবং কোন Azure RBAC ভূমিকা নেই. আপনার কানেক্টরের জন্য নির্দিষ্ট অনুমতি অনুমোদন না করা পর্যন্ত তারা কিছু করতে পারেনা (উদাহরণস্বরূপ, নিচে সেন্টিনেল ARM টেমপ্লেট মাধ্যমে, অথবা অন্যান্য কানেক্টর প্রকারগুলির জন্য OAuth অনুমতি স্ক্রীন মাধ্যমে)।

• এইভাবে তৈরি করা প্রতিটি অ্যাপ্লিকেশন শুধুমাত্র আপনার ভোক্তার জন্য নিবেদিত। এটি কখনোই অন্য কোনো কেটো গ্রাহকের সাথে ভাগ করা হয় না বা যৌথ নয়।

মাইক্রোসফট এন্ট্রা এ হিসাব-ব্যাপী অ্যাডমিন অনুমতি একি পদক্ষেপের প্রয়োজনঃ

• বিশেষাধিকারপ্রাপ্ত ভূমিকা প্রশাসক, যা যে কোনো API এর জন্য যে কোনও অনুমতি প্রার্থনা করতে পারে

• ক্লাউড অ্যাপ্লিকেশন অ্যাডমিনিস্ট্রেটর অথবা অ্যাপ্লিকেশন অ্যাডমিনিস্ট্রেটর, যা বেশির ভাগ অনুমতি প্রার্থনা করতে পারে কিন্তু কিছু Microsoft Graph অ্যাপ্লিকেশনের অনুমতির জন্য কিছু ব্যতিক্রম সহ।

• গ্লোবাল অ্যাডমিনিস্ট্রেটর, যা অনুমোদন প্রদান করতে পারে

অ্যাডমিন অনুমতি প্রদান করতে:

1. এন্ট্রা অ্যাডমিন সেন্টার এ যান এবং পরিচিতি > অ্যাপ্লিকেশনস > এন্টারপ্রাইজ অ্যাপ্লিকেশনস এ যান।

2. অ্যাপ্লিকেশনটি খুঁজে বের করুন.

3. নিরাপত্তা > অনুমতি এ যান এবং অ্যাডমিন অনুমতি প্রদান করুন নির্বাচন করুন।

সম্পূর্ণ পূর্বশর্ত এবং ধাপ-দর-ধাপ নির্দেশনার জন্য, Microsoft এন্ট্রা দলিল রেফার করুন।

পদক্ষেপ 2: ভোক্তা কানেক্টর (একবারের, পূর্বশর্ত)

কোনো সেন্টিনেল-নির্দিষ্ট সেটআপের আগে, আপনি Cato এর ভোক্তা কানেক্টর অনুমোদন করেন, যা CMA এ "Microsoft 365 (নতুন ভোক্তা)" হিসেবে প্রদর্শিত হয়। এটি কেটোর নিজস্ব মাল্টি-ভোক্তা অ্যাপ্লিকেশন দ্বারা সমর্থিত হয়, যা কেটোর ভোক্তায় অবস্থিত, আপনার ভোক্তায় নয়। আপ কোনও সময়ে এই অনুমোদনকে প্রত্যাহার করতে পারেন।

এটি অনুমোদন করা কেটোর একমাত্র ক্ষমতা প্রদান করে: আপনার ভোক্তায় নতুন অ্যাপ নিবন্ধনগুলি সৃষ্টি করার অনুমতি। এটি নিজে কোন অ্যাপসের কোনো অ্যাক্সেস প্রদান করে না। প্রতিটি অনুমতি যা একটি তৈরি করা অ্যাপ গ্রহণ করে এখনও আপনার স্পষ্ট অনুমোদনের প্রয়োজন, বা তো তার মধ্যে OAuth অনুমতি ব্যবস্থার মাধ্যমে বা নিচে ARM টেমপ্লেট ডিসপ্লয়ের মাধ্যমে।

এই কানেক্টরটি সকল Microsoft-পরিবার সংযোজনের মধ্যে ভাগ করা হয়, শুধুমাত্র সেন্টিনেল নয়। ভোক্তা কানেক্টরটি প্রতিটি Cato কানেক্টরের দ্বারা ব্যবহার করা হয় যা একটি Microsoft পণ্যের সাথে ইন্টিগ্রেট করে: সেন্টিনেল, ইনটুয়ান, CASB/DLP, ডিফেন্ডার এবং অন্যান্য। আপনি একবার ভোক্তা কানেক্টর অনুমোদন করেন; এরপর, আপনি CMA এ একটি নতুন Microsoft-পরিবার কানেক্টর তৈরি করার সময়, একটি আলাদা, নিবেদিত অ্যাপ নিবন্ধন আপনার ভোক্তায় নির্দিষ্টতঃ সেই কানেক্টরের জন্য তৈরি হয়। একটি সেন্টিনেল কানেক্টর সৃষ্টি করলে Intune বা অন্য Microsoft পণ্য সংক্রান্ত কোন অ্যাক্সেস প্রদান করা হয় না। প্রতিটি কানেক্টর নিজ নিজ অ্যাপ এবং স্বকীয় অনুমতি দেয়।

ভোক্তা কানেক্টর দ্বারা তৈরি করা অ্যাপগুলি সার্টিফিকেট ব্যবহার করে প্রমানীকরণ করে (ক্লায়েন্ট সিক্রেট নয়)। Cato স্বয়ংক্রিয়ভাবে সার্টিফিকেট রোটেশন এবং জীবনচক্র পরিচালনা করে। যদি আপনি CMA এ একটি কানেক্টর মুছে ফেলেন, Cato তার জন্য তৈরি করা সংশ্লিষ্ট অ্যাপ নিবন্ধনকেও মুছে দেয়; অ্যাপ নিবন্ধনগুলি তাদের সৃষ্ট কানেক্টরকে বাঁচিয়ে রাখে না।

ভোক্তা কানেক্টর মডেলের সুবিধা:

• অ্যাপ সৃষ্টির জন্য এক-বারের অনুমোদন। আপনি ভাড়াটিয়া কানেক্টর একবার অনুমোদন করেন, তারপর Microsoft-পরিবারের প্রতিটি নতুন কানেক্টর (Sentinel, Intune, CASB/DLP, Defender, ইত্যাদি) তার নিজস্ব অ্যাপ নিবন্ধন স্বয়ংক্রিয়ভাবে অনুমোদনের অধীন তৈরি হয়, নিবন্ধনের জন্য আলাদা অনুমোদন ছাড়াই। প্রতিটি কানেক্টর তার প্রয়োজনীয় অনুমতির জন্য এখনও তার নিজস্ব সম্মতি ধাপ পালন করে, যেমনটি নিচে বর্ণনা করা হয়েছে।

• স্বয়ংক্রিয় পরিষ্কার (কোনো অরপানেড অ্যাপ নিবন্ধন নেই)। CMA এ একটি কানেক্টর মুছে ফেলার সাথে একটি অ্যাপ নিবন্ধন কেটো এর দ্বারা মুছে ফেলা হয় যা এর জন্য তৈরি করা হয় একই ক্রিয়ায়। আপনার ভোক্তায় অনুসরণ এবং ম্যানুয়ালভাবে পরিষ্কার করার জন্য কিছুই পিছিয়ে নেই।

• স্বয়ংক্রিয় রোটেশনের সাথে সার্টিফিকেট ভিত্তিক অথঃ। কারণ কেটো এই অ্যাপ নিবন্ধনগুলি তৈরি এবং পরিচালনা করে, এটি তাদের জীবদ্দশায় সার্টিফিকেট ঘূর্ণনের মালিকও। অ্যাপ নিজে নিবন্ধিত করা আপনার সঙ্গে ক্রমাগত অপারেশনাল কার্য হিসাবে সেই ঘূর্ণন গ্রহণ করা।

• ডিফল্ট দ্বারা শূন্য অনুমতি। প্রতিটি অ্যাপ টেন্যান্ট কানেক্টর তৈরি করে, কোন এপিআই স্কোপ এবং কোন Azure RBAC ভূমিকা ছাড়াই শুরু হয়। অ্যাক্সেস শুধুমাত্র একটি পরবর্তী, স্পষ্ট ধাপে যোগ করে (একটি ARM ডিপ্লয়মেন্ট বা OAuth সম্মতি স্ক্রীন)।

• প্রতিটি-কানেক্টর আইসোলেশন। প্রত্যেক Microsoft-পরিবার কানেক্টর তার জন্য একটি নিবেদিত অ্যাপ নিবন্ধন পায়। সেন্টিনেল কানেক্টরের অ্যাপটি ইনটুন বা CASB কানেক্টরের অ্যাক্সেসের উপর কোন প্রভাব ফেলে না, এবং বিপরীতভাবে।

এটি আপনার প্রতিষ্ঠানকে নিশ্চিত করার প্রয়োজন যে আপনার ট্যানেন্টের অ্যাপ্লিকেশনগুলি আপনাদের অধিনে নিবন্ধিত ও পরিচালিত হয়, Cato নয়। সেক্ষেত্রে কনটেন্ট হাব ইন্টিগ্রেশন ব্যবহার করুন। এটি ট্যানেন্ট কানেক্টর ব্যবহার করে না।

পদক্ষেপ 3: সেন্টিনেল কানেক্টর সেটআপ

অ্যাপ তৈরি

যখন আপনি CMA-তে একটি নতুন সেন্টিনেল কানেক্টর শুরু করেন, মূল কানেক্টর তার ক্ষমতা ব্যবহার করে আপনার টেন্যান্টে একটি নতুন প্রতি-গ্রাহক অ্যাপ নিবন্ধন তৈরি করে। এসিএমএতে যা প্রগতি লোডার (0-100%) প্রতিনিধিত্ব করে তা হল এইটি। এই সময়ে, অ্যাপটি বিদ্যমান, কিন্তু এখনও কোন অনুমতি এবং কোন সম্পদ নেই।

ARM টেমপ্লেট ডিপ্লয়মেন্ট ("Azure-এ ডিপ্লয় করুন")

ক্লিক করার মাধ্যমে আপনাকে একটি পূর্ব-পূরণ করা ARM টেমপ্লেটে নিয়ে যায় যা আপনি আপনার নিজস্ব Azure পোর্টালে ডিপ্লয় করেন, আপনার নিজের শংসাপত্রের অধীনে। এটি সেই ধাপ যেখানে:

• আপনি অ্যাপের স্কোপড অনুমতি অনুমোদন করেন

• সেন্টিনেল সম্পদগুলি প্রকৃতপক্ষে প্রাপ্ত হয়

• Cato-এর সার্ভিস প্রধান তার ভূমিকা নিয়োগ পায়

Cato কখনও সরাসরি আপনার টেন্যান্টে ডিপ্লয় করে না। ডিপ্লয়মেন্ট সর্বদা গ্রাহক-উদ্যোগী এবং গ্রাহক-নির্বাহী। টেমপ্লেট প্রভিশন:

টেমপ্লেটটি একটি ডেটা সংগ্রহ এন্ডপয়েন্ট তৈরি করে না। Azure ডেটা সংগ্রহ নিয়মগুলি এখন তাদের নিজস্ব অন্তর্ভুক্তি এন্ডপয়েন্ট সরাসরি প্রকাশ করে, যা টেমপ্লেটের রিসোর্স সংখ্যা এবং অনুমতি পরিসরকে নিম্ন রক্ষারকারী রাখে।

পদক্ষেপ 4: চলমান স্কিমা ব্যবস্থাপনা

Cato-এর ইভেন্ট স্কিমা বিকশিত হলে, DCR এবং টেবিল স্কিমা আপডেট করা দরকার যাতে নতুন ক্ষেত্র ইঙ্গেস্ট হয়। Cato প্রায়ই ইভেন্ট ক্ষেত্র যোগ করে, এবং যতক্ষণ পর্যন্ত আপনার DCR এবং টেবিলে ক্ষেত্র বিদ্যমান না হয়, তার মান সমূহ সংরক্ষিত হয় না।

Cato এই আপডেটগুলি আপনার জন্য প্রয়োগ করতে পারে, ARM ডিপ্লয়মেন্টের সময় প্রদত্ত ভূমিকাগুলি ব্যবহার করে। এই আচরণটি ইন্টিগ্রেশনে অটো আপডেট স্কিমা সেটিং দ্বারা নিয়ন্ত্রিত হয়, এবং Cato-এর সার্ভিস প্রিন্সিপ্যাল সেই ভূমিকাগুলি ধরে রাখার উপর নির্ভর করে।

এটি সক্রিয় করার জন্য কীভাবে দেখুন ইভেন্ট স্কিমা আপডেট রাখা।

তিনটি ভূমিকা নিয়োগ দুটি পৃথক উদ্দেশ্য পরিবেশন করে, এবং সেগুলি সরিয়ে ফেললে ভিন্ন ফলাফল হয়:

• মনিটরিং মেট্রিক্স পাবলিশার (DCR-এ) অপসারণ ডেটা অন্তর্ভুক্তি সম্পূর্ণরূপে বন্ধ করে দেয়। এটি একটি পূর্ণপুঁজি, অবনতি-মোড নয়। কোনো নতুন ঘটনা সেন্টিনেলে পৌঁছায় না।

• যেকোনো কাস্টম ভূমিকা (DCR ম্যানেজার / টেবিল ম্যানেজার) অপসারণ বিদ্যমান অন্তর্ভুক্তি বন্ধ করে না; এটি কেবল Cato-কে ভবিষ্যত স্কিমা আপডেটগুলি প্রয়োগ করতে বাধা দেয়, তাই নতুন ইভেন্ট ক্ষেত্রগুলি আপনার টেবিলে উপস্থিত হবে না যতক্ষণ না ভূমিকাগুলি পুনরুদ্ধার হয়।

প্রস্তাবনা: যদি আপনার প্রতিষ্ঠান পর্যায়ক্রমিক অ্যাক্সেস পর্যালোচনা চালায়, তাহলে Cato-এর সার্ভিস প্রিন্সিপ্যালকে পুনর্নবীকরণের জন্য ফ্ল্যাগ করা উচিত অপসারণের পরিবর্তে।

ইন্টিগ্রেশন সেট আপ করা

Microsoft টেন্যান্ট ইন্টিগ্রেশন তৈরি করা (এককালীন)

MS টেন্যান্ট কানেক্টরটি প্রয়োজনীয়তাদির কথামতো অন্যান্য Microsoft অ্যাপের জন্য প্যারেন্ট কানেক্টর। আপনি যদি ইতিমধ্যে এক পৃথক Microsoft ইন্টিগ্রেশনের জন্য এটি তৈরি করে থাকেন, তবে কার পার্সেল ইন্টিগ্রেশনের জন্য এই কার্যবিধি পুনরাবৃত্তি করার প্রয়োজন নেই।

MS টেনেন্ট ইন্টিগ্রেশন তৈরি করতে:

1. CMA' নেভিগেশন মেনু থেকে সম্পদ > ইন্টিগ্রেশন নির্বাচন করুন, তারপর কনফিগার করা ইন্টিগ্রেশন ট্যাবে ক্লিক করুন।

2. নতুন এ ক্লিক করুন। নতুন কানেক্টর প্যানেল খোলে।

3. নতুন কানেক্টর প্যানেলে, MS টেনেন্ট (একটি নতুন MS টেনেন্ট কনফিগার করুন) অ্যাপটি নির্বাচন করুন।

4. কানেক্টর নাম এ প্রবেশ করুন।

5. Authorize and Save এ ক্লিক করুন।

   একটি নতুন ব্রাউজার ট্যাব মাইক্রোসফট 365 অ্যাপ এ খোলে।

6. নতুন ব্রাউজার ট্যাবে, মাইক্রোসফট 365 অ্যাপের প্রমাণীকরণ করুন:

   1. মাইক্রোসফট 365 অ্যাপের জন্য মাইক্রোসফট অ্যাকাউন্টটি নির্বাচন করুন।

      অন্যথায়, একটি Microsoft authentication ত্রুটি হতে পারে।

   2. Microsoft অ্যাকাউন্টের জন্য পাসওয়ার্ড লিখুন এবং অনুমোদন করুন।

   3. Cato কে মাইক্রোসফট 365 অ্যাপ অ্যাক্সেস করার অনুমতি দিতে অনুমতি গ্রহণ করুন।

      একটি সফলতা পেজ প্রদর্শন করে যে অনুমতিগুলি প্রয়োগ করা হয়েছে।

   4. আপনি ব্রাউজারের ট্যাবটি বন্ধ করতে পারেন এবং CMA-তে ফিরে যেতে পারেন।

7. Microsoft 365 অ্যাপ এখন ইন্টিগ্রেটেড অ্যাপস ট্যাবের অধীনে উপস্থিত হয়।

সেন্টিনেল ইন্টিগ্রেশন তৈরি করা হচ্ছে।

Sentinel ইন্টিগ্রেশন তৈরি করতে:

1. নেভিগেশন মেনু থেকে Resources > ইন্টিগ্রেশন নির্বাচন করুন।

2. কনফিগার্ড ইন্টিগ্রেশন ট্যাবে, নতুন এ ক্লিক করুন। নতুন ইন্টিগ্রেশন প্যানেল খোলে।

3. Microsoft Sentinel নির্বাচন করুন, এবং অথ ক্ষেত্রটির মধ্যে Microsoft Sentinel এর জন্য সম্মতি ARM টেমপ্লেট প্রমাণীকরণ নির্বাচন করুন।

4. নিম্নলিখিত সেটিংস কনফিগার করুন:

   • এই ইন্টিগ্রেশনের জন্য একটি নাম লিখুন

   • Parent ID ক্ষেত্রে MS টেন্যান্ট ইন্টিগ্রেশন নাম নির্বাচন করুন।

   • আপনার বিদ্যমান লগ বিশ্লেষণ কর্মক্ষেত্র নাম লিখুন যা Microsoft লগ বিশ্লেষণে ডেটা গ্রহণ করে।

   • এই নামে লগ বিশ্লেষণ কর্মক্ষেত্রে ডেটা ধরে রাখার জন্য একটি নতুন লগ বিশ্লেষণ টেবিল নাম লিখুন (Cato _CL যুক্ত করে)।

   • টেবিল ধারণ দিন ক্ষেত্রে Microsoft-এ ক্যাটো ডেটা ধরে রাখার জন্য কত দিন চান তা নির্ধারণ করুন

   • ডেটা উৎস অধীনে, অটো আপডেট স্কিমা সক্রিয় করুন। ইভেন্ট স্কিমা আপডেট রাখা দেখুন।

   • ঐচ্ছিক: Cato ইভেন্টগুলি Microsoft সেন্টিনেলে পাঠাতে কোন ফিল্টারগুলি নিয়ন্ত্রণ করবেন তা যোগ করুন।

5. ইন্টিগ্রেশন Microsoft এ রূপান্তর করতে সংরক্ষণ ক্লিক করুন।

   নোট: আপনাকে এখন Microsoft এ সেটআপটি সম্পন্ন করতে ১০ মিনিট দেওয়া হয়েছে।

6. একটি ব্রাউজার ট্যাব খোলে এবং আপনাকে Microsoft-এ ইন্টিগ্রেশন তৈরির অনুমোদন করতে নির্দেশ দেয়।

   নোট:আপনি MS টেন্যান্ট ইন্টিগ্রেশন তৈরির জন্য একই টেন্যান্টের সাথে ইন্টিগ্রেশন অনুমোদন করতে হবে। ব্যবহারকারীর অবশ্যই ঐ টেন্যান্টের সম্পদ তৈরি করার অনুমতি থাকতে হবে।

7. Microsoft পোর্টালে, সেই রিসোর্স গ্রুপ এবং অঞ্চল নির্বাচন করুন যেখানে টার্গেট লগ বিশ্লেষণ ওয়ার্কস্পেস রয়েছে এবং রিভিউ + ক্রিয়েট ক্লিক করুন।

8. তৈরি করুন ক্লিক করুন যাতে প্রস্তুতি শুরু হয়।

9. যখন রূপান্তর সম্পন্ন হয়, আপনি Microsoft ট্যাব বন্ধ করতে পারেন।

10. CMA তে, ইন্টিগ্রেশন পাতা রিফ্রেশ করুন। ইন্টিগ্রেশনের স্ট্যাটাস ইন্টিগ্রেটেড অ্যাপস ট্যাবে উপস্থিত হয়।

ইভেন্ট স্কিমা আপডেট রাখা

Cato নিয়মিতভাবে তার ইভেন্ট স্কিমায় নতুন ক্ষেত্র যোগ করে। একটি নতুন ক্ষেত্রকে সেন্টিনেল পৌঁছতে, এটি ডেটা সংগ্রহ নিয়ম এবং আপনার ওয়ার্কস্পেসে কাস্টম টেবিলে উভয় ক্ষেত্রেই যুক্ত করতে হবে।

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

অটো আপডেট স্কিমা সেটিং নিয়ন্ত্রণ করে যে Cato তা আপনার জন্য করছে কিনা।

• সক্রিয় - যখন Cato একটি ইভেন্ট ক্ষেত্র যোগ করে, এটি স্বয়ংক্রিয়ভাবে আপনার ডেটা সংগ্রহ নিয়ম এবং টেবিলে সংশ্লিষ্ট কলাম যোগ করে। কোনও ডাউনটাইম এবং কোনও ডেটা ক্ষতি নেই যখন একটি আপডেট প্রয়োগ করা হয়, এবং আপনার পক্ষ থেকে কোনও কার্য করার প্রয়োজন নেই।

• নিষ্ক্রিয় - আপনার ডেটা সংগ্রহ নিয়ম এবং টেবিল তাদের বর্তমান কলামগুলি ধরে রাখে। ইভেন্টগুলি অন্তর্ভুক্তটি অব্যাহত থাকে, তবে যে কোনও ক্ষেত্র Cato যোগ করেছে সেটি সংরক্ষণ করা হয় না।

অটো আপডেট স্কিমা ডিফল্টরূপে, নবীন এবং বিদ্যমান ইন্টিগ্রেশন উভয়ের জন্য বন্ধ।

এটিকে চালু করা মানে Cato ডেটা সংগ্রহ নিয়ম এবং আপনার লগ অ্যানালাইটিক্স ওয়ার্কস্পেসে কাস্টম টেবিলে পরিবর্তনগুলি করে যখনই ইভেন্ট স্কিমা পরিবর্তিত হয়। তা গ্রহণযোগ্য হওয়ার সিদ্ধান্ত আপনার সংস্থার জন্য। অনেকেই তাদের ওয়ার্কস্পেসে একটি বিক্রেতাকে পরিবর্তন করতে অনুমতি দেয় না, তাদের ক্ষেত্রে সেটিং বন্ধ রাখা উচিত।

এর বন্ধ থাকলে খরচ রয়েছে: ইন্টিগ্রেশন ডিপ্লয় হওয়ার পরে Cato যোগ করা ইভেন্ট ক্ষেত্র সংরক্ষিত হয় না। আপনার ওয়ার্কস্পেসে নিয়ন্ত্রণ এবং স্কিমা আপ-টু-ডেট রাখার একটি পথ জেনে, Content Hub integration ব্যবহার করুন।

ভূমিকা যা Cato কে এই পরিবর্তন করার অনুমোদন দেয়, ARM টেমপ্লেট ডিপ্লয় করার সময় অনুমোদিত হয়, সেটিংটি চালু থাকুক বা না থাকুক। সেটিং শুধুমাত্র নিয়ন্ত্রণ করে যে Cato তা ব্যবহার করছে কিনা। প্রথম পদক্ষেপ: চলমান স্কিমা ব্যবস্থাপনা দেখুন, আপনি যদি তাদের অপসারণ করেন তাহলে কী ঘটে।

একটি বিদ্যমান ইন্টিগ্রেশনে স্বয়ংক্রিয় স্কিমা আপডেট সক্রিয় করতে:

1. নেভিগেশন মেনু থেকে সম্পদ > ইন্টিগ্রেশন নির্বাচন করুন, তারপর কনফিগার করা ইন্টিগ্রেশন ট্যাবে ক্লিক করুন।

2. Microsoft Sentinel সারি প্রসারিত করুন এবং ইন্টিগ্রেশনের নামের উপর ক্লিক করুন। নতুন ইন্টিগ্রেশন প্যানেল খোলে।

3. ডেটা উৎস অধীনে, অটো আপডেট স্কিমা চালু করুন।

4. সংরক্ষণ করুন চাপ দিন।

দ্রষ্টব্য:

স্বয়ংক্রিয় স্কিমা আপডেটগুলি Cato-এর সার্ভিস প্রিন্সিপ্যালের উপর নির্ভর করে যা ARM নিয়োগের সময় প্রদত্ত দুটি কাস্টম ভূমিকা ধরে রাখে। যদি সেই ভূমিকা অপসারণ করা হয়, অন্তর্ভুক্তি অব্যাহত থাকে, তবে নতুন ক্ষেত্রগুলি আপনার টেবিলে প্রদর্শিত হওয়া বন্ধ করে দেয়। পদক্ষেপ 4: চলমান স্কিমা ব্যবস্থাপনা দেখুন।

অনুমোদন যাচাই করা হচ্ছে

সেটআপের পরে, নিশ্চিত করুন:

• নতুন টেবিল (_CL সাফিক্স সহ) আপনার লগ বিশ্লেষণ কর্মক্ষেত্রের অধীনে টেবিলগুলিতে উপস্থিত হয়।

• CMA' ইন্টিগ্রেটেড অ্যাপস ট্যাবের মধ্যে কানেক্টর স্ট্যাটাস সংযুক্ত / স্বাস্থ্যকর হিসাবে দেখায়।

• উদাহরণ ইভেন্টগুলি ট্রাফিকের কয়েক মিনিটের মধ্যে টেবিলে উপস্থিত হয়। লগ বিশ্লেষণে <YourTableName>_CL | গ্রহণ 10 দ্বারা অনুসন্ধান।

• Azure-এ, Cato-এর সার্ভিস প্রিন্সিপ্যাল তার প্রাপ্ত ভূমিকাগুলি DCR এবং টেবিল সম্পদগুলিতে এখনও ধরে রাখে।

ফিল্টারগুলি কনফিগার করুন

কোন Cato ইভেন্ট Microsoft Sentinel এ রপ্তানি করা যাবে তা নিয়ন্ত্রণ করতে ফিল্টার ব্যবহার করুন। এটি গলিত খরচ কমাতে, শব্দের সংখ্যা কমাতে এবং নির্দিষ্ট সাইট, ব্যবহারকারী বা অঞ্চলের সাথে সম্পর্কিত ইভেন্টগুলিতে তদন্তের দিকে মনোযোগ দিতে সাহায্য করে। আপনি ইভেন্টের বিভিন্ন উপসেটগুলি বিভিন্ন SIEM পরিবেশে রাউট করতে ফিল্টার ব্যবহার করতে পারেন।

যে কোনো ইভেন্ট ক্ষেত্র বা ক্ষেত্রের সমন্বয়ের ভিত্তিতে ফিল্টার সংজ্ঞায়িত করতে ফিল্টার গ্রুপ ব্যবহার করুন। প্রতিটি গ্রুপের মধ্যে শর্তগুলি AND লজিক ব্যবহার করে। গ্রুপগুলির মধ্যে OR লজিক প্রয়োগ করা হয়। স্ক্রিনশটে দেখানো ফিল্টারগুলি ইন্টিগ্রেশন কনফিগার করে রপ্তানির জন্য:

• প্যারিস অথবা মাদ্রিদ থেকে যে ইভেন্টের উৎপত্তি হয়, যেগুলি উপ-প্রকার ইন্টারনেট ফায়ারওয়াল এর এবং ক্রিয়াকলাপ হিসাবে মোনিটর অথবা প্রম্পট ছাড়া অন্য কোন কাজের ফলাফল হয়।

• ব্যবহারকারীর নাম অন্তর্ভুক্ত করে পরীক্ষাতালিকা

চিহ্নিত সীমাবদ্ধতা

• বৃহৎ ইভেন্ট সীমাবদ্ধতা: কিছু XOps ইভেন্টগুলি raw_data ক্ষেত্রের মধ্যে বিস্তৃত গল্প তথ্য অন্তর্ভুক্ত করতে পারে, যা ইভেন্টকে Microsoft Sentinel গঠন সীমা (প্রায় 1 MB) অতিক্রম করতে পারে। যখন এটি ঘটে, তখন Cato এখনও ইভেন্টটিকে Sentinel এর কাছে পাঠায়, কিন্তু Sentinel গ্রহণের প্রয়োজনীয়তা বজায় রাখতে raw_data ক্ষেত্রটি বাদ দেয়।

• স্কিমা আপডেট নির্ভরশীলতা: চলমান স্কিমা আপডেটগুলি প্রাপ্ত ভূমিকা ধরে Cato-এর সার্ভিস প্রিন্সিপ্যালের উপর নির্ভর করে। যদি আপনার প্রতিষ্ঠান পর্যায়ক্রমিক অ্যাক্সেস পর্যালোচনা চালায় তাহলে ভূমিকা অপসারণ না হয়।