Intégrer les Événements Cato avec Microsoft Sentinel en utilisant le Hub de contenu Microsoft (EA)

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

Vue d’ensemble

Cette intégration est installée depuis le Microsoft Sentinel Content Hub plutôt que depuis le CMA. Il convient aux organisations qui souhaitent que l'application Entra soit enregistrée sous leur propre contrôle et qui préfèrent accorder à Cato l'accès le plus restreint possible : la permission d'écrire des événements dans une Règle de Collecte de Données, et rien d'autre.

Cato est répertorié dans le Hub de contenu comme un connecteur partenaire soutenu par Microsoft, construit sur le Cadre de Connecteurs Sans Code (CCF). Cela signifie que le connecteur apparaît dans la galerie des connecteurs de données Sentinel avec un suivi de l'état de santé des connecteurs natifs, aux côtés de vos autres connecteurs Sentinel. Vous maintenez le schéma événement actuel.

Cato propose également une intégration native clé en main que vous installez depuis le CMA. Avec cette méthode, Cato crée et maintient l'enregistrement de l'application dans votre locataire, fait tourner son certificat et peut maintenir le schéma événement actuel pour vous. Pour une comparaison complète, consultez les instructions dans Intégration des événements Cato avec Microsoft Sentinel.

Processus et Propriétaires

Pré-requis

• Un espace de travail existant Log Analytics avec Microsoft Sentinel activé, et des permissions de lecture et d'écriture sur cet espace de travail.

• Permission dans Microsoft Entra ID pour enregistrer une application et créer une clé secrète client. Cela requiert normalement le rôle de Développeur d'Application ou supérieur.

• Permission dans Azure pour assigner le rôle de Publicateur des Métriques de Surveillance sur une Règle de Collecte des Données. Cela requiert généralement le rôle de Propriétaire ou Administrateur d'Accès Utilisateur.

• Une autorisation d'Éditeur pour les Intégrations (dans la section Ressources) dans le CMA. Pour plus d'informations, voir Gestion des rôles d'administration à l'aide de RBAC.

• Passez en revue les prérequis pour toutes les intégrations des événements Cato dans Getting Started with Event Integrations.

Le connecteur MS Tenant n'est pas requis pour cette intégration. Ce connecteur existe pour que Cato puisse créer des enregistrements d'application dans votre tenant. Avec cette méthode d'intégration, vous créez l'application vous-même.

Ce que le déploiement crée

Tout ce qui suit est créé dans votre abonnement par l'action Déployer sur la page du connecteur. Vous ne créez rien manuellement.

Configurer l'intégration

Installer et déployer le connecteur

Pour installer et déployer le connecteur :

1. Dans Microsoft Sentinel, sélectionnez votre espace de travail et accédez à Gestion du contenu > Hub de contenu.

2. Recherchez Cato Networks et installez la solution.

   Dans l'assistant d'installation, sélectionnez l'abonnement, le groupe de ressources et l'espace de travail qui contiennent votre déploiement Sentinel, puis cliquez sur Examiner + créer. Vous pouvez également consulter la solution sur le Marketplace de Microsoft comme Cato Networks pour Microsoft Sentinel.

3. Allez à Configuration > Connecteurs de données et sélectionnez Événements Cato Networks (Push).

4. Cliquez sur Ouvrir la page du connecteur.

   Si vous ne pouvez pas voir Ouvrir la page du connecteur ou Déployer, rétrécissez le navigateur. La page du connecteur peut s'afficher sous la zone visible de la fenêtre, sans barre de défilement de page.

5. Copiez l'ID Tenant. Cette valeur est disponible avant de déployer.

6. Cliquez sur Déployer, examinez les ressources listées et confirmez.

   Un avertissement apparaît d'abord, expliquant qu'un point de terminaison de collecte de données sera créé s'il n'existe pas déjà. C'est attendu.

Copier les valeurs de connexion

Lorsque le déploiement est terminé, la page du connecteur affiche six valeurs, chacune avec un bouton de copie.

Avertissement:

Copiez le Secret d'Enregistrement de l'App Entra dès que le déploiement est terminé. La page du connecteur se recharge automatiquement dans environ une minute, et le secret n'est pas affiché à nouveau : Microsoft ne montre jamais une clé secrète client après sa création, et la page n'a pas d'option pour la révéler. Traitez-la et stockez-la comme vous le feriez pour toute autre façon d'u ses credentials.

Si vous la manquez, vous n'avez pas besoin de réinstaller la solution. Voir Que se passe-t-i если je perds le secret client ? dans la FAQ pour les deux façons de le récupérer.

Création de l'intégration dans le CMA

Pour créer l'intégration Sentinel :

1. Dans le menu de navigation du CMA, sélectionnez Ressources > Intégrations.

2. Sur l'onglet Intégrations configurées, cliquez sur Nouveau. Le panneau Nouvelle Intégration s'ouvre.

3. Sélectionnez Microsoft Sentinel.

4. Dans le champ Auth, sélectionnez Authentification Content Hub (CCF push) pour Microsoft Sentinel.
   

5. Entrez un Nom pour cette intégration, et optionnellement une Description.

6. Entrez les valeurs que vous avez copiées de la page du connecteur :

   • ID du Répertoire (Tenant)

   • ID de l'Application (Client)

   • Clé Secrète du Client

   • URI du Point de Terminaison de Collecte des Données

   • ID Immuable de la Règle de Collecte des Données

   • Nom du Flux d'Événements

7. Optionnel : Ajoutez des filtres pour contrôler quels événements Cato sont envoyés à Microsoft Sentinel, comme décrit ci-dessous.

8. Cliquez sur Sauvegarder.

Maintenir le Schéma des Événements à jour

La solution dans le Content Hub transporte le schéma d'événements tel qu'il était quand cette version a été publiée. Cato ajoute des champs d'événements plus souvent que la solution n'est republiée, donc après l'installation, vous appliquez le schéma actuel séparément.

Faites ceci une fois dans le cadre de la configuration, et à nouveau chaque fois que vous souhaitez des champs que Cato a ajoutés depuis. L'installation d'une version plus récente de la solution ne le fait pas pour vous : le tableau et la Règle de Collecte des Données appartiennent à votre abonnement et ont été créés par votre action Déployer, donc seul ce modèle les change.

Pour appliquer le schéma actuel :

1. Ouvrez le modèle de mise à jour du schéma. Dans la section Maintenir le schéma à jour de la page du connecteur, cliquez sur Déployer la mise à jour du schéma. Alternativement, allez au repository Cato Sentinel CCF et cliquez sur Déployer sur Azure.

2. Sélectionnez l'abonnement et le groupe de ressources qui contient votre espace de travail Sentinel.

3. Entrez le nom de l'espace de travail. C'est la seule valeur que vous fournissez.

4. Cliquez sur Revoir + créer.

La mise à jour préserve votre point de terminaison d'ingestion, ID immuable de la Règle de Collecte des Données, application Entra, clé secrète client, rétention du tableau, et toutes les données déjà ingérées. Rien n'a besoin d'être ré-entré dans le CMA, et l'ingestion continue tout au long.

Un espace de travail Log Analytics contient un connecteur Cato, donc si vous exécutez le connecteur dans plus d'un espace de travail, appliquez la mise à jour une fois par espace de travail.

Autoriser jusqu'à 30 minutes pour que les nouveaux champs commencent à arriver. Le point de terminaison d'ingestion met en cache brièvement le schéma précédent, et pendant cette fenêtre, les événements sont acceptés normalement, avec les nouveaux champs laissés vides. Vérifiez avec une requête plutôt que de supposer que la mise à jour a échoué :

CatoNetworksEvents_CL
| where TimeGenerated > ago(1h)
| take 10

Si les nouveaux champs sont toujours vides après une heure, contactez le support Cato avec votre ID de compte et le nom de votre espace de travail Log Analytics.

Le schéma ne fait que croître. Des colonnes sont ajoutées, jamais supprimées ou retapées, donc une mise à jour ne peut pas casser un workbook existant, une règle d'analytique, ou une requête enregistrée.

Vérification que l'intégration fonctionne

Après configuration, confirmer :

• Le tableau CatoNetworksEvents_CL apparaît dans votre espace de travail Log Analytics sous Tableaux

• La page du connecteur dans Sentinel montre le connecteur comme Connecté

• Des événements apparaissent dans les quelques minutes suivant le trafic. Effectuez une requête avec CatoNetworksEvents_CL | take 10 dans Log Analytics

Remarque :

Le statut Connecté dans Sentinel est basé sur les données arrivant dans le tableau au cours des sept derniers jours, pas sur la validité des credentials. Un connecteur dont le secret a expiré peut continuer à apparaître comme Connecté pendant jusqu'à sept jours. Utilisez une requête sur le tableau pour confirmer que les événements continuent d'arriver.

Configurer les filtres

Utilisez des filtres pour contrôler quels événements Cato sont exportés vers Microsoft Sentinel. Cela aide à réduire les coûts d'ingestion, minimiser le bruit, et concentrer les enquêtes sur les événements les plus pertinents pour des sites spécifiques, des utilisateurs ou des régions. Vous pouvez également utiliser des filtres pour acheminer différents sous-ensembles d'événements vers différents environnements SIEM.

Utilisez des groupes de filtres pour définir des filtres basés sur tout Champ d'Événement ou combinaison de champs. Les conditions au sein de chaque groupe utilisent la logique ET. La logique OU est appliquée entre les groupes. Les filtres dans la capture d'écran configurent l'intégration pour exporter :

• Les événements qui proviennent de Paris ou Madrid, sont de sous-type Pare-feu Internet, et ont pris des actions autres que Surveiller ou Inviter.

• Le Nom d'utilisateur contient Test

Référence des Champs d'Événements

Les colonnes dans CatoNetworksEvents_CL reflètent les champs d'événements Cato. Voir Schéma des Événements Cato pour les champs que chaque type d'événement porte, et Comprendre les Champs d'Événements pour les définitions des champs.

Deux noms diffèrent parce que Log Analytics les réserve :

Limites connues

• Le schéma conditionné est un point de départ. La solution porte le schéma d'événements de sa sortie. Les champs que Cato ajoute après atteignent votre tableau uniquement lorsque vous appliquez la mise à jour du schéma. Voir Maintenir le Schéma des Événements à jour.

• Un connecteur par espace de travail. La Règle de Collecte des Données et le tableau personnalisé sont nommés à partir de l'espace de travail, donc déployer à nouveau le connecteur dans le même espace de travail Log Analytics réutilise les ressources existantes plutôt que de créer un deuxième ensemble. Les événements de plusieurs comptes Cato peuvent partager un connecteur, et sont distingués par account_id et account_name. Pour maintenir les flux dans des tableaux séparés, avec leur propre rétention ou contrôle d'accès, utilisez un espace de travail séparé pour chacun.

• Nom fixe du tableau. Les événements sont toujours écrits dans CatoNetworksEvents_CL. Le nom de tableau est fixé par la solution publiée et ne peut pas être changé, parce que le statut de santé du connecteur dans Sentinel est déterminé par une requête contre ce tableau.

• Limitation des grands événements. Certains événements XOps peuvent inclure des informations d'histoire étendues dans le champ raw_data, ce qui peut amener l'événement à dépasser les limites de taille d'ingestion de Microsoft Sentinel (environ 1 Mo). Lorsque cela se produit, Cato transmet toujours l'événement à Sentinel, mais omet le champ raw_data.

• Désinstallation n'a pas de nettoyer. La suppression du connecteur laisse la règle de collecte de données, la table personnalisée et ses données, ainsi que l'application Entra en place. Supprimez-les dans Azure si vous n'en avez plus besoin.