Microsoft कंटेंट हब (EA) का उपयोग करके Cato ईवेंट्स को Microsoft Sentinel के साथ एकीकृत करना

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

सारांश

यह एकीकरण Microsoft Sentinel कंटेंट हब से स्थापित किया गया है। यह उन संगठनों के लिए उपयुक्त है जो अपनी स्वयं की नियंत्रण के तहत Entra एप्लिकेशन को पंजीकृत करना चाहते हैं और Cato को सबसे कम संभव पहुँच देना पसंद करते हैं: एक डेटा संग्रहण नियम में घटनाएं लिखने की अनुमति और कुछ नहीं।

Cato को कोडलेस कनेक्टर फ्रेमवर्क (CCF) पर निर्मित Microsoft समर्थित साझेदार कनेक्टर के रूप में सामग्री हब में सूचीबद्ध किया गया है। इसका अर्थ है कि कनेक्टर अन्य Sentinel कनेक्टर्स के साथ देशी कनेक्टर स्वास्थ्य निगरानी के साथ Sentinel डेटा कनेक्टर्स गैलरी में दिखाई देता है। आप घटना योजना को वर्तमान बनाए रखते हैं।

मूल टर्नकी एकीकरण के साथ, Cato आपके किरायेदार में ऐप पंजीकरण बनाता और मैनेज करता है, इसका प्रमाणपत्र बदलता है, और आपके लिए इवेंट स्कीमा को अद्यतन रख सकता है। पूर्ण तुलना के लिए, Microsoft Sentinel के साथ Cato घटनाओं को एकीकृत करना में मार्गदर्शन की समीक्षा करें।

प्रक्रिया और मालिक

आवश्यक चीजें

• एक मौजूदा लॉग एनालिटिक्स वर्कस्पेस जिसमें Microsoft सेंटिनल सक्रिय है, और उस वर्कस्पेस पर पढ़ने और लिखने की अनुमति।

• एक एप्लिकेशन को पंजीकृत करने और एक क्लाइंट सीक्रेट बनाने के लिए Microsoft एंट्रा आईडी में अनुमति। यह आमतौर पर एप्लिकेशन डेवलपर भूमिका या उच्चतर की आवश्यकता होती है।

• एज़्योर में डेटा संग्रहण नियम पर मॉनिटरिंग मेट्रिक्स पब्लिशर भूमिका असाइन करने की अनुमति। यह आमतौर पर मालिक या प्रयोक्ता पहुँच व्यवस्थापक भूमिका की आवश्यकता होती है।

• CMA में एकीकरण (संसाधन अनुभाग में) के लिए संपादक की अनुमति। अधिक जानकारी के लिए, RBAC का उपयोग करके व्यवस्थापक भूमिकाएँ प्रबंधित करना देखें।

• Event Integrations के साथ शुरुआत करें में सभी Cato घटना एकीकरणों के लिए पूर्वापेक्षाओं की समीक्षा करें।

इस एकीकरण के लिए MS टेनेन्ट कनेक्टर की आवश्यकता नहीं है। वह कनेक्टर मौजूद इसलिए है ताकि Cato आपके टेनेन्ट में ऐप पंजीकरण बना सके। इस एकीकरण विधि के साथ, आप स्वयं अनुप्रयोग बनाते हैं।

परिनियोजन क्या बनाता है

सब कुछ जो नीचे है वह आपके सदस्यता में कनेक्टर पृष्ठ पर तैनात करें कार्रवाई द्वारा बनाया गया है। आप इसे मैन्युअली नहीं बनाते हैं।

एकीकरण की स्थापना

कनेक्टर को इंस्टॉल और तैनात करना

कनेक्टर को स्थापित और तैनात करने के लिए:

1. Microsoft Sentinel में, अपने कार्यस्थल का चयन करें और कंटेंट प्रबंधन > कंटेंट हब पर जाएं।

2. Cato Networks खोजें और समाधान स्थापित करें।

   स्थापना विज़ार्ड में, उस सदस्यता, संसाधन समूह, और कार्यस्थान का चयन करें जो आपके सेंटिनल परिनियोजन को धारण करता है, और फिर समीक्षा + बनाएं पर क्लिक करें। आप समाधान को Microsoft मार्केटप्लेस में Microsoft Sentinel के लिए Cato नेटवर्क्स के रूप में भी देख सकते हैं।

3. कॉन्फ़िगरेशन > डेटा कनेक्टर्स पर जाएं और Cato नेटवर्क्स घटनाएं (पुश) चुनें।

4. कनेक्टर पृष्ठ खोलें पर क्लिक करें।

   अगर आप कनेक्टर पृष्ठ खोलें या तैनात करें नहीं देख सकते हैं, तो ब्राउज़र का ज़ूम आउट करें। खिड़की के दृश्य क्षेत्र के नीचे कनेक्टर पृष्ठ प्रस्तुत हो सकता है, बिना पेज स्क्रॉलबार के।

5. टेनेन्ट आईडी को कॉपी करें। यह मान आपके तैनात करने से पहले उपलब्ध है।

6. तैनात करें पर क्लिक करें, सूचीबद्ध संसाधनों की समीक्षा करें, और पुष्टि करें।

   एक चेतावनी पहले दिखाई देती है, यह बताते हुए कि अगर एक डेटा संग्रहण एंडपॉइंट पहले से मौजूद नहीं है तो उसे बनाया जाएगा। यह अपेक्षित है।

कनेक्शन मानों की प्रतिलिपि बनाना

जब तैनाती समाप्त होती है, तो कनेक्टर पेज छह मान दिखाता है, प्रत्येक के लिए एक कॉपी बटन के साथ।

चेतावनी:

जैसे ही तैनाती समाप्त होती है, एंट्रा एप पंजीकरण सीक्रेट को कॉपी करें। कनेक्टर पेज लगभग एक मिनट के अंदर स्वतः रीलोड होता है, और सीक्रेट फिर से नहीं दिखाया जाता है: Microsoft कभी भी क्लाइंट सीक्रेट को उसके बनने के बाद प्रदर्शित नहीं करता है, और पृष्ठ पर इसे दिखाने का कोई विकल्प नहीं है। इसे उसी तरह संभालें और संग्रहीत करें जैसे आप किसी अन्य प्रमाण-पत्र को संभालते और संग्रहीत करते हैं।

यदि आप इसे चूक गए हैं, तो आपको समाधान को पुन: स्थापित करने की आवश्यकता नहीं है। देखें अगर मैं क्लाइंट सीक्रेट खोता हूं तो क्या होगा? पुनर्प्राप्त करने के दो तरीके के लिए FAQ में।

CMA में एकीकरण बनाना

Sentinel एकीकरण बनाने के लिए:

1. CMA के नेविगेशन मेनू से, संसाधन > एकीकरण चुनें।

2. कॉन्फ़िगर किए गए एकीकरण टैब पर, नया पर क्लिक करें। नया एकीकरण पैनल खुलता है।

3. Microsoft Sentinel चुनें।

4. प्रमाणीकरण फ़ील्ड में, Microsoft Sentinel के लिए कंटेंट हब (CCF पुश) प्रमाणीकरण चुनें।
   

5. इस एकीकरण के लिए नाम दर्ज करें, और इच्छानुसार विवरण।

6. वे मान दर्ज करें जिन्हें आपने कनेक्टर पृष्ठ से कॉपी किया था:

   • निर्देशिका (टेनेन्ट) आईडी

   • एप्लिकेशन (क्लाइंट) आईडी

   • क्लाइंट सीक्रेट

   • डेटा संग्रहण एंडपॉइंट यूआरआई

   • डेटा संग्रहण नियम अपरिवर्तनीय आईडी

   • इवेंट्स स्ट्रीम नाम

7. वैकल्पिक: Microsoft Sentinel को भेजे जाने वाले कौन से Cato इवेंट्स को नियंत्रित करने के लिए फ़िल्टर जोड़ें, नीचे वर्णित अनुसार।

8. सहेजें क्लिक करें।

इवेंट स्कीमा को अद्यतन रखना

कंटेंट हब में समाधान इवेंट स्कीमा को उस स्थिति में ले जाता है जो उस संस्करण के प्रकाशित होने के समय में था। कैटो इवेंट फ़ील्ड्स को समाधान के पुनः प्रकाशित होने से अधिक बार जोड़ता है, इसलिए इंस्टॉल करने के बाद, आप वर्तमान स्कीमा को अलग से लागू करते हैं।

इसे एक बार सेटअप के हिस्से के रूप में करें, और फिर जब भी आप चाहते हैं कि कैटो ने बाद से जोड़े गए फ़ील्ड, तब करें। समाधान का नया संस्करण स्थापित करने से यह कार्य आपके लिए नहीं होता है: तालिका और डेटा संग्रहण नियम आपके सदस्यता से संबंधित हैं और आपके तैनाती कार्रवाई द्वारा बनाए गए थे, इसलिए केवल यह टेम्पलेट उन्हें बदल सकता है।

वर्तमान स्कीमा लागू करने के लिए:

1. स्कीमा अपडेट टेम्पलेट खोलें। कनेक्टर पृष्ठ के स्कीमा को अद्यतित रखना अनुभाग में, स्कीमा अपडेट तैनात करें पर क्लिक करें। वैकल्पिक रूप से, कैटो सेंटिनेल CCF रिपोजिटरी पर जाएँ और एज़्योर पर तैनात करें पर क्लिक करें।

2. सदस्यता और उस संसाधन समूह का चयन करें जो आपके सेंटिनल वर्कस्पेस को रखता है।

3. कार्यस्थान का नाम दर्ज करें। इकलौता मान यह है जो आप उपलब्ध कराते हैं।

4. समीक्षा + बनाएं पर क्लिक करें।

अद्यतन आपके इनजेशन एंडपॉइंट, डेटा संग्रहण नियम अपरिवर्तनीय आईडी, एंट्रा एप्लिकेशन, क्लाइंट सीक्रेट, तालिका प्रतिधारण, और सभी डेटा को बार-बार होने से पहले प्रस्तुत करता है। कुछ भी CMA में फिर से दर्ज नहीं किया जाना चाहिए, और इनजेशन जारी रहता है।

एक लॉग एनालिटिक्स वर्कस्पेस एक कैटो कनेक्टर रखता है, इसलिए यदि आप एक से अधिक वर्कस्पेस में कनेक्टर चलाते हैं, तो प्रति वर्कस्पेस एक बार अपडेट लागू करें।

नए फील्ड्स के प्रारंभ होने के लिए 30 मिनट तक की अनुमति दें। इनजेशन एंडपॉइंट पिछली स्कीमा को संक्षेप में कैश करता है, और उस विंडो के दौरान नई फ़ील्ड्स खाली रहेंगी। अद्यतन विफल मानने के बजाय किसी क्वेरी के साथ जांचें:

CatoNetworksEvents_CL
| where TimeGenerated > ago(1h)
| take 10

यदि नए फील्ड्स अभी भी एक घंटे के बाद खाली हैं, तो अपने खाता आईडी और अपने लॉग एनालिटिक्स वर्कस्पेस के नाम के साथ Cato समर्थन से संपर्क करें।

स्कीमा केवल बड़े पैमाने पर बढ़ता है। कॉलम जोड़े जाते हैं, कभी भी हटाए नहीं जाते या पुनः टाइप नहीं किए जाते, इसलिए कोई भी अद्यतन मौजूदा वर्कबुक, एनालिटिक्स नियम, या सुरक्षित क्वेरी को तोड़ नहीं सकता।

एंटीग्रेशन की पुष्टि करना काम कर रहा है

सेटअप के बाद, पुष्टि करें:

• तालिका CatoNetworksEvents_CL आपका लॉग एनालिटिक्स वर्कस्पेस में तालिकाओं के अंतर्गत दिखाई देती है।

• सेंटिनल में कनेक्टर पृष्ठ कनेक्टर को जुड़ा हुआ के रूप में दिखाता है।

• कुछ मिनटों के ट्रैफिक के भीतर घटनाएँ दिखाई देती हैं। लॉग एनालिटिक्स में CatoNetworksEvents_CL | 10 को लें के साथ क्वेरी करें।

Note:

सेंटिनेल में जुड़ा हुआ स्थिति पिछले सात दिनों में तालिका में आ रही डेटा पर आधारित है, न कि इसपर कि प्रमाणीकरण अब भी मान्य है। एक कनेक्टर जिसका सीक्रेट समाप्त हो गया है, वह सात दिन तक जुड़ा हुआ दिखना जारी रख सकता है। यह पुष्टि करने के लिए तालिका के खिलाफ एक क्वेरी का उपयोग करें कि घटनाएँ अभी भी आ रही हैं।

फिल्टर कॉन्फ़िगर करें

फिल्टर का उपयोग करके नियंत्रित करें कि कौन से Cato ईवेंट Microsoft Sentinel को निर्यात किए जाएं। यह मदद करता है निवेश लागतों को कम करने, शोर को कम करने, और जांच को उन घटनाओं पर केंद्रित करने पर, जो विशेष साइटों, उपयोगकर्ताओं, या क्षेत्रों के लिए सबसे उपयुक्त हैं। आप विभिन्न घटनाओं के उपसमूहों को विभिन्न SIEM परिवेशों में भेजने के लिए भी फ़िल्टर का उपयोग कर सकते हैं।

किसी भी इवेंट फ़ील्ड या फ़ील्ड्स के संयोजन के आधार पर फिल्टर को परिभाषित करने के लिए फ़िल्टर समूह का उपयोग करें। प्रत्येक समूह के भीतर स्थितियां AND लॉजिक का उपयोग करती हैं। समूहों के बीच OR लॉजिक लागू होता है। स्क्रीनशॉट में फिल्टर एकीकरण को निर्यात करने के लिए कॉन्फ़िगर करते हैं:

• घटनाएँ जो Paris या Madrid से उत्पन्न होती हैं, उप-प्रकार इंटरनेट फ़ायरवॉल की होती हैं, और कार्रवाइयाँ Monitor या Prompt के अलावा होती हैं।

• उपयोगकर्ता नाम तथ्य का उपयोग करते हैं।

इवेंट फील्ड संदर्भ

CatoNetworksEvents_CL में कॉलम कैटो इवेंट फील्ड्स को प्रतिबिंबित करते हैं। प्रत्येक इवेंट प्रकार कौन से फील्ड्स लेकर जाता है, यह देखने के लिए कैटो इवेंट स्कीमा देखें, और फील्ड डेफिनेशंस के लिए इवेंट फील्ड्स को समझना देखें।

दो नाम भिन्न हैं क्योंकि लॉग एनालिटिक्स उन्हें आरक्षित करता है:

ज्ञात सीमाएँ।

• पैकेज्ड स्कीमा एक आरंभिक बिंदु है। समाधान अपनी रिलीज़ के समय का इवेंट स्कीमा ले जाता है। सीटो बाद में जोड़े गए फील्ड्स केवल तभी आपकी तालिका तक पहुंचते हैं जब आप स्कीमा अपडेट लागू करते हैं। इवेंट स्कीमा को अद्यतन रखना देखें।

• प्रति कार्यस्थान के लिए एक कनेक्टर। डेटा संग्रहण नियम और कस्टम तालिका वर्कस्पेस से नामांकित किए जाते हैं, इसलिए लॉग एनालिटिक्स वर्कस्पेस में कनेक्टर का पुन: परिनियोजन मौजूदा संसाधनों का पुन: उपयोग करता है बजाय एक दूसरा सेट बनाने के। कई Cato खाते एक कनेक्टर साझा कर सकते हैं, और account_id और account_name द्वारा भिन्न होते हैं। फीड्स को अलग तालिकाओं में रखने के लिए, उनके अपने प्रतिधारण या अभिगम नियंत्रण के साथ, प्रत्येक के लिए एक अलग वर्कस्पेस का उपयोग करें।

• ठीक तालिका नाम। घटनाएं हमेशा CatoNetworksEvents_CL में लिखी जाती हैं। तालिका नाम प्रकाशित समाधान द्वारा ठीक है और इसे बदला नहीं जा सकता है, क्योंकि कनेक्टर की स्वास्थ्य स्थिति सेंटिनल में उस तालिका के खिलाफ एक क्वेरी द्वारा निर्धारित होती है।

• बड़ी घटना सीमा। कुछ XOps घटनाएं raw_data फील्ड में विस्तृत कथा जानकारी शामिल कर सकती हैं, जिससे इवेंट Microsoft Sentinel के इनजेशन साइज सीमाओं (लगभग 1 एमबी) को पार कर सकता है। जब यह होता है, तो Cato फिर भी इवेंट को Sentinel पर अग्रेषित करता है, लेकिन raw_data फील्ड को छोड़ देता है।

• अनइंस्टॉल करने से सफाई नहीं होती। कनेक्टर को हटाने से डेटा संग्रहण नियम, कस्टम तालिका और उसका डेटा, और Entra एप्लिकेशन वही रहते हैं। यदि आपको उनकी आवश्यकता नहीं है तो Azure में उन्हें हटा दें।