Microsoft Sentinel का उपयोग करते हुए Cato घटनाओं का पूर्व-संशोधित एकीकरण

सारांश

इस Microsoft Sentinel एकीकरण का उपयोग करें अपने मौजूदा निगरानी, सहसंबंध, और जांच वर्कफ़्लो में Cato ईवेंट डेटा को शामिल करने के लिए।

यह लेख देशी टर्नकी एकीकरण को कवर करता है: Cato आपके टेनेन्ट में एक एंट्रा एप्लिकेशन बनाता और उसका प्रबंध करता है, घटनाओं को सीधे सेन्टिनल को भेजता है, और उन्हें स्वचालित रूप से सेन्टिनल के डेटा मॉडल में मैप करता है। यह अधिकांश खातों के लिए अनुशंसित विधि है क्योंकि इसे सेटअप के बाद न्यूनतम ध्यान की आवश्यकता होती है।

Cato इसके अलावा एक विषयवस्तु केंद्र एकीकरण (वर्तमान में EA में) भी प्रदान करता है, जिसे Microsoft Sentinel विषयवस्तु केंद्र से स्थापित किया गया है। उस विधि के साथ, आप एंट्रा एप्लिकेशन के स्वामी होते हैं, और Cato को केवल घटनाओं को लिखने की अनुमति प्राप्त होती है और कुछ नहीं। पूरा तुलना प्राप्त करने के लिए, Microsoft Sentinel के साथ Cato घटनाओं का एकीकरण में निर्देशों की समीक्षा करें।

प्रक्रिया और मालिक

आवश्यक चीजें

• CMA में संसाधन > इंटीग्रेशन > कॉन्फ़िगर किए गए इंटीग्रेशन में पहले से कॉन्फ़िगर किया गया Microsoft टेनेंट इंटीग्रेशन। यह Microsoft एप्लिकेशनों के लिए पैरेंट कनेक्टर है। इसे एक बार कॉन्फ़िगर करें और इसे सभी Microsoft इंटीग्रेशन में पुनः उपयोग करें।

• इंटीग्रेशन (में संसाधन अनुभाग में) के लिए संपादक अनुमति। अधिक जानकारी के लिए, RBAC का उपयोग करके व्यवस्थापक भूमिकाएँ प्रबंधित करना देखें।

• Cato ईवेंट्स प्राप्त करने के लिए Sentinel में एक मौजूदा लॉग एनालिटिक्स वर्कस्पेस।

• ARM टेम्पलेट्स को तैनात करने और लक्षित सदस्यता और संसाधन समूह में रोल अनुमतियाँ देने की अनुमति वाले Azure अकाउंट।

• Event Integrations के साथ शुरुआत करें में सभी Cato घटना एकीकरणों के लिए पूर्वापेक्षाओं की समीक्षा करें।

इंटीग्रेशन की संरचना को समझना

आधारभूत मॉडल को समझने से यह बता सकता है क्यों कुछ चरण हैं, और क्या जांचना चाहिए यदि घटनाएं अपेक्षित रूप से प्रवाहित नहीं हो रही हैं।

यह उच्च-स्तरीय आर्किटेक्चर आरेख है:

चरण 1: Entra ID प्रशासक की स्वीकृति (टेनेंट कनेक्टर से पहले)

टेनेंट कनेक्टर की स्वीकृति आपके Microsoft Entra टेनेंट के खिलाफ एक OAuth सहमति प्रॉम्प्ट ट्रिगर करती है। इससे पहले कि आपका Entra ID प्रशासक इसे स्वीकृत करे, उन्हें ठीक से पता होना चाहिए कि क्या दिया जा रहा है:

• केवल एक Microsoft ग्राफ अनुमति अनुरोध की जाती है: Application.ReadWrite.OwnedBy. यह Cato के मल्टी-टेनेंट एप्लिकेशन को दो क्षमताएँ प्रदान करता है, और केवल उन एप्लिकेशनों के लिए जो टेनेंट कनेक्टर स्वयं बनाता है:

  • आपके टेनेंसी में नए ऐप पंजीकरण बनाने की क्षमता।

  • पढ़ने/लिखने की अनुमति, किसी भी समय, उन एप्लिकेशनों के लिए जिन्हें यह बनाता है, किसी अन्य एप्लिकेशन के लिए नहीं।

• यह टेनेंट के संपूर्ण पहुँच को प्रदान नहीं करता। नए बनाए गए एप्लिकेशन शून्य अनुमतियों के साथ शुरू होते हैं: कोई ग्राफ एपीआई स्कोप्स और कोई Azure RBAC रोल्स नहीं। वे तब तक कुछ भी नहीं कर सकते जब तक आप विशेष अनुमतियों के लिए सहमति ना दें (उदाहरण के लिए, नीचे दिए गए Sentinel ARM टेम्पलेट के माध्यम से, या अन्य कनेक्टर प्रकारों के लिए OAuth सहमति स्क्रीन के माध्यम से)।

• इस तरह बनाया गया प्रत्येक एप्लिकेशन केवल आपके टेनेंसी के लिए समर्पित है। यह कभी भी अन्य Cato ग्राहक के साथ साझा नहीं होता, या संयुक्त रूप से उपयोग नहीं किया जाता है।

Microsoft Entra में किरायेदार-व्यापक प्रबंधक की स्वीकृति की आवश्यकता होती है इन किरायेदार भूमिकाओं की सुविधा के लिए:

• विशिष्ट भूमिका प्रशासक, जो किसी भी एपीआई के लिए कोई भी अनुमति स्वीकृत कर सकता है

• क्लाउड एप्लिकेशन प्रशासक या एप्लिकेशन प्रशासक, जो अधिकांश अनुमतियों के लिए सहमति दे सकते हैं लेकिन Microsoft Graph एप्लिकेशन अनुमतियों के लिए कुछ अपवादों के साथ

• वैश्विक प्रशासक, जो सहमति भी दे सकता है

व्यवस्थापक अनुमोदन प्रदान करने के लिए:

1. Entra प्रशासक केंद्र पर जाएं और पहचान > एप्लिकेशंस > एंटरप्राइज़ एप्लिकेशंस पर नेविगेट करें।

2. एप्लिकेशन का पता लगाएं

3. सुरक्षा > अनुमतियों पर जाएं और अनुमोदन प्रदान करें चुनें।

पूर्ण आवश्यकताएँ और चरण-दर-चरण निर्देशों के लिए, Microsoft Entra दस्तावेज़ीकरण देखें.

चरण 2: टेनेंट कनेक्टर (एक बार, पूर्वशर्त)

किसी भी Sentinel- विशेष सेटअप से पहले, आप CMA में "Microsoft 365 (नया टेनेंट)" के रूप में दिखाए गए Cato के टेनेंट कनेक्टर को स्वीकृत करते हैं। यह Cato के अपने मल्टी-टेनेंट एप्लिकेशन द्वारा समर्थित है, जो Cato के टेनेंट में रहता है, आपके नहीं आप इस स्वीकृति को किसी भी समय रद्द कर सकते हैं।

इसे स्वीकृत करने से Cato को केवल एक क्षमता मिलती है: आपके टेनेंस में नए ऐप पंजीकरण बनाने की अनुमति। यह उन ऐप्स को स्वतः किसी भी प्रकार की पहुंच प्रदान नहीं करता। एक बनाए गए ऐप को प्राप्त होने वाली प्रत्येक अनुमति अभी भी आपके स्पष्ट अनुमोदन की आवश्यकता होती है, चाहे OAuth सहमति के माध्यम से या नीचे दिए गए ARM टेम्पलेट तैनाती के माध्यम से।

यह कनेक्टर सभी Microsoft-परिवार के इंटीग्रेशन में साझा किया गया है, न सिर्फ Sentinel। टेनेंट कनेक्टर का उपयोग हर Cato कनेक्टर द्वारा किया जाता है जो Microsoft उत्पाद के साथ इंटीग्रेट करता है: Sentinel, Intune, CASB/DLP, Defender, और अन्य। आप टेनेंट कनेक्टर को एक बार स्वीकृत करते हैं; उसके बाद, हर बार जब आप CMA में एक नया Microsoft-परिवार कनेक्टर बनाते हैं, एक अलग, समर्पित ऐप पंजीकरण विशेष रूप से उस कनेक्टर के लिए आपके टेनेंस में बनाया जाता है। व्हेन याउ क्रिएट अ सेंटिनेल कनेक्टर डज़ नॉट एक्से। हर कनेक्टर को इसके अपने ऐप और इसकी अपनी अनुमतियाँ मिलती हैं।

टेनेंट कनेक्टर द्वारा बनाए गए ऐप्स प्रमाणपत्र का उपयोग करके प्रमाणीकरण करते हैं (क्लाइंट सीक्रेट नहीं)। Cato प्रमाणपत्र रोटेशन और जीवनकाल को स्वचालित रूप से प्रबंधित करता है। जब आप CMA में एक कनेक्टर हटाते हैं, Cato उस कनेक्टर के लिए बनाए गए संबद्ध ऐप पंजीकरण को हटा देता है; ऐप पंजीकरण उस कनेक्टर से अधिक समय तक नहीं रहते हैं जिसने उन्हें बनाया था।

टेनेंट कनेक्टर मॉडल के लाभ:

• ऐप निर्माण के लिए एक बार की स्वीकृति। आप एक बार टेनेंट कनेक्टर को सम्मति देते हैं, और हर भविष्य के Microsoft परिवार के कनेक्टर (Sentinel, Intune, CASB/DLP, Defender आदि) को अलग स्वीकृति की आवश्यकता नहीं होती। प्रत्येक अपने ऐप पंजीकरण को स्वचालित रूप से उसी अनुमोदन के अंतर्गत कर लेता है। प्रत्येक कनेक्टर में अभी भी अपनी आवश्यकता अनुसार अनुमतियों के लिए स्वीकृति कदम होता है, जैसा कि नीचे वर्णित है।

• स्वचालित सफाई (कोई अनाथ ऐप पंजीकरण नहीं)। CMA में कनेक्टर को हटाने से उस पर बनाए गए ऐप पंजीकरण को हटा देता है। आपके टेनेंसी में खोजने और मैन्युअली साफ करने के लिए कुछ भी पीछे नहीं रहता।

• स्व-रोटेशन के साथ प्रमाणपत्र-आधारित प्रमाणीकरण। Cato इन ऐप पंजीकरणों को बनाता और प्रबंधित करता है, यह उनके जीवनकाल के लिए प्रमाणपत्र रोटेशन का भी मालिक है। स्वयं ऐप को पंजीकृत करने का अर्थ होगा उस रोटेशन को एक चल रहे परिचालन कार्य के रूप में लेना।

• डिफ़ॉल्ट रूप से शून्य अनुमतियाँ। हर ऐप जो टेनेंट कनेक्टर बनाता है, वह बिना किसी API क्षेत्र और Azure RBAC भूमिकाओं के शुरू होता है। पहुँच केवल एक बाद के स्पष्ट कदम में जोड़ी जाती है (एक ARM परिनियोजन या OAuth सहमति स्क्रीन)।

• प्रति-कनेक्टर पृथक्करण। प्रत्येक Microsoft परिवार कनेक्टर को अपनी विशेष समर्पित ऐप पंजीकरण मिलता है। एक सेंटीनेल कनेक्टर का ऐप एक Intune या CASB कनेक्टर की पहुंच का प्रभाव नहीं डालता है, और इसके विपरीत।

यदि आपका संगठन इस बात की मांग करता है कि आपके किरायेदार में अनुप्रयोग पंजीकृत और आपके द्वारा स्वामित्व वाले हों, न कि Cato द्वारा, इसके बजाय Content Hub एकीकरण का उपयोग करें। यह किरायेदार कनेक्टर का उपयोग नहीं करता है।

चरण 3: सेंटीनेल कनेक्टर सेटअप

ऐप निर्माण

जब आप CMA में एक नया सेंटीनेल कनेक्टर शुरू करते हैं, तब मूल कनेक्टर आपकी टेनेंट में एक नया ग्राहक-पेर्म ऐप पंजीकरण बनाने की क्षमता का उपयोग करता है। यह CMA में प्रगति लोडर (0-100%) का प्रतिनिधित्व करता है। इस बिंदु पर, ऐप मौजूद है लेकिन अभी तक इसमें कोई अनुमतियाँ और संसाधन मौजूद नहीं हैं।

ARM टेम्प्लेट परिनियोजन ("Azure के लिए तैनात करें")

क्लिक करते ही, आपको अपने Azure पोर्टल में पहले से भरी ARM टेम्प्लेट पर ले जाया जाता है, जहाँ आप अपनी स्वयं की प्रमाण-पत्रों के तहत इसे तैनात करते हैं। यह कदम है जहाँ:

• आप ऐप की स्कॉप अनुमतियाँ स्वीकृत करते हैं

• सेंटीनेल संसाधन वास्तव में प्रोविजन्ड किए जाते हैं

• Cato का सेवा प्रमुख अपनी भूमिका असाइनमेंट प्राप्त करता है

Cato कभी भी आपके टेनेंट में सीधे नियुक्त नहीं करता। तैनाती हमेशा ग्राहक-आरंभित और ग्राहक-निष्पादित होती है। टेम्प्लेट प्रोविजन करता है:

टेम्पलेट एक डेटा संग्रह एंडपॉइंट नहीं बनाता है। Azure डेटा संग्रह नियम अब अपने निगलन एंडपॉइंट को सीधे प्रदर्शित करते हैं, जिससे टेम्पलेट का संसाधन गणना और अनुमति क्षेत्र न्यूनतम रहता है।

चरण 4: चल रही स्कीमा प्रबंधन

जैसे Cato की इवेंट स्कीमा विकसित होती है, DCR और तालिका स्कीमा को अपडेट करने की आवश्यकता होती है ताकि नए फील्ड्स निगले जा सकें। Cato प्रायः इवेंट फील्ड्स जोड़ता है, और जब तक कोई फील्ड आपके DCR और तालिका में विद्यमान नहीं होता, इसके मान संग्रहीत नहीं होते।

Cato आपके लिए ये अपडेट लागू कर सकता है, ARM डिप्लॉयमेंट के दौरान दी गई भूमिकाएं का उपयोग करके। यह व्यवहार ऑटो अपडेट स्कीमा सेटिंग के माध्यम से नियंत्रित किया जाता है, और यह Cato की सर्विस प्रिंसिपल पर निर्भर करता है कि वे उन भूमिकाओं को बनाए रखें।

इसे सक्षम करने के लिए, देखें इवेंट स्कीमा अप टू डेट रखना।

तीन भूमिका असाइनमेंट्स दो अलग-अलग उद्देश्यों की सेवा करते हैं, और उन्हें हटाने से अलग-अलग परिणाम होते हैं:

• मॉनिटरिंग मेट्रिक्स पब्लिशर को हटाना (DCR पर) डेटा निगलन को पूरी तरह से रोकता है। यह एक पूर्ण आउटेज है, अपूर्ण मोड नहीं। कोई नई घटनाएँ सेंटीनेल तक नहीं पहुँचतीं।

• किसी भी कस्टम भूमिका को हटाने (DCR प्रबंधक / तालिका प्रबंधक) मौजूदा निगलन को नहीं रोकता है; यह केवल Cato को भविष्य के स्कीमा अपडेट लागू करने से रोकता है, इसलिए आपके तालिका में जब तक भूमिकाएँ बहाल नहीं की जाती, नए इवेंट फ़ील्ड दिखाई नहीं देंगे।

अनुशंसा: यदि आपका संगठन आवधिक पहुंच समीक्षाएँ चलाता है, तो Cato के सेवा प्रिंसिपल को नवीकरण के लिए ध्वजित करें न कि हटाने के लिए।

एकीकरण की स्थापना

Microsoft टेनेंट एकीकरण बनाना (एक समय)

MS टेनेंट कनेक्टर अन्य Microsoft ऐप्स के लिए एक पेरेंट कनेक्टर है, जैसा कि पूर्वापेक्षाएँ में समझाया गया है। यदि आपने इसे एक अलग Microsoft एकीकरण के लिए पहले ही बना लिया है, तो आपको अपने सेंटीनेल एकीकरण के लिए इस प्रक्रिया को दोहराने की आवश्यकता नहीं है।

MS Tenant एकीकरण को बनाने के लिए:

1. CMA के नेविगेशन मेनू से, संसाधन > एकीकरण चुनें, और फिर कॉन्फिगर्ड एकीकरण टैब पर क्लिक करें।

2. नया पर क्लिक करें। नया कनेक्टर पैनल खुलता है।

3. नये कनेक्टर पैनल में, एमएस टेनेन्ट (नया एमएस टेनेन्ट कॉन्फ़िगर करें) ऐप चुनें।

4. कनेक्टर का नाम दर्ज करें।

5. अधिकृत करें और सेव करें पर क्लिक करें।

   एक नई ब्राउज़र टैब Microsoft 365 ऐप पर खुलता है।

6. नई ब्राउज़र टैब में, Microsoft 365 ऐप पर प्रमाणीकरण करें:

   1. Microsoft 365 ऐप के लिए Microsoft खाता चुनें।

      अन्यथा, एक Microsoft प्रमाणीकृत त्रुटि हो सकती है।

   2. Microsoft खाते के लिए पासवर्ड दर्ज करें और इसे स्वीकृत करें।

   3. स्वीकार करें अनुमति दें ताकि Cato Microsoft 365 ऐप तक पहुँच सके।

      एक सफलता पृष्ठ दिखाता है कि अनुमतियाँ लागू की गई थीं।

   4. आप ब्राउज़र टैब बंद कर सकते हैं और CMA पर वापस जा सकते हैं।

7. Microsoft 365 ऐप अब समन्वित ऐप्स टैब के अंतर्गत दिखाई देता है।

Sentinel एकीकरण का निर्माण

Sentinel एकीकरण बनाने के लिए:

1. नेविगेशन मेनू से, Resources > Integrations पर क्लिक करें।

2. कॉन्फ़िगर किए गए एकीकरण टैब पर, नया पर क्लिक करें। नया एकीकरण पैनल खुलता है।

3. Microsoft Sentinel चुनें, और प्रमाणीकरण फील्ड में Microsoft Sentinel के लिए सहमति ARM टेम्पलेट प्रमाणीकरण चुनें।

4. निम्नलिखित फ़ील्ड्स विन्यस्त करें:

   • इस एकीकरण के लिए एक नाम दर्ज करें

   • पैरेंट आईडी फील्ड में MS टेनेंट एकीकरण का नाम चुनें।

   • आपकी Microsoft लॉग एनालिटिक्स में डेटा प्राप्त करने वाले मौजूदा वर्कस्पेस नाम दर्ज करें।

   • इस नाम के साथ लॉग एनालिटिक्स वर्कस्पेस में डेटा रखने के लिए एक नया टेबल नाम दर्ज करें (Cato में _CL जोड़ता है)।

   • तालिका प्रतिधारण दिनों में आप चाहते हैं कि Microsoft कितने दिनों तक Cato डेटा को रखे, परिभाषित करें।

   • डेटा स्रोतों के अंतर्गत, ऑटो अपडेट स्कीमा सक्षम करें। घटना स्कीमा को अद्यतन रखें देखें।

   • वैकल्पिक: यह नियंत्रित करने के लिए फिल्टर जोड़ें कि कौन से Cato ईवेंट Microsoft Sentinel को भेजे गए हैं।

5. Microsoft पर एकीकरण को स्थापित करने के लिए सहेजें पर क्लिक करें।

   नोट: आपके पास अब Microsoft में सेटअप पूरा करने के लिए 10 मिनट हैं।

6. एक ब्राउज़र टैब खुलता है और आपको Microsoft में एकीकरण की रचना अधिकार देने के लिए निर्देशित करता है।

   नोट:आपको उसी टेनेंट से एकीकरण को अधिकृत करना चाहिए जिसका उपयोग MS टेनेंट एकीकरण बनाने के लिए किया गया था। साइन इन किया हुआ उपयोगकर्ता उस टेनेंट में संसाधन बनाने की अनुमति अवश्य रखता हो।

7. Microsoft पोर्टल में, संसाधन समूह और क्षेत्र का चयन करें जिसमें लक्षित लॉग एनालिटिक्स वर्कस्पेस शामिल है, और रीव्यू + क्रिएट पर क्लिक करें।

8. परिनियोजन शुरू करने के लिए बनाएँ पर क्लिक करें।

9. जब तैनाती पूर्ण हो जाती है, तो आप Microsoft टैब बंद कर सकते हैं।

10. CMA में, एकीकरण पृष्ठ को रिफ्रेश करें। एकीकरण की स्थिति एकीकृत एप्लिकेशन टैब में दिखाई देती है।

घटना स्कीमा को अद्यतन रखें

Cato नियमित रूप से अपने इवेंट स्कीमा में नए फील्ड्स जोड़ता है। सेंटीनेल तक एक नया फील्ड पहुँचने के लिए, इसे आपके कार्यस्थान में डेटा संग्रह नियम और कस्टम तालिका में जोड़ा जाना चाहिए।

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

ऑटो अपडेट स्कीमा सेटिंग नियंत्रित करती है कि क्या Cato इसे आपके लिए करता है:

• सक्रिय - जब Cato एक इवेंट फ़ील्ड जोड़ता है, तो यह आपके डेटा संग्रहण नियम और तालिका में समान स्तंभ जोड़ता है। जब एक अपडेट लागू किया जाता है, तो कोई डाउनटाइम और कोई डेटा हानि नहीं होती, और आपकी तरफ से कोई कार्रवाई की आवश्यकता नहीं होती है।

• अक्षम किया गया - आपका डेटा संग्रहण नियम और तालिका उनके वर्तमान स्तंभ रखते हैं। घटनाएँ निगलना जारी रखेंगी, लेकिन जो कोई भी फ़ील्ड Cato ने एकीकरण तैनात किए जाने के बाद से जोड़ा है, वह संग्रहित नहीं है।

ऑटो अपडेट स्कीमा डिफ़ॉल्ट रूप से बंद है, दोनों नए और विद्यमान एकीकरण में।

इसे चालू करने का अर्थ है कि जब भी इवेंट स्कीमा में परिवर्तन होता है, Cato आपके लॉग एनालिटिक्स कार्यस्थान में डेटा संग्रह नियम और कस्टम तालिका को संशोधित करता है। क्या वह स्वीकार्य है इसका निर्णय आपके संगठन का है। कई लोग विक्रेता को अपने कार्यस्थान में परिवर्तन करने की अनुमति नहीं देते, और उनके लिए सेटिंग बंद रहनी चाहिए।

इसे बंद छोड़ने की लागत यह है कि आपका एकीकरण डिप्लॉय किये जाने के बाद जो इवेंट फील्ड्स Cato जोड़ता है, वे संग्रहीत नहीं होते, और Cato स्वयंसेवा द्वारा उन्हें इस विधि पर लागू करने का तरीका प्रदान नहीं करता। यदि आपको अपने कार्यस्थान पर नियंत्रण के साथ ही स्कीमा अद्यतन बनाए रखने की आवश्यकता है, तो इसके बजाय कंटेंट हब इंटीग्रेशन का उपयोग करें।

जो भूमिकाएं Cato को ये परिवर्तन करने देती हैं वो तब दी जाती हैं जब आप ARM टेम्पलेट डिप्लॉय करते हैं, चाहे सेटिंग चालू हो या न हो। सेटिंग केवल यह नियंत्रित करती है कि क्या Cato उन्हें उपयोग करता है। चरण 4: चल रही स्कीमा प्रबंधन देखें कि यदि आप उन्हें हटाते हैं तो क्या होता है।

एक विद्यमान एकीकरण में स्वचालित स्कीमा अपडेट सक्षम करने के लिए:

1. नेविगेशन मेनू से संसाधन > एकीकरण चुनें, फिर विन्यासित एकीकरण टैब पर क्लिक करें।

2. Microsoft Sentinel पंक्ति का विस्तार करें और एकीकरण के नाम पर क्लिक करें। नई एकीकरण पैनल खुलता है।

3. डेटा स्रोतों के अंतर्गत, ऑटो अपडेट स्कीमा चालू करें।

4. सहेजें क्लिक करें।

Note:

स्वचालित स्कीमा अपडेट्स Cato के सेवा मुख्यालय के दो कस्टम भूमिकाओं को बनाए रखने पर निर्भर करते हैं जो ARM तैनाती के दौरान दी जाती हैं। यदि वे भूमिकाएँ हटा दी जाती हैं, तो निगलना जारी रहता है, लेकिन नए फ़ील्ड्स आपकी तालिका में दिखाई देना बंद हो जाते हैं। चरण 4: चल रही स्कीमा प्रबंधन देखें।

एकीकरण के कार्यरत होने की पुष्टि करना

सेटअप के बाद, पुष्टि करें:

• नई तालिका (सफ़िक्स _CL के साथ) का प्रदर्शन आपके लॉग एनालिटिक्स वर्कस्पेस में तालिकाओं के अंतर्गत होता है।

• CMA के समन्वित ऐप्स टैब में कनेक्टर की स्थिति जुड़ा हुआ / स्वस्थ के रूप में दिखाई देती है।

• कुछ मिनटों के ट्रैफ़िक के भीतर तालिका में नमूना घटनाएँ दिखती हैं। लॉग एनालिटिक्स में <YourTableName>_CL | take 10 के साथ क्वेरी करें।

• Azure में, Cato का सेवा प्रमुख DCR और तालिका संसाधनों पर अपनी दी गई भूमिकाओं को अभी भी बनाए रखता है।

फिल्टर कॉन्फ़िगर करें

फिल्टर का उपयोग करके नियंत्रित करें कि कौन से Cato ईवेंट Microsoft Sentinel को निर्यात किए जाएं। यह मदद करता है निवेश लागतों को कम करने, शोर को कम करने, और जांच को उन घटनाओं पर केंद्रित करने पर, जो विशेष साइटों, उपयोगकर्ताओं, या क्षेत्रों के लिए सबसे उपयुक्त हैं। आप विभिन्न घटनाओं के उपसमूहों को विभिन्न SIEM परिवेशों में भेजने के लिए भी फ़िल्टर का उपयोग कर सकते हैं।

किसी भी इवेंट फ़ील्ड या फ़ील्ड्स के संयोजन के आधार पर फिल्टर को परिभाषित करने के लिए फ़िल्टर समूह का उपयोग करें। प्रत्येक समूह के भीतर स्थितियां AND लॉजिक का उपयोग करती हैं। समूहों के बीच OR लॉजिक लागू होता है। स्क्रीनशॉट में फिल्टर एकीकरण को निर्यात करने के लिए कॉन्फ़िगर करते हैं:

• घटनाएँ जो Paris या Madrid से उत्पन्न होती हैं, उप-प्रकार इंटरनेट फ़ायरवॉल की होती हैं, और कार्रवाइयाँ Monitor या Prompt के अलावा होती हैं।

• उपयोगकर्ता नाम तथ्य का उपयोग करते हैं।

ज्ञात सीमाएँ।

• बड़ी घटना सीमा: कुछ XOps घटनाएँ raw_data क्षेत्र में विस्तृत कहानी जानकारी शामिल कर सकती हैं, जो Microsoft Sentinel इनजेशन आकार सीमा (लगभग 1 एमबी) को पार कर सकती है। जब यह होता है, Cato अभी भी घटना को Sentinel की ओर फॉरवर्ड करता है लेकिन raw_data क्षेत्र को Sentinel इनजेशन आवश्यकताओं के साथ संगतता बनाए रखने के लिए छोड़ देता है।

• स्कीमा अपडेट निर्भरता: चल रहे स्कीमा अपडेट्स Cato के सेवा प्रमुख पर उनकी दी गई भूमिकाओं को बनाए रखने पर निर्भर करते हैं। यदि आपका संगठन आवधिक पहुँच समीक्षाएँ चलाता है, तो इस सेवा प्रमुख को ध्वजांकित करें ताकि अनजाने में भूमिका रद्द करने से भविष्य के निगलन में बाधा उत्पन्न न हो।