Integrando Eventos Cato com Microsoft Sentinel Usando o Microsoft Content Hub (EA)

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

Visão Geral

Esta integração é instalada a partir do Microsoft Sentinel Content Hub ao invés do CMA. Adequa-se a organizações que desejam que o aplicativo Entra esteja registrado sob seu próprio controle e que preferem conceder ao Cato o acesso mais restrito possível: permissão para gravar eventos em uma Regra de Coleta de Dados, e nada mais.

Cato está listado no Content Hub como um conector parceiro suportado pela Microsoft, construído sobre o Codeless Connector Framework (CCF). Isso significa que o conector aparece na galeria de conectores de dados do Sentinel com monitoramento nativo de saúde do conector, juntamente com seus outros conectores do Sentinel. Você mantém o esquema de eventos atualizado.

A Cato também oferece uma integração turnkey nativa que você instala do CMA. Com este método, a Cato cria e mantém o registro do aplicativo em seu locatário, gira seu certificado, e pode manter o esquema de eventos atualizado para você. Para uma comparação completa, revise as orientações em Integração de Eventos Cato com Microsoft Sentinel.

Processo e Proprietários

Prerequisites

• Um espaço de trabalho do Log Analytics existente com o Microsoft Sentinel ativado, e permissões de leitura e escrita nesse espaço de trabalho.

• Permissão no Microsoft Entra ID para registrar uma aplicação e criar um segredo de cliente. Isso geralmente requer a função de Desenvolvedor de Aplicativos ou superior.

• Permissão no Azure para atribuir a função Publicador de Métricas de Monitoramento a uma Regra de Coleta de Dados. Isso geralmente requer a função de Proprietário ou Administrador de Acesso ao Usuário.

• Permissão de Editor para Integrações (na seção Recursos) no CMA. Para mais informações, veja Gerenciando Funções de Admin usando RBAC.

• Revise os pré-requisitos para todas as integrações de eventos da Cato em Introdução às Integrações de Eventos.

O conector de locatário MS não é necessário para esta integração. Esse conector existe para que Cato possa criar registros de aplicativos no seu locatário. Com este método de integração, você cria a aplicação você mesmo.

O que a Implantação Cria

Tudo abaixo é criado em sua assinatura pela ação Implantar na página do conector. Você não cria nada disso manualmente.

Configurando a Integração

Instalando e Implantando o Conector

Para instalar e implantar o conector:

1. No Microsoft Sentinel, selecione seu espaço de trabalho e vá para Gerenciamento de conteúdo > Hub de conteúdo.

2. Procure por Cato Networks e instale a solução.

   No assistente de instalação, selecione a assinatura, o grupo de recursos e o espaço de trabalho que contêm sua implantação Sentinel, e então clique em Revisar + criar. Você também pode visualizar a solução como Cato Networks for Microsoft Sentinel no Microsoft Marketplace.

3. Vá para Configuração > Conectores de dados e selecione Cato Networks Events (Push).

4. Clique em Abrir página do conector.

   Se você não conseguir ver Abrir página do conector ou Implantar, diminua o zoom do navegador. A página do conector pode ser renderizada abaixo da área visível da janela, sem barra de rolagem da página.

5. Copie o ID do Locatário. Este valor está disponível antes de você implantar.

6. Clique em Implantar, revise os recursos listados e confirme.

   Um alerta aparece primeiro, explicando que um endpoint de coleta de dados será criado se ainda não existir um. Isso é esperado.

Copiando os Valores de Conexão

Quando a implantação termina, a página do conector mostra seis valores, cada um com um botão de copiar.

Aviso:

Copie o Segredo de Registro do App Entra assim que a implantação terminar. A página do conector recarrega automaticamente em cerca de um minuto, e o segredo não é mostrado novamente: a Microsoft nunca exibe um segredo do cliente após sua criação, e a página não tem opção para revelá-lo. Manuseie e armazene-o como faria com qualquer outra credencial.

Se você perder, não precisa reinstalar a solução. Veja O que fazer se eu perder o segredo do cliente? no FAQ para as duas maneiras de recuperar.

Criando a Integração no CMA

Para criar a integração Sentinel:

1. No menu de navegação do CMA, clique em Recursos > Integrações.

2. Na aba Integrações Configuradas, clique em Novo. O painel de Nova Integração é aberto.

3. Selecione Microsoft Sentinel.

4. No campo Auth, selecione a autenticação Content Hub (CCF push) para Microsoft Sentinel.
   

5. Insira um Nome para esta integração e, opcionalmente, uma Descrição.

6. Insira os valores que você copiou da página do conector:

   • ID do Diretório (Locatário)

   • ID do Aplicativo (Cliente)

   • Segredo do Cliente

   • Uri do Endpoint de Coleta de Dados

   • ID imutável da Regra de Coleta de Dados

   • Nome do Stream de Eventos

7. Opcional: Adicione filtros para controlar quais eventos Cato são enviados para o Microsoft Sentinel, conforme descrito abaixo.

8. Clique em Salvar.

Mantendo o Esquema de Eventos Atualizado

A solução no Hub de Conteúdo traz o esquema de eventos como estava quando essa versão foi publicada. Cato adiciona campos de eventos com mais frequência do que a solução é republicada, então após a instalação, você aplica o esquema atual separadamente.

Faça isso uma vez como parte da configuração e novamente sempre que desejar campos que Cato adicionou desde então. Instalar uma versão mais recente da solução não faz isso por você: a tabela e a Regra de Coleta de Dados pertencem à sua assinatura e foram criadas pela sua ação Implantar, então apenas este modelo as modifica.

Para aplicar o esquema atual:

1. Abra o modelo de atualização de esquema. Na seção Mantendo o esquema atualizado da página do conector, clique em Implantar a atualização de esquema. Alternativamente, acesse o repositório do Cato Sentinel CCF e clique em Implantar no Azure.

2. Selecione a assinatura e o grupo de recursos que contém seu espaço de trabalho Sentinel.

3. Insira o nome do espaço de trabalho. Este é o único valor que você fornece.

4. Clique em Analisar + criar.

A atualização preserva seu endpoint de ingestão, o ID imutável da Regra de Coleta de Dados, a aplicação Entra, o segredo do cliente, a retenção da tabela e todos os dados já ingeridos. Nada precisa ser re-inserido no CMA, e a ingestão continua ao longo do processo.

Um espaço de trabalho do Log Analytics contém um conector Cato, então se você executar o conector em mais de um espaço de trabalho, aplique a atualização uma vez por espaço de trabalho.

Permita até 30 minutos para que novos campos comecem a chegar. O endpoint de ingestão armazena em cache brevemente o esquema anterior, e durante esse período, os eventos são aceitos normalmente com os novos campos em branco. Verifique com uma consulta em vez de assumir que a atualização falhou:

CatoNetworksEvents_CL
| onde TimeGenerated > há (1h)
| pegue 10

Se os novos campos ainda estiverem vazios após uma hora, entre em contato com o suporte da Cato com seu ID de conta e o nome do seu espaço de trabalho do Log Analytics.

O esquema só cresce. Colunas são adicionadas, nunca removidas ou reescritas, por isso uma atualização não pode quebrar um workbook existente, uma regra de análise ou uma consulta salva.

Verificando se a Integração Está Funcionando

Após a configuração, confirme:

• A tabela CatoNetworksEvents_CL aparece em seu espaço de trabalho do Log Analytics sob Tabelas

• A página do conector no Sentinel mostra o conector como Conectado

• Os eventos aparecem dentro de alguns minutos do tráfego. Consulte com CatoNetworksEvents_CL | pegue 10 no Log Analytics

Nota:

O status Conectado no Sentinel é baseado nos dados que chegam na tabela durante os sete dias anteriores, não em saber se as credenciais ainda são válidas. Um conector cujo segredo expirou pode continuar aparecendo como Conectado por até sete dias. Use uma consulta contra a tabela para confirmar que os eventos ainda estão chegando.

Configurar Filtros

Use filtros para controlar quais eventos Cato são exportados para o Microsoft Sentinel. Isso ajuda a reduzir custos de ingestão, minimizar ruído e focar investigações nos eventos mais relevantes para locais específicos, usuários ou regiões. Você também pode usar filtros para direcionar diferentes conjuntos de eventos para diferentes ambientes SIEM.

Use grupos de filtros para definir filtros com base em qualquer Campo de Evento ou combinação de campos. As condições dentro de cada grupo usam lógica E. A lógica OU é aplicável entre grupos. Os filtros no screenshot configuram a integração para exportar:

• Eventos que originam de Paris ou Madrid, são do subtipo Firewall de Internet e resultaram em ações diferentes de Monitor ou Prompt.

• Nome de Usuário contém Teste

Referência de Campo de Evento

As colunas em CatoNetworksEvents_CL espelham os campos de eventos de Cato. Veja Esquema de Evento Cato para os campos que cada tipo de evento carrega, e Entendendo os Campos de Evento para as definições de campo.

Dois nomes diferem porque o Log Analytics os reserva:

Limitações de Serviços

• O esquema empacotado é um ponto de partida. A solução carrega o esquema de eventos a partir do seu lançamento. Campos que Cato adiciona posteriormente alcançam sua tabela apenas quando você aplica a atualização do esquema. Veja Mantendo o Esquema de Eventos Atualizado.

• Um conector por espaço de trabalho. A Regra de Coleta de Dados e a tabela personalizada são nomeadas a partir do espaço de trabalho, então implantar novamente o conector no mesmo espaço de trabalho do Log Analytics reutiliza os recursos existentes em vez de criar um segundo conjunto. Eventos de várias contas Cato podem compartilhar um conector e são diferenciados por account_id e account_name. Para manter feeds em tabelas separadas, com suas próprias retenções ou controle de acesso, use um espaço de trabalho separado para cada um.

• Nome de tabela fixo. Os eventos são sempre gravados em CatoNetworksEvents_CL. O nome da tabela é fixado pela solução publicada e não pode ser alterado, pois o status de saúde do conector no Sentinel é determinado por uma consulta contra essa tabela.

• Limitação de evento grande. Alguns eventos XOps podem incluir informações extensas de histórias no campo raw_data, o que pode fazer com que o evento exceda os limites de ingestão do Microsoft Sentinel (aproximadamente 1 MB). Quando isso ocorre, a Cato ainda encaminha o evento para o Sentinel, mas omite o campo raw_data.

• Desinstalar não faz a limpeza. Excluir o conector mantém a Regra de Coleta de Dados, a tabela personalizada e seus dados, além do aplicativo Entra. Remova-os no Azure se você não precisar mais deles.