使用Microsoft内容中心（EA）集成Cato事件与Microsoft Sentinel

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

概况

此集成是从 Microsoft Sentinel 内容中心安装的，而不是从 CMA 安装的。这适合希望在自己的控制下注册Entra应用程序并希望授予Cato尽可能窄的访问权限的组织：允许将事件写入一个数据收集规则，而没有其他权限。

Cato在内容中心中被列为Microsoft支持的合作伙伴连接器，基于无代码连接器框架（CCF）。这意味着连接器出现在Sentinel数据连接器画廊中，具有原生的连接器健康监控功能，与您的其他Sentinel连接器并列。您保持事件架构是最新的。

Cato 也提供可以从 CMA 安装的原生现成集成。通过这种方法，Cato 会在您的租户中创建并维护应用注册证书，并能为您保持事件架构的实时更新。要进行全面比较，请查看《将 Cato 事件与 Microsoft Sentinel 集成》中的指导。

进程和所有者

Prerequisites

• 一个已启用 Microsoft Sentinel 的现有日志分析工作区，并对该工作区的读取和写入权限。

• 在 Microsoft Entra ID 中注册应用程序和创建客户端密钥的权限。这通常需要 应用程序开发者角色或更高。

• 在 Azure 中为数据收集规则分配监控指标发布者角色的权限。这通常需要所有者或用户访问管理员角色。

• 在 CMA 中的资源部分为集成提供编辑者权限。有关详细信息，请参阅使用RBAC管理管理员角色。

• 回顾 事件集成入门中的所有 Cato 事件集成的先决条件。

此集成不需要 MS Tenant 连接器。该连接器存在于 Cato 可以在您的租户中创建应用注册。使用此集成方法，您自己创建应用程序。

部署所创建的内容

通过连接器页面上的部署操作，您订阅中的所有内容均已创建。您不手动创建其中任何一个。

设置集成

安装和部署连接器

要安装和部署连接器：

1. 在 Microsoft Sentinel 中，选择您的工作区并进入内容管理 > 内容中心。

2. 搜索 Cato Networks 并安装解决方案。

   在安装向导中，选择持有您 Sentinel 部署的订阅、资源组和工作区，然后点击审核 + 创建。您还可以在 Microsoft Marketplace 中查看该解决方案为 Cato Networks for Microsoft Sentinel。

3. 转至配置 > 数据连接器并选择Cato Networks 事件（推送）。

4. 点击打开连接器页面。

   如果看不到打开连接器页面或部署，请缩小浏览器视图。连接器页面可能在窗口的可见区域下方渲染，没有页面滚动条。

5. 复制租户 ID。在您部署之前可以使用此值。

6. 点击部署，审核列出的资源并确认。

   首先出现一个警告，解释如果没有现存的，将创建一个数据收集端点。这是预期的。

复制连接值

部署完成后，连接器页面会显示六个值，每个值都有一个复制按钮。

警告：

部署完成后立即复制Entra 应用注册密钥。连接器页面将在大约一分钟内自动重新加载，密钥将不再显示：Microsoft 从不在创建之后显示客户端密钥，并且页面无选项显示密钥。请按照处理其他凭证的方式处理和存储它。

如果错过了，您不必重新安装该解决方案。请参见 如果我丢失了客户端密钥该怎么办？在常见问题解答中了解两种恢复方法。

在 CMA 中创建集成

要创建 Sentinel 集成：

1. 在 CMA 的导航菜单中，选择资源 > 集成。

2. 在 配置的集成 标签页中，点击 新建。新集成面板打开。

3. 选择Microsoft Sentinel。

4. 在认证字段中，选择 Content Hub (CCF push) 认证 用于 Microsoft Sentinel。
   

5. 为此集成输入名称，并可选地输入描述。

6. 输入您从连接器页面复制的值：

   • 目录（租户）ID

   • 应用程序（客户端）ID

   • 客户密钥

   • 数据收集端点 Uri

   • 数据收集规则不可变 ID

   • 事件流名称

7. 可选：添加过滤器以控制发送到 Microsoft Sentinel 的 Cato 事件，如下面所述。

8. 点击 保存。

始终将事件架构保持最新

内容中心中的解决方案承载其发布时的事件架构。 Cato 添加事件字段的频率比解决方案重新发布的频率高，所以在安装后，您需要单独应用当前的架构。

作为设置的一部分一次执行此操作，然后在需要 Cato 添加的字段时再执行一次。安装较新版本的解决方案不会自动为您执行此操作：表格和数据收集规则属于您的订阅并由您的部署操作创建，因此只有此模板能更改它们。

要应用当前架构：

1. 打开架构更新模板。在连接器页面的保持架构最新部分，点击部署架构更新。或者，转到Cato Sentinel CCF repository 并点击 部署到 Azure。

2. 选择持有您 Sentinel 工作区的订阅和资源组。

3. 输入工作区名称。这是您提供的唯一值。

4. 点击 查看 + 创建。

更新保留您的摄取端点、数据收集规则不可变 ID、Entra 应用程序、客户端密钥、表格保留和所有已摄取的数据。无需在 CMA 中重新输入任何内容，并且摄取会持续整个过程中。

日志分析工作区持有一个 Cato 连接器，因此如果您在多个工作区中运行连接器，按工作区分别应用更新。

允许最多 30 分钟以接收新字段。摄取端点会短暂缓存以前的架构，在此期间事件会正常接受，新的字段会留空。使用查询验证，而不是假设更新失败：

CatoNetworksEvents_CL
| where TimeGenerated > ago(1h)
| take 10

如果在一个小时后新字段仍然为空，请联系 Cato 支持，并提供您的账户 ID 和日志分析工作区名称。

架构只会增加。会添加列，绝不删除或重排，因此更新不会破坏现有的工作簿、分析规则或保存的查询。

验证集成是否正常工作

设置完成后，请确认：

• 表格CatoNetworksEvents_CL在您的日志分析工作区中显示在表下。

• Sentinel 中的连接器页面显示连接器为已连接。

• 事件会在流量的几分钟内出现。在日志分析中使用 CatoNetworksEvents_CL | take 10 查询

注释:

Sentinel 中的已连接状态以表格中过去七天内数据的到达为基础，而不是根据凭证是否仍然有效。密钥过期的连接器最多可继续显示为已连接状态长达七天。使用查询查看表格，确认事件仍然在到达。

配置过滤器

使用过滤器控制导出到 Microsoft Sentinel 的 Cato 事件。这有助于降低摄取成本，减少噪声，并将调查集中在对特定站点、用户或地区最相关的事件上。您还可以使用过滤器将不同子集的事件路由到不同的 SIEM 环境。

使用过滤器组定义基于任何 事件字段或字段组合的过滤器。每个组中的条件使用 AND 逻辑。在组之间应用 OR 逻辑。截图中的过滤器配置集成以导出：

• 事件 来源自巴黎或马德里，属于互联网防火墙 子类型，并导致除了监控或提示 操作之外的其他结果

• 用户名包含测试

事件字段引用

CatoNetworksEvents_CL中的列反映了 Cato 事件字段。请参见Cato 事件架构，了解每种事件类型承载的字段，以及理解事件字段的字段定义。

有两个名称是因为日志分析为其保留它们：

已知局限性

• 打包的方案是一个起点。解决方案包含截至发布时的事件架构。只有在应用架构更新后，Cato 后续添加的字段才能到达您的表中。请参见 始终将事件架构保持最新。

• 每个工作区的一个连接器。数据收集规则和自定义表格是根据工作区命名的，因此在相同的日志分析工作区中再次部署连接器会重用现有资源，而不是创建第二个集。来自多个 Cato 账户的事件可以共享一个连接器，并通过account_id和account_name进行区分。要在单独的表格中保持提要，具有独立的保留或访问控制，请为每一个使用单独的工作区。

• 固定表名。事件始终写入CatoNetworksEvents_CL。该表名由已发布的解决方案固定，无法更改，因为 Sentinel 中连接器的健康状态取决于对该表的查询。

• 大型事件限制。一些 XOps 事件可以在raw_data字段中包含丰富的故事信息，这可能导致事件超过 Microsoft Sentinel 的摄取大小限制（大约 1 MB）。发生这种情况时，Cato 仍然会将事件转发到 Sentinel，但会省略raw_data字段。

• 卸载不等同于清理。删除连接器后，数据收集规则、自定义表及其数据，以及 Entra 应用程序仍然保留。如果您不再需要，请在 Azure 中将其移除。