Recopila registros de Microsoft Sentinel

Descripción general

Este analizador extrae campos de los registros JSON de Microsoft Sentinel, realiza transformaciones como la extracción de direcciones IP y la manipulación de cadenas, y asigna los datos extraídos al UDM, incluidos los campos principal, objetivo, security_result y metadatos. También controla varios tipos de datos y combina las entidades extraídas en la estructura del UDM.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Instancia de Google SecOps.
• Acceso a Microsoft Sentinel

Configura feeds en Configuración de SIEM > Feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración del SIEM > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros de Microsoft Sentinel.
5. Selecciona Webhook como el Tipo de origen.
6. Selecciona Microsoft Sentinel como el Tipo de registro.
7. Haz clic en Siguiente.
8. Opcional: Especifica valores para los siguientes parámetros de entrada:
   • Delimitador de división: Es el delimitador que se usa para separar las líneas de registro, como \n.
9. Haz clic en Siguiente.
10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
12. Copia y almacena la clave secreta, ya que no podrás volver a verla. Puedes volver a generar una clave secreta nueva, pero la regeneración de la clave secreta hace que la anterior quede obsoleta.
13. En la pestaña Detalles, copia la URL del extremo del feed del campo Información del extremo. Debes especificar esta URL de extremo en tu aplicación cliente.
14. Haz clic en Listo.

Crea una clave de API para el feed del webhook

1. Ve a Google Cloud consola > Credenciales.

   Ir a Credenciales

2. Haz clic en Crear credenciales y selecciona Clave de API.

3. Restringe el acceso a la API de Chronicle con la clave de API.

Especifica la URL del extremo

1. En tu aplicación cliente, especifica la URL del extremo HTTPS que se proporciona en el feed de webhook.

2. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado en el siguiente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendación: Especifica la clave de API como un encabezado en lugar de hacerlo en la URL. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta con parámetros de búsqueda en el siguiente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

Reemplaza lo siguiente:

• ENDPOINT_URL: Es la URL del extremo del feed.
• API_KEY: Es la clave de API para autenticarse en Google Security Operations.
• SECRET: Es la clave secreta que generaste para autenticar el feed.

Configura la aplicación lógica para los incidentes de Microsoft Sentinel

Para configurar Logic App for Microsoft Sentinel Incidents, sigue estos pasos:

1. Accede al portal de Azure.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Nombre: Ingresa un nombre para la app lógica.
   • Región: Selecciona la región.
   • Lugar de trabajo de Log Analytics: Selecciona el lugar de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la aplicación lógica, haz clic en Ir al recurso.
9. Haz clic en Herramientas de desarrollo > Diseñador de Logic App.
10. Haz clic en Agregar un activador.
11. Busca Microsoft Sentinel.
12. Selecciona Incidente de Microsoft Sentinel como el activador.
13. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora. Haz clic en Crear nuevo y sigue las instrucciones para autenticarte.
14. Haz clic en Insertar un paso nuevo.
15. Haz clic en Agregar una acción.
16. Busca y selecciona HTTP como la acción.
17. Especifica valores para los siguientes parámetros de entrada:
    • URI: Es la URL del extremo del feed.
    • Método: POST
    • Encabezados: Agrega los siguientes encabezados:
      • Content-Type: application/json
      • X-goog-api-key: Es la clave de API para autenticarse en Google Security Operations.
      • X-Webhook-Access-Key: Es la clave secreta que generaste para autenticar el feed.

Configura la aplicación lógica para las alertas de Microsoft Sentinel

Para configurar Logic App for Microsoft Sentinel Alerts, sigue estos pasos:

1. Ve a la página principal del portal de Azure.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Nombre: Ingresa un nombre para la app lógica.
   • Región: Selecciona la región.
   • Lugar de trabajo de Log Analytics: Selecciona el lugar de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la aplicación lógica, haz clic en Ir al recurso.
9. Haz clic en Herramientas de desarrollo > Diseñador de Logic App.
10. Haz clic en Agregar un activador.
11. Busca Microsoft Sentinel.
12. Selecciona Alerta de Microsoft Sentinel como el activador.
13. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora. Haz clic en Crear nuevo y sigue las instrucciones para autenticarte.
14. Haz clic en Insertar un paso nuevo.
15. Haz clic en Agregar una acción.
16. Busca y selecciona HTTP como la acción.
17. Especifica valores para los siguientes parámetros de entrada:
    • URI: Es la URL del extremo del feed.
    • Método: POST
    • Encabezados: Agrega los siguientes encabezados:
      • Content-Type: application/json
      • X-goog-api-key: Es la clave de API para autenticarse en Google Security Operations.
      • X-Webhook-Access-Key: Es la clave secreta que generaste para autenticar el feed.

Configura reglas de automatización para Microsoft Sentinel

Para configurar las reglas de automatización de Microsoft Sentinel, sigue estos pasos:

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla de automatización.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización.
   • Activador: Selecciona Cuando se crea un incidente.
   • Acciones: Selecciona Ejecutar manual > App de Logic creada para incidentes.
6. Haz clic en Aplicar.
7. Haz clic en Crear.
8. Selecciona Regla de automatización.
9. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización.
   • Activador: Selecciona Cuando se actualiza el incidente.
   • Condición: Haz clic en Agregar > Condición (Y) > Estado > Cambiado.
   • Acciones: Selecciona Ejecutar manual > App de Logic creada para incidentes.
10. Haz clic en Aplicar.
11. Haz clic en Crear.
12. Selecciona Regla de automatización.
13. Especifica valores para los siguientes parámetros de entrada:
    • Nombre: Ingresa un nombre para la regla de automatización.
    • Activador: Selecciona Cuando se crea la alerta.
    • Acciones: Selecciona Ejecutar playbook > App de Logic creada para alertas.
14. Haz clic en Aplicar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.