Sentinel 连接数据源

若要载入 Azure Sentinel，首先需要连接到数据源。 Azure Sentinel 随附许多适用于 Microsoft 解决方案的现成可用的连接器，提供实时集成（包括 Microsoft 威胁防护解决方案）和 Microsoft 365 源（包括 Office 365、Azure AD、Azure ATP 和 Microsoft Cloud App Security，等等）。 此外，内置的连接器可以拓宽非 Microsoft 解决方案的安全生态系统。 也可以使用常用事件格式 Syslog 或 REST-API 将数据源与 Azure Sentinel 相连接。

1. 在菜单上，选择“数据连接器” 。 通过此页，可以查看 Azure Sentinel 提供的连接器及其状态的完整列表。 选择要连接的连接器，然后选择“打开连接器页” 。

   

2. 在特定连接器页上，确保已满足所有先决条件，并按照相关说明将数据连接到 Azure Sentinel。 可能需要一段时间才能让日志开始与 Azure Sentinel 保持同步。 在连接后，可以在“收到的数据”图 中查看数据摘要，以及数据类型的连接状态。

   

3. 单击“后续步骤” 选项卡，以获取 Azure Sentinel 针对特定数据类型提供的现成内容的列表。

   

数据连接方法

Azure Sentinel 支持以下数据连接方法：

• Microsoft 服务：
  Microsoft 服务原生是互连的。利用 Azure 基础服务的现成集成，只需单击几点鼠标就能连接以下解决方案：

  • Office 365
  • Azure AD 审核日志和登录
  • Azure 活动
  • Azure AD 标识保护
  • Azure 安全中心
  • Azure 信息保护
  • Azure 高级威胁防护
  • Cloud App Security
  • Windows 安全事件
  • Windows 防火墙

• 通过 API 连接外部解决方案：可以使用联网数据源提供的 API 连接某些数据源。 一般情况下，大多数安全技术都会提供一组 API，通过这些 API 可以检索事件日志。这些 API 连接到 Azure Sentinel，收集特定的数据类型并将其发送到 Azure Log Analytics。 通过 API 连接的设备包括：

  • Barracuda
  • Symantec
  • Citrix Analytics（安全）

• 通过代理连接外部解决方案：可以通过代理使用 Syslog 协议将 Azure Sentinel 连接到可执行实时日志流式处理的其他所有数据源。 
  大部分设备使用 Syslog 协议发送包含日志本身以及日志相关数据的事件消息。 日志格式各不相同，但大部分设备都支持基于通用事件格式 (CEF) 的日志数据格式。 
  基于 Log Analytics 代理的 Azure Sentinel 代理会将 CEF 格式的日志转换为可供 Log Analytics 引入的格式。 根据设备类型，可以直接在设备上安装代理，或者在专用的 Linux 服务器上安装代理。 适用于 Linux 的代理通过 UDP 从 Syslog 守护程序接收事件，但如果预期 Linux 计算机需要收集大量的 Syslog 事件，则会通过 TCP 将这些事件从 Syslog 守护程序发送到代理，然后从代理发送到 Log Analytics。

  • 防火墙、代理和终结点：
    • F5
    • Check Point
    • Cisco ASA
    • Fortinet
    • Palo Alto
    • 其他 CEF 设备
    • 其他 Syslog 设备
    • Barracuda CloudGen 防火墙
    • ExtraHop Reveal(x)
    • One Identity Safeguard
    • Trend Micro Deep Security
  • DLP 解决方案
  • 威胁智能提供程序
  • DNS 计算机 - 直接安装在 DNS 计算机上的代理
  • Linux 服务器
  • 其他云

代理连接选项

若要将外部设备连接到 Azure Sentinel，代理必须部署在专用计算机上（VM 或本地），以支持设备与 Azure Sentinel 之间的通信。 可以自动或手动部署代理。 仅当专用计算机是在 Azure 中创建的新 VM 时，才能进行自动部署。

或者，可以在现有的 Azure VM 上、在其他云中的 VM 上或者在本地计算机上手动部署代理。

使用 Azure Sentinel 连接选项映射数据类型

数据类型	如何连接	数据连接器？	注释
AWSCloudTrail	连接 AWS	V
AzureActivity	连接 Azure 活动和活动日志概述	V
AuditLogs	连接 Azure AD	V
SigninLogs	连接 Azure AD	V
AzureFirewall	Azure 诊断	V
InformationProtectionLogs_CL	Azure 信息保护报告 连接 Azure 信息保护	V	除数据类型外，这通常还使用 InformationProtectionEvents 函数。 有关详细信息，请参阅如何修改报告和创建自定义查询
AzureNetworkAnalytics_CL	流量分析架构 流量分析
CommonSecurityLog	连接 CEF	V
OfficeActivity	连接 Office 365	V
SecurityEvents	连接 Windows 安全事件	V	有关不安全协议工作簿的信息，请参阅不安全协议工作簿设置
Syslog	连接 Syslog	V
Microsoft Web 应用程序防火墙 (WAF) - (AzureDiagnostics)	连接 Microsoft Web 应用程序防火墙	V
SymantecICDx_CL	连接 Symantec	V
ThreatIntelligenceIndicator	连接威胁智能	V
VMConnection  ServiceMapComputer_CL ServiceMapProcess_CL	Azure Monitor 服务映射 Azure Monitor VM 见解载入  启用 Azure Monitor VM 见解  使用单一 VM 载入 通过 Policy 使用载入	X	VM 见解工作簿
DnsEvents	连接 DNS	V
W3CIISLog	连接 IIS 日志	X
WireData	连接 Wire Data	X
WindowsFirewall	连接 Windows 防火墙	V
AADIP SecurityAlert	连接 Azure AD 标识保护	V
AATP SecurityAlert	连接 Azure ATP	V
ASC SecurityAlert	连接 Azure 安全中心	V
MCAS SecurityAlert	连接 Microsoft Cloud App Security	V
SecurityAlert
Sysmon（事件）	连接 Sysmon 连接 Windows 事件 获取 Sysmon 分析程序	X	默认情况下，虚拟机上未安装 Sysmon 集合。 有关如何安装 Sysmon 代理的详细信息，请参阅 Sysmon。
ConfigurationData	自动执行 VM 清单	X
ConfigurationChange	自动执行 VM 跟踪	X
F5 BIG-IP	连接 F5 BIG-IP	X
McasShadowItReporting		X
Barracuda_CL	连接 Barracuda	V

后续步骤

• 若要开始使用 Azure Sentinel，需要订阅 Microsoft Azure。 如果尚无订阅，可注册免费试用版。
• 了解如何将数据载入到 Azure Sentinel，以及获取数据和潜在威胁的见解。