Berapa harga event management module untuk monitoring

Mutakhirkan ke Microsoft Edge untuk memanfaatkan fitur, pembaruan keamanan, dan dukungan teknis terkini.

Mengalirkan peringatan ke SIEM, SOAR, atau solusi Manajemen Layanan IT

• Artikel
• 10/21/2022
• 6 menit untuk membaca

Dalam artikel ini

Microsoft Defender for Cloud dapat melakukan streaming pemberitahuan keamanan Anda ke dalam solusi Security Information and Event Management (SIEM), Security Orchestration Automated Response (SOAR), dan IT Service Management (ITSM) yang paling populer. Peringatan keamanan merupakan pemberitahuan yang dihasilkan oleh Defender untuk Cloud saat mendeteksi ancaman pada sumber daya Anda. Defender for Cloud memprioritaskan dan mencantumkan pemberitahuan, bersama dengan informasi yang diperlukan agar Anda dapat menyelidiki masalah dengan cepat. Defender for Cloud juga menyediakan langkah-langkah terperinci untuk membantu Anda memulihkan serangan. Data pemberitahuan disimpan selama 90 hari.

Terdapat alat Azure bawaan untuk memastikan Anda dapat melihat data peringatan di semua solusi paling populer yang digunakan saat ini, termasuk:

• Microsoft Sentinel
• Splunk Enterprise dan Splunk Cloud
• QRadar IBM
• ServiceNow
• ArcSight
• Power BI
• Jaringan Palo Alto

Streaming pemberitahuan ke Microsoft Sentinel

Defender for Cloud terintegrasi secara native dengan Microsoft Sentinel, solusi SIEM dan SOAR cloud-native Azure.

Pelajari selengkapnya tentang Microsoft Sentinel.

Konektor Microsoft Sentinel untuk Defender for Cloud

Microsoft Sentinel menyertakan konektor bawaan untuk Microsoft Defender for Cloud di tingkat langganan dan penyewa:

• Streaming pemberitahuan ke Microsoft Sentinel di tingkat langganan
• Hubungkan semua langganan di penyewa Anda ke Microsoft Sentinel

Saat Anda menghubungkan Defender for Cloud ke Microsoft Sentinel, status pemberitahuan Defender for Cloud yang diserap ke dalam Microsoft Sentinel disinkronkan di antara kedua layanan tersebut. Jadi, misalnya, saat peringatan ditutup di Defender untuk Cloud, peringatan itu juga ditampilkan sebagai ditutup di Microsoft Sentinel. Jika Anda mengubah status peringatan di Defender untuk Cloud, status peringatan di Microsoft Sentinel juga diperbarui, namun status insiden Microsoft Sentinel yang berisi peringatan Microsoft Sentinel yang disinkronkan tidak diperbarui.

Anda dapat mengaktifkan fitur sinkronisasi peringatan dua arah untuk otomatis menyinkronkan status peringatan Defender untuk Cloud asli dengan insiden Microsoft Sentinel yang berisi salinan peringatan Defender untuk Cloud tersebut. Jadi, misalnya, saat insiden Microsoft Sentinel yang berisi peringatan Defender untuk Cloud ditutup, Defender untuk Cloud secara otomatis menutup peringatan asli yang sesuai.

Pelajari lebih lanjut di Sambungkan pemberitahuan Defender untuk Cloud dari Microsoft Defender untuk Cloud.

Catatan

Fitur sinkronisasi pemberitahuan dua arah tidak tersedia di cloud Azure Government.

Konfigurasikan penyerapan semua log audit ke Microsoft Sentinel

Alternatif lain untuk menyelidiki pemberitahuan Defender for Cloud di Microsoft Sentinel adalah melakukan streaming log audit Anda ke Microsoft Sentinel:

• Menyambungkan peristiwa keamanan Windows
• Mengumpulkan data dari sumber berbasis Linux menggunakan Syslog
• Menyambungkan data dari log Aktivitas Azure

Tip

Microsoft Sentinel ditagih berdasarkan volume data yang diserapnya untuk analisis di Microsoft Sentinel dan disimpan di ruang kerja Azure Monitor Log Analytics. Microsoft Sentinel menawarkan model penetapan harga yang fleksibel dan dapat diprediksi. Pelajari selengkapnya di laman harga Microsoft Sentinel.

Mengalirkan peringatan ke QRadar dan Splunk

Ekspor peringatan keamanan ke Splunk dan QRadar menggunakan Azure Event Hubs dan konektor bawaan. Anda dapat menggunakan skrip PowerShell atau portal Microsoft Azure untuk menyiapkan persyaratan untuk mengekspor peringatan keamanan untuk langganan atau penyewa Anda. Kemudian Anda harus menggunakan prosedur khusus untuk setiap SIEM guna menginstal solusi di platform SIEM.

Prasyarat

Sebelum menyiapkan layanan Azure untuk mengekspor peringatan, pastikan Anda memiliki:

• Langganan Azure (Buat akun gratis)
• Grup sumber daya Azure (Buat grup sumber daya)
• Peran pemilik pada cakupan peringatan (langganan, grup manajemen atau penyewa), atau izin khusus ini:
  • Izin tulis untuk pusat aktivitas dan Kebijakan Pusat Aktivitas
  • Membuat izin untuk aplikasi Microsoft Azure AD, jika Anda tidak menggunakan aplikasi Microsoft Azure AD yang sudah ada
  • Menetapkan izin untuk kebijakan, jika Anda menggunakan Azure Policy 'DeployIfNotExist'

Langkah 1. Menyiapkan layanan Azure

Anda dapat menyiapkan lingkungan Azure untuk mendukung ekspor berkelanjutan menggunakan:

• Skrip PowerShell (Disarankan)

  Unduh dan jalankan skrip PowerShell. Masukkan parameter yang diperlukan dan skrip tersebut menjalankan semua langkah-langkahnya untuk Anda. Ketika skrip selesai, skrip menghasilkan informasi yang akan Anda gunakan untuk menginstal solusi di platform SIEM.

• portal Microsoft Azure

  Berikut gambaran umum langkah-langkah yang akan Anda lakukan di portal Microsoft Azure:

  1. Membuat namespace layanan Azure Event Hubs dan pusat aktivitas.
  2. Tentukan kebijakan untuk pusat aktivitas dengan izin "Send".
  3. Jika Anda melakukan streaming peringatan ke QRadar - Buat kebijakan "Listen" pusat aktivitas, lalu salin dan simpan string koneksi kebijakan yang akan Anda gunakan di QRadar.
  4. Buat grup konsumen, kemudian salin dan simpan nama yang akan Anda gunakan di platform SIEM.
  5. Aktifkan ekspor berkelanjutan peringatan keamanan ke pusat peristiwa yang ditentukan.
  6. Jika Anda melakukan streaming peringatan ke QRadar - Buat akun penyimpanan, lalu salin dan simpan string koneksi ke akun yang akan Anda gunakan di QRadar.
  7. Jika Anda melakukan streaming pemberitahuan ke Splunk:
     1. Membuat aplikasi Azure Active Directory (AD).
     2. Simpan Penyewa, ID Aplikasi, dan Kata sandi aplikasi.
     3. Berikan izin ke Aplikasi Microsoft Azure AD untuk membaca dari pusat aktivitas yang Anda buat sebelumnya.

  Untuk instruksi selengkapnya, lihat Menyiapkan sumber daya Azure untuk mengekspor ke Splunk dan QRadar.

Langkah 2. Sambungkan pusat aktivitas ke solusi pilihan Anda menggunakan konektor bawaan

Setiap platform SIEM memiliki alat untuk memungkinkannya menerima peringatan dari Azure Event Hubs. Instal alat untuk platform Anda untuk mulai menerima peringatan.

Mengalirkan peringatan dengan ekspor berkelanjutan

Untuk mengalirkan peringatan ke ArcSight, SumoLogic, Server Syslog, LogRhythm, Logz.io Cloud Observability Platform,dan solusi pemantauan lainnya, sambungkan Defender untuk Cloud menggunakan ekspor berkelanjutan dan Azure Event Hubs:

1. Aktifkan ekspor berkelanjutan untuk mengalirkan pemberitahuan Microsoft Defender untuk Cloud ke Azure Event Hub khusus di tingkat langganan. Untuk melakukan ini di tingkat Grup Manajemen menggunakan Azure Policy, lihat Membuat konfigurasi otomatisasi ekspor berkelanjutan dalam skala besar.

2. Sambungkan pusat aktivitas ke solusi pilihan Anda menggunakan konektor bawaan:

   Alat	Dihosting di Azure	Deskripsi
   SumoLogic	Tidak	Petunjuk untuk menyiapkan SumoLogic untuk menggunakan data dari pusat aktivitas tersedia di Mengumpulkan Log untuk Aplikasi Audit Azure dari Azure Event Hubs.
   ArcSight	Tidak	Konektor cerdas ArcSight Azure Event Hubs tersedia sebagai bagian dari koleksi konektor cerdas ArcSight.
   Server Syslog	Tidak	Jika Anda ingin melakukan streaming data Azure Monitor langsung ke server syslog, Anda bisa menggunakan solusi berdasarkan fungsi Azure.
   LogRhythm	Tidak	Petunjuk untuk menyiapkan LogRhythm untuk mengumpulkan log dari pusat aktivitas tersedia di sini.
   Logz.io	Ya	Untuk informasi selengkapnya, lihat Mulai memantau dan mencatat menggunakan aplikasi Logz.io untuk Java yang berjalan di Azure

3. Secara opsional, alirkan log mentah ke Azure Event Hub dan sambungkan ke solusi pilihan Anda. Pelajari lebih lanjut dalam Memantau data yang tersedia.

Untuk melihat skema peristiwa dari jenis data yang diekspor, kunjungi skema peristiwa Azure Event Hubs.

Menggunakan Microsoft Graph Security API untuk mengalirkan peringatan ke aplikasi pihak ketiga

Sebagai alternatif untuk Microsoft Sentinel dan Azure Monitor, Anda dapat menggunakan integrasi bawaan Defender untuk Cloud dengan Microsoft Graph Security API. Konfigurasi tidak diperlukan dan tidak ada biaya tambahan.

Anda dapat menggunakan API ini untuk mengalirkan peringatan dari seluruh penyewa Anda (dan data dari berbagai produk Microsoft Security) ke dalam SIEM pihak ketiga dan platform populer lainnya:

• Splunk Enterprise dan Splunk Cloud - Menggunakan Microsoft Graph Security API Add-On untuk Splunk
• Power BI - Menyambungkan ke Microsoft Graph Security API di Power BI Desktop.
• ServiceNow - Menginstal dan mengonfigurasi aplikasi Microsoft Graph Security API dari ServiceNow Store.
• QRadar - Menggunakan Modul Dukungan Perangkat IBM untuk Microsoft Defender untuk Cloud melalui Microsoft Graph API.
• Palo Alto Networks, Anomali, Lookout, InSpark, dan banyak lagi - Menggunakan Microsoft Graph Security API.

Langkah berikutnya

Halaman ini menjelaskan cara memastikan data pemberitahuan Microsoft Defender for Cloud Anda tersedia di alat pilihan SIEM, SOAR, atau ITSM Anda. Untuk materi terkait lihat:

• Apa itu Microsoft Sentinel?
• Validasi pemberitahuan di Microsoft Defender for Cloud - Pastikan pemberitahuan Anda dikonfigurasi dengan benar
• Terus mengekspor data Defender untuk Cloud

Management event meliputi apa saja?

Apa perbedaan manajemen event dan event organizer?

Jelaskan langkah langkah perencanaan event?

Apa saja jenis jenis event?