Microsoft Sentinel¶

Você pode configurar Wallarm para registrar eventos no Microsoft Azure Sentinel.

Configurando a integração¶

Na interface do usuário do Microsoft:

1. Execute o Microsoft Sentinel em um Workspace.

2. Prossiga para as configurações do Workspace do Sentinel → Agentes → Instruções do agente de análise de log e copie os seguintes dados:

   • ID do Workspace
   • Chave primária

Na interface do usuário do Console Wallarm:

1. Abra a seção Integrações.

2. Clique no bloco Microsoft Sentinel ou clique no botão Adicionar integração e escolha Microsoft Sentinel.

3. Digite um nome para a integração.

4. Cole o ID do Workspace e a Chave Primária copiados.

5. Opcionalmente, especifique a tabela do Azure Sentinel para eventos do Wallarm. Se ela não existir, será criada automaticamente.

   Sem um nome, tabelas separadas são criadas para cada tipo de evento.

6. Escolha os tipos de eventos para acionar notificações.

   

   Detalhes sobre eventos disponíveis:

   • Hits detectados, com exceção de:

     • Hits experimentais detectados com base na expressão regular personalizada. Hits não experimentais acionam notificações.
     • Hits não salvos na amostra.

   • Relacionados ao sistema:

     • Mudanças de usuário (novo criado, excluído, mudança de função)
     • Mudanças de integração (desativada, excluída)
     • Mudanças de aplicação (nova criada, excluída, mudança de nome)
   • Vulnerabilidades detectadas, todas por padrão ou apenas para o(s) nível(is) de risco selecionado(s) - alto, médio ou baixo.
   • Regras e gatilhos alterados (criação, atualização ou exclusão da regra ou gatilho)
   • Escopo (ativos expostos) alterado: atualizações em hosts, serviços e domínios
   • De hora em hora, você pode receber uma notificação com o número de solicitações processadas durante a hora anterior

7. Clique em Testar integração para verificar a correção da configuração, a disponibilidade do Wallarm Cloud e o formato da notificação.

   Você pode encontrar os logs do Wallarm em seu Microsoft Workspace → Logs → Log Personalizado, por exemplo, o log de teste create_user_CL no Microsoft Sentinel aparece assim:

   

   Atraso no envio de dados para novos espaços de trabalho

   Criar um espaço de trabalho no Sentinel para integração com Wallarm pode levar até 1 hora para todos os serviços funcionarem. Este atraso pode resultar em erros durante os testes e uso da integração. Se todas as configurações da integração estiverem corretas, mas os erros continuarem a aparecer, tente novamente após 1 hora.

8. Clique em Adicionar integração.

Tipos de logs do Wallarm¶

Em geral, o Wallarm pode registrar no Sentinel os registros dos seguintes tipos:

Desativando e excluindo uma integração¶

Você pode excluir ou desativar temporariamente a integração. Embora a exclusão interrompa o envio de notificações e exclua completamente todas as configurações, a desativação apenas interrompe o envio de notificações que você pode reativar a qualquer momento com as mesmas configurações.

Se para a integração os eventos Relacionados ao sistema forem selecionados para disparar notificações, a Wallarm notificará sobre ambas as ações.

Indisponibilidade do sistema e parâmetros incorretos de integração¶

Notificações ao sistema são enviadas por meio de solicitações. Se o sistema estiver indisponível ou os parâmetros de integração estiverem configurados incorretamente, o código de erro é retornado na resposta à solicitação.

Se o sistema responder à solicitação de Wallarm com qualquer código diferente de 2xx, Wallarm reenvia a solicitação com o intervalo até que o código 2xx seja recebido:

• Os intervalos do primeiro ciclo: 1, 3, 5, 10, 10 segundos

• Os intervalos do segundo ciclo: 0, 1, 3, 5, 30 segundos

• Os intervalos do terceiro ciclo: 1, 1, 3, 5, 10, 30 minutos

Se a porcentagem de solicitações mal sucedidas atingir 60% em 12 horas, a integração é automaticamente desabilitada. Se você receber notificações do sistema, você receberá uma mensagem sobre a integração ser automaticamente desabilitada.

Was this page helpful?

How can we improve this article? (Optional)

Information is unclear or confusing

Insufficient information

Outdated or incorrect information

0/240

Send