← Аналитика / analytics / analytics-integrations

Sentinel

Cloudflare интегрируется с Microsoft Sentinel, чтобы вам было проще анализировать свои данные Cloudflare в одном централизованном месте. Для этого коннектора доступны две версии. Мы рекомендуем использовать более новую интеграцию Codeless Connector: она упрощает настройку, управление расходами и интегрируется с Sentinel Data Lake ↗.

Sentinel CCF Solution ↗ (рекомендуется): Codeless Connector Framework (CCF) позволяет партнёрам, опытным пользователям и разработчикам создавать собственные коннекторы для передачи данных в Microsoft Sentinel.

Sentinel Function Based Connector ↗: Коннектор Cloudflare для Microsoft Sentinel использует Azure Functions ↗ для обработки журналов безопасности из службы Cloudflare Logpush и их прямой передачи на платформу SIEM.

Это руководство содержит понятные пошаговые инструкции по интеграции журналов Cloudflare с новым коннектором CCF для Microsoft Sentinel через Azure Blob Storage. Следуя этим шагам, вы сможете безопасно собирать, хранить и анализировать журналы Cloudflare в Microsoft Sentinel, что повысит возможности вашей организации по мониторингу безопасности и реагированию на инциденты.

• Azure Subscription с разрешением на создание и управление ресурсами (рекомендуется роль Contributor или Owner).
• Настроенный Microsoft Sentinel Workspace в вашей среде Azure.
• Azure Storage Account с контейнером Blob для хранения журналов Cloudflare.
• Аккаунт Cloudflare с доступом к домену, журналы которого вы хотите экспортировать, и с правами на настройку заданий Logpush.
• Для учётной записи Azure Storage должен быть включён публичный доступ к сети.
• Учётная запись Azure Storage должна находиться в той же подписке Azure, что и Microsoft Sentinel Workspace.

1. Войдите в Панель управления Cloudflare ↗, и выберите свой аккаунт и домен.

2. Перейдите в Аналитика > Журналы и выберите Logpush.

3. Выберите Create Logpush Job. Выберите тип журнала, который хотите экспортировать (например, HTTP-запросы).

4. В качестве назначения выберите Azure Blob Storage.

5. Введите данные своего хранилища Azure Blob Storage:

   • SAS-токен (Shared Access Signature)

   Чтобы сгенерировать SAS-токен в портале Azure, сначала перейдите к своей учётной записи хранения. В разделе Хранилище данных разделе выберите Containers и выберите нужный контейнер. В настройках найдите и выберите Подпись общего доступа. Настройте необходимые разрешения, например write и create, и укажите дату начала и дату окончания срока действия токена. После настройки сгенерируйте соответствующий SAS токен.

6. Сохраните и активируйте задание Logpush.

Полную информацию см. в Документация Cloudflare Logpush to Azure.

1. Войдите в Azure Portal и перейдите в свой Microsoft Sentinel рабочем пространстве.
2. Выберите Content Hub на панели навигации и найдите Cloudflare.
3. Выберите Cloudflare решение из результатов.
4. Выберите Установить в правой панели.
5. В вашем рабочая область Sentinel, перейдите в Коннекторы данных.
6. Найдите Cloudflare connector (может отображаться как Cloudflare (с использованием Azure Blob Storage)).
7. Выберите коннектор, чтобы настроить его.

При настройке коннектора данных Cloudflare вам потребуется указать следующую информацию:

• URL контейнера Blob

Чтобы получить URL-адрес контейнера в учётной записи хранения Azure, откройте портал Azure и перейдите к своей учётной записи хранения. В разделе Хранилище данных, выберите Containers, а затем выберите нужный контейнер, получающий журналы от Cloudflare. В разделе свойств контейнера отобразится ссылка URL.

• Название группы ресурсов для учётной записи Storage Account
• Расположение Storage Account
• ID подписки
• Имя темы Event Grid (только при переконфигурации, для первоначальной настройки не требуется)

После ввода всех данных выберите Подключить.

Убедитесь, что все поля заполнены правильно, чтобы приём журналов проходил без сбоев.

1. Выберите Применить изменения или Подключить и завершите настройку коннектора.
2. На странице Data connectors в Sentinel проверьте, что коннектор Cloudflare имеет статус Подключено.
3. Убедитесь, что журналы Cloudflare отображаются в вашем рабочем пространстве Sentinel в разделе Log Analytics > Журналы.
4. Если журналы не появляются, проверьте права доступа Blob Storage, конфигурацию Cloudflare Logpush и настройки коннектора Sentinel.

Выполнив эти шаги, вы успешно интегрировали журналы Cloudflare с Microsoft Sentinel через Azure Blob Storage. Эта интеграция даёт расширенные возможности анализа безопасности и реагирования на инциденты для сред, защищённых Cloudflare. Если возникнут проблемы, проверьте каждый шаг настройки, права доступа и официальную документацию Microsoft.

Мы поддерживаем использование следующих полей в коннекторах Sentinel (на основе CCF и функций). Все поля журналов можно отправлять в Azure с помощью нашей функции Logpush, как описано в Включите Microsoft Azure документация.

Скачайте CCF Sentinel Solution от Cloudflare ↗
Обзор Microsoft Data Lake ↗
О платформе CCF ↗