Integration mit Microsoft Sentinel

• WAF-Verletzungen
• Bot-Verletzungen
• SSL-Zertifikat-Einblicke
• Gateway-Einblicke
• NetScaler® Console-Überwachungsprotokolle

Konfigurieren des Log Analytics Workspace

1. Melden Sie sich bei Azure an.
2. Klicken Sie auf Ressource erstellen.
   
3. Geben Sie in der Suchleiste „log analytics workspace“ ein und klicken Sie unter Log Analytics Workspace auf Erstellen.
   
4. Auf der Hauptseite des Log Analytics-Arbeitsbereichs klicken Sie auf Erstellen.
   
5. Unter Log Analytics-Arbeitsbereich erstellen:
   1. Wählen Sie das aktive Abonnement und die Ressourcengruppe aus.
      Hinweis:
      Sie können auch auf Neu erstellen klicken, um eine Ressourcengruppe hinzuzufügen, wenn Sie die Berechtigung dazu haben.

   2. Geben Sie einen Namen Ihrer Wahl an.
   3. Wählen Sie Ihre Region aus der Liste aus.
   4. Klicken Sie auf Überprüfen + Erstellen.
      
   5. Eine Meldung "Validierung erfolgreich" wird angezeigt. Klicken Sie auf Erstellen, um den Arbeitsbereich bereitzustellen.
      
   6. Sie sehen die Meldung "Bereitstellung läuft". Nachdem die Meldung "Bereitstellung abgeschlossen" angezeigt wird, klicken Sie auf Zu Ressource wechseln.
      
      Der Arbeitsbereich wurde erfolgreich erstellt.

Erstellen einer Microsoft Entra-Anwendung

1. Geben Sie im Azure-Portal das Schlüsselwort in die Suchleiste ein.
2. Klicken Sie auf Microsoft Entra ID.
   
3. Klicken Sie auf Hinzufügen und wählen Sie App-Registrierung.
   
4. Geben Sie einen Namen für die App an, wählen Sie die Standardoption unter Unterstützte Kontotypen und klicken Sie dann auf Registrieren.
   
5. Nachdem Sie die Anwendung registriert haben:
   1. Notieren Sie sich die Client-ID und die Mandanten-ID.
      
   2. Erstellen Sie eine geheime ID für Ihre Anwendung. Klicken Sie auf Zertifikate & Geheimnisse und klicken Sie unter Client-Geheimnisse auf Neues Client-Geheimnis. Geben Sie eine Beschreibung und Gültigkeit an und klicken Sie dann auf Hinzufügen, um eine geheime ID für Ihre Anwendung zu erstellen.
      
   3. Die Details werden für Ihre Anwendung angezeigt. Stellen Sie sicher, dass Sie die unter Wert angezeigte ID sofort nach dem Erstellen des Geheimnisses notieren. Dieser Wert wird ausgeblendet, wenn Sie zu einer anderen GUI-Option navigieren.
      

Datenerfassungsendpunkt konfigurieren

1. Wählen Sie in Ihrem Azure-Portal unter Azure-Dienste die Option Datenerfassungsendpunkte aus oder geben Sie das Schlüsselwort in die Suchleiste ein.
   
2. Klicken Sie auf Erstellen auf der Seite Datenerfassungsendpunkte.
   
3. Unter Datenerfassungsendpunkt erstellen:
   1. Geben Sie einen Endpunktnamen Ihrer Wahl an
   2. Wählen Sie das Abonnement, die Ressourcengruppe und die Region aus.
   3. Klicken Sie auf Überprüfen + Erstellen.
   4. Nachdem Sie die Meldung „Validierung erfolgreich“ sehen, klicken Sie auf Erstellen.

Tabellen zum Exportieren von Daten erstellen

1. Navigieren Sie in Ihrem Arbeitsbereich im Azure-Portal und klicken Sie unter Einstellungen auf Tabellen.
2. Klicken Sie auf Erstellen und wählen Sie Neues benutzerdefiniertes Protokoll (DCR-basiert).
   
3. Unter Benutzerdefiniertes Protokoll erstellen:
   1. Geben Sie einen Tabellennamen an. Der Tabellenname muss im Format console_insightname vorliegen. Zum Beispiel: console_ns_sslvserver, console_ns_ssl_certkey. Sie können sich auf Schritt 4 beziehen, um die für jede Insight anwendbaren Tabellennamen zu erhalten.
   2. Geben Sie eine Beschreibung an, um weitere Informationen zum Tabellennamen hinzuzufügen. Dies ist optional.
   3. Erstellen Sie eine neue Datenerfassungsregel und fügen Sie sie hinzu.
   4. Wählen Sie den Datenerfassungsendpunkt aus der Liste aus.
      
   5. Klicken Sie auf Weiter.
4. Auf der Registerkarte Schema und Transformation müssen Sie die JSON-Beispielprotokolle für die Insight hochladen, die Sie exportieren möchten. Sie können das folgende JSON-Beispiel für jede Insight verwenden und eine JSON-Datei zum Hochladen erstellen:

   Insights	JSON	Zu verwendender Tabellenname
   SSL (1)	{"id": "3eb05733-c326-493c-9aa0-f7db3a6b4277", "ns_ip_address": "10.106.186.141", "name": "zeta_192_168_110_250", "vsvr_ip_address": "", "vsvr_port": -1, "vsvr_type": "", "state": "", "partition_name": "", "display_name": "10.106.186.141", "poll_time": 1716539986, "managed": "f", "ssl2": "f", "ssl3": "t", "tls10": "t", "tls11": "t", "tls12": "t", "dh": "f", "ersa": "t", "sslprofile": "", "tls13": "f", "dhkeyexpsizelimit": "DISABLED", "pushenctriggertimeout": 1, "sessionticket": "", "includesubdomains": "f", "sessionticketkeyrefresh": "", "ssllogprofile": "", "serverauth": "", "ssltriggertimeout": 100, "ersacount": 0, "strictcachecks": "NO", "dhfile": "", "sessreuse": "ENABLED", "redirectportrewrite": "DISABLED", "skipclientcertpolicycheck": "", "tls13sessionticketsperauthcontext": 1, "cipherredirect": "DISABLED", "dropreqwithnohostheader": "NO", "sessionticketlifetime": -1, "maxage": 0, "pushenctrigger": "Always", "strictsigdigestcheck": "f", "sslredirect": "DISABLED", "sessionkeylifetime": -1, "alpnprotocol": "", "clientauthuseboundcachain": "", "sesstimeout": 120, "clientcert": "", "snihttphostmatch": "CERT", "preload": "NO", "prevsessionkeylifetime": -1, "sessionticketkeydata": "", "encrypttriggerpktcount": 45, "cleartextport": "", "ssliocspcheck": "", "hsts": "f", "sslinterception": "", "commonname": "", "sslireneg": "", "ocspstapling": "DISABLED", "quantumsize": 8192, "insertionencoding": "Unicode", "sslimaxsessperserver": -1, "cipherurl": "", "pushflag": 0, "zerorttearlydata": "DISABLED", "allowextendedmastersecret": "", "dhekeyexchangewithpsk": "NO", "clientauth": "DISABLED", "denysslreneg": "NONSECURE", "sendclosenotify": "YES", "dhcount": 0, "snienable": "DISABLED", "table_name": "ns_sslvserver"}	console_ns_sslvserver
   SSL (2)	{"id": "a6673ab2-0b59-47b9-b530-bc30fb2b937c", "ssl_certificate": "/nsconfig/ssl/ca-cert.pem", "ssl_key": "/nsconfig/ssl/ca-key.pem", "certkeypair_name": "athul-ca", "cert_format": "PEM", "days_to_expiry": 281, "ns_ip_address": "10.106.186.141", "status": "Valid", "device_name": "10.106.186.141", "file_location_path": "", "certificate_data": "", "key_data": "", "poll_time": 1717434335, "no_domain_check": "f", "version": 3, "serial_number": "7B34B6A6A1A79E0FF168242D7BCFF78F04C9EE66", "signature_algorithm": "sha256WithRSAEncryption", "issuer": "C=IN,ST=KA,L=BAN,O=CIT,OU=ADM,CN=A", "valid_from": "Mar 12 08:51:11 2024 GMT", "valid_to": "Mar 12 08:51:11 2025 GMT", "subject": "C=IN,ST=KA,L=BAN,O=CIT,OU=ADM,CN=A", "public_key_algorithm": "rsaEncryption", "public_key_size": 4096, "no_of_bound_entities": 0, "partition_name": "", "display_name": "10.106.186.141", "hostname": "athulsadc", "key_name": "", "subjaltname": "", "managed_by": "", "certificate_dn": "", "linkcertkeyname": "", "table_name": "ns_ssl_certkey"}	console_ns_ssl_certkey
   SSL (3)	{"id": "2baffd1a-7ed6-4035-91e8-ad3a3125bff4", "certkeypair_name": "cert1", "ns_ip_address": "10.106.186.127", "poll_time": 1715671567, "partition_name": "", "display_name": "10.106.186.127", "hostname": "", "entity_name": "secure_gateway", "entity_type": "sslvserver", "table_name": "ns_sslcertkey_binding"}	console_ns_sslcertkey_binding
   WAF	[{"ip_address": "10.106.185.156", "ctnsappname": "vserver_1", "severity": 2, "violation_type": 19, "violation_type_desc": "Start URL", "block_flags": 1, "transformed_flags": 0, "not_blocked_flags": 0, "country_code": "-NA-", "region_code": "-NA-", "city": "-NA-", "latitude": 200.0, "longitude": 200.0, "signature_category": "", "attack_category": 2, "attack_category_desc": "Broken Authentication and Session Management", "total_attacks": 1, "rpt_sample_time": 1704783773, "source_ip_address": 174766492, "attack_time": 1704783538, "profile_name": "appfw_cs_lb_prof", "session_id": "", "http_req_url": "https://10.106.192.54/csrf_ffc/ffc.html?field10=asfasd", "violation_name": "-NA-", "violation_value": "-NA-", "violation_location": 4, "violation_threat_index": 5, "app_threat_index": 5, "http_method": 0, "violation_action": 3, "violation_action_desc": "Blocked", "severity_type": 2, "severity_type_desc": "Medium", "iprep_score": 0, "iprep_category": 0, "counter_value": 0, "appname": "vserver_1_10.106.185.156_lb", "violation_category": 12, "violation_category_desc": "Start URL", "source_ipv6_address": "", "true_client_ip": "\\N", "backend_vserver": "", "backend_appname": "", "transactionId": "0", "table_name": "af_threat_exporter_data_l2"}]	console_af_threat_exporter_data_l2
   Bot	{"ip_address": "10.106.186.122", "ctnsappname": "secure_gateway", "bot_type": "2", "bot_type_desc": "Bad", "action_type": "6", "action_type_desc": "Log", "country_code": "0.0", "region_code": "0.0", "city": "0.0", "bot_severity": "0", "bot_severity_desc": "Critical", "latitude": "0", "longitude": "0", "bot_detection_mechanism": "6", "bot_detection_mechanism_desc": "BlackList", "bot_category": "0", "bot_category_desc": "Uncategorized", "source_ip_address": "174758625", "bot_signature_category": "Custom Policy Expression", "appname": "secure_gateway_10.106.186.122_lb", "backend_vserver": "", "backend_appname": "", "total_attacks": "2", "rpt_sample_time": "1718783216", "table_name": "af_bot_attack_details_l2"}	console_af_bot_attack_details_l2
   Gateway Insight (1)	{"adc_ip_address": "10.106.186.141", "auth_server": "", "client_ip": 174766732, "epa_method_type": 0, "error_count": 14, "error_details": "Invalid credentials passed", "error_type": 1, "gateway_name": "vpn_vserver_142_6", "req_url": "", "resource": "", "rpt_sample_time": 1713505215, "sso_method_type": 0, "sta_ip": "", "table_name": "af_vpn_error_details", "username": "John"}	console_af_vpn_error_details
   Gateway Einblick (2)	{"adc_ip_address": "10.102.71.166", "display_name": "10.102.71.166", "gateway_name": "firsthop", "ip_address": "10.102.71.168", "rpt_sample_time": "1718812158", "state": "Up", "table_name": "ns_vpnvserver"}	console_ns_vpnvserver
   Gateway Einblick (3)	{"adc_ip_address": "10.106.186.141", "gateway_name": "vpn_vserver_141_7", "rpt_sample_time": 1702011308, "sessions": 1, "table_name": "af_vpn_session_details", "users": 1}	console_af_vpn_session_details
   Gateway Einblick (4)	{"active_sessions": 59, "active_users": 1, "adc_ip_address": "10.106.186.136", "gateway_name": "vpnathul2", "rpt_sample_time": 1698919848, "table_name": "af_vpn_active_session_1"}	console_af_vpn_active_session_1
   Gateway Einblick (5)	{"adc_ip_address": "10.106.186.136", "entity_type": 3, "gateway_name": "vpnathul2", "hits": 3, "rpt_sample_time": 1698052438, "table_name": "af_vpn_error_reports"}	console_af_vpn_error_reports
   Audit-Protokolle	{"system_gmt_time":1721868291, "source":"X.X.X.X", "severity":"INFO", "module":"DEVICECONFIG", "event_type":"CMD_EXECUTED", "message":"Sample Mesage", "instance_ip":"X.X.X.X", "app_name":""}	console_syslog_messages

   Nach dem Hochladen der JSON-Datei können Sie die folgenden Details anzeigen:
   
   Klicken Sie auf Transformation editor, geben Sie die folgende Abfrage ein, die für den entsprechenden Insight anwendbar ist, und klicken Sie auf Run, um die Daten ab dem Abfragezeitpunkt in NetScaler Console zu übernehmen.
   • SSL – source | extend TimeGenerated = todatetime(poll_time) | project-rename sslvserver_id = id
   • WAF und Bot – source | extend TimeGenerated = todatetime(rpt_sample_time)
   • Gateway Insight – source | extend TimeGenerated = todatetime(rpt_sample_time)
     
5. Klicken Sie auf Next und dann auf Create, um den Vorgang abzuschließen.
6. Navigieren Sie zu Data collection rules und klicken Sie auf die von Ihnen erstellte DCR.
7. Klicken Sie unter Configuration auf Data sources, um die erstellte Tabelle anzuzeigen.
   
   Die DCR (Data collection rule) erfordert Zugriff auf die Rolle Monitoring Metrics Publisher.
   1. Navigieren Sie zu Ihrer DCR, auf die Sie über Ihr Azure-Portal unter Recents zugreifen können.
   2. Klicken Sie auf Ihrer DCR-Seite auf Zugriffssteuerung (IAM) und dann auf Rollenzuweisung hinzufügen.
      
   3. Geben Sie in der Suchleiste das Schlüsselwort „monitor“ ein, um Monitoring Metrics Publisher auszuwählen, und klicken Sie auf Weiter.
   4. Klicken Sie auf der Registerkarte Mitglieder auf Mitglieder auswählen und wählen Sie die von Ihnen erstellte Entra-App aus.
   5. Klicken Sie auf Überprüfen + zuweisen.
      Sie müssen die ID der Datensammlungsregeln notieren. Navigieren Sie zur Seite „Datensammlungsregeln“, wählen Sie Ihre DCR aus und klicken Sie auf die JSON-Ansicht, um die ID zu notieren.
      

Ein Abonnement in NetScaler Console erstellen

• Endpunkt-URL
• ID der Datensammlungsregeln
• Mandanten-ID
• Client-ID
• Client-Geheimnis

1. Melden Sie sich bei NetScaler Console an.
2. Navigieren Sie zu Einstellungen > Observability Integration.
3. Klicken Sie auf der Seite Integrationen auf Hinzufügen.
4. Geben Sie auf der Seite Abonnement erstellen die folgenden Details an:
   1. Geben Sie im Feld „Abonnementname“ einen Namen Ihrer Wahl ein.
   2. Wählen Sie NetScaler Console als Quelle aus und klicken Sie auf Weiter.
   3. Wählen Sie Microsoft Sentinel aus und klicken Sie auf Konfigurieren. Geben Sie auf der Seite Endpunkt konfigurieren alle Details ein und klicken Sie auf Senden.
   4. Klicken Sie auf Weiter.
5. Klicken Sie auf Insights hinzufügen und wählen Sie auf der Registerkarte Funktion auswählen je nach den Tabellen, die Sie in Microsoft Azure hinzugefügt haben, die Funktionen aus, die Sie exportieren möchten, und klicken Sie auf Ausgewählte hinzufügen und dann auf Weiter.
6. Auf der Registerkarte Instanz auswählen können Sie entweder Alle Instanzen auswählen oder Benutzerdefinierte Auswahl wählen und dann auf Weiter klicken.
   • Alle Instanzen auswählen – Exportiert Daten von allen NetScaler-Instanzen nach Microsoft Sentinel.
   • Benutzerdefinierte Auswahl – Ermöglicht Ihnen die Auswahl der NetScaler-Instanzen aus der Liste. Wenn Sie bestimmte Instanzen aus der Liste auswählen, werden die Daten nur von den ausgewählten NetScaler-Instanzen nach Microsoft Sentinel exportiert.
7. Klicken Sie auf Senden.

Protokolle in Microsoft Azure anzeigen

1. Navigieren Sie in Ihrem Azure-Portal zu Ihrem Log Analytics Workspace.
2. Klicken Sie auf Logs, geben Sie den Tabellennamen an und klicken Sie auf Run, um die Ergebnisse anzuzeigen.