Skip to main content
NetApp Ransomware Resilience
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Configura Microsoft Sentinel SIEM en NetApp Ransomware Resilience

Colaboradores netapp-ahibbard
PDF

NetApp Ransomware Resilience ofrece compatibilidad nativa con la gestión de información y eventos de seguridad (SIEM) con Microsoft Sentinel. Al conectar Ransomware Resilience a Microsoft Sentinel, puedes enviar automáticamente datos de eventos para el análisis y la detección de amenazas y así optimizar la protección contra el ransomware y la gestión de eventos.

Configurar Microsoft Sentinel para la detección de amenazas

Conectar Microsoft Sentinel requiere realizar ciertos pasos en el portal de Azure.

Activar Microsoft Sentinel

Pasos

  1. En Microsoft Sentinel, crea un espacio de trabajo de Log Analytics.

  2. "Habilita Microsoft Sentinel para que utilice el espacio de trabajo de Log Analytics que has creado."

Crear una función personalizada en Microsoft Sentinel

Pasos

  1. En el portal de Azure, ve a Subscription > Access control (IAM).

  2. Crea un rol personalizado. Para el Custom role name, introduce "NetApp Ransomware Resilience Sentinel Configurator".

  3. Copia el siguiente JSON y pégalo en la pestaña JSON, sustituyendo {subscription_id} por el ID de la suscripción de Azure donde vas a asignar el rol.

    {
  "properties": {
    "roleName": "NetApp Ransomware Resilience Sentinel Configurator",
    "description": "",
    "assignableScopes": [
      "/subscriptions/{subscription_id}"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.Insights/dataCollectionEndpoints/write",
          "Microsoft.Insights/dataCollectionEndpoints/read",
          "Microsoft.OperationalInsights/workspaces/sharedKeys/action",
          "Microsoft.Insights/dataCollectionRules/write",
          "Microsoft.Insights/dataCollectionRules/read",
          "Microsoft.OperationalInsights/workspaces/tables/operationresults/read",
          "Microsoft.OperationalInsights/workspaces/tables/read",
          "Microsoft.OperationalInsights/workspaces/tables/write",
          "Microsoft.OperationalInsights/workspaces/read",
          "Microsoft.OperationalInsights/workspaces/write",
          "Microsoft.OperationalInsights/workspaces/listKeys/action",
          "Microsoft.Resources/subscriptions/read",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Resources/subscriptions/resourceGroups/write",
          "Microsoft.Resources/deployments/write",
          "Microsoft.Resources/deployments/read",
          "Microsoft.Resources/deployments/operationStatuses/read",
          "Microsoft.Resources/subscriptions/resourceGroups/deployments/write",
          "Microsoft.Resources/subscriptions/resourceGroups/deployments/read",
          "Microsoft.Resources/subscriptions/resourceGroups/deployments/operationStatuses/read",
          "Microsoft.Authorization/roleAssignments/read",
          "Microsoft.Authorization/roleAssignments/write",
          "Microsoft.Authorization/roleAssignments/delete",
          "Microsoft.Authorization/roleDefinitions/read",
          "Microsoft.Resources/deployments/operations/read",
          "Microsoft.Resources/deployments/read",
          "Microsoft.Resources/deployments/write",
          "Microsoft.Resources/resources/read",
          "Microsoft.Resources/subscriptions/operationresults/read",
          "Microsoft.Resources/subscriptions/resourceGroups/delete",
          "Microsoft.Resources/subscriptions/resourceGroups/read",
          "Microsoft.Resources/subscriptions/resourcegroups/resources/read",
          "Microsoft.Resources/subscriptions/resourceGroups/write",
          "Microsoft.Resources/subscriptions/resourcegroups/deployments/read",
          "Microsoft.Resources/subscriptions/resourcegroups/deployments/write",
          "Microsoft.Resources/subscriptions/resourcegroups/deployments/operations/read",
          "Microsoft.Resources/subscriptions/resourcegroups/deployments/operationstatuses/read",
          "Microsoft.Resources/subscriptions/locations/read",
          "Microsoft.SecurityInsights/alertRules/write",
          "Microsoft.SecurityInsights/alertRules/read",
          "Microsoft.SecurityInsights/alertRules/actions/write",
          "Microsoft.SecurityInsights/alertRules/actions/read",
          "Microsoft.OperationalInsights/workspaces/search/action",
          "Microsoft.OperationalInsights/workspaces/rules/read",
          "Microsoft.OperationalInsights/workspaces/sharedkeys/action",
          "Microsoft.OperationalInsights/workspaces/customfields/action",
          "Microsoft.OperationalInsights/workspaces/analytics/query/action",
          "Microsoft.OperationalInsights/workspaces/api/query/schema/read",
          "Microsoft.OperationalInsights/workspaces/datasources/read",
          "Microsoft.OperationalInsights/workspaces/metricDefinitions/read",
          "Microsoft.OperationalInsights/workspaces/schema/read",
          "Microsoft.OperationalInsights/workspaces/tables/query/read",
          "Microsoft.OperationalInsights/workspaces/providers/Microsoft.Insights/logDefinitions/read",
          "Microsoft.OperationalInsights/workspaces/sharedkeys/read",
          "Microsoft.OperationalInsights/workspaces/operations/read",
          "Microsoft.OperationalInsights/workspaces/query/read"
        ],
        "notActions": [],
        "dataActions": [],
        "notDataActions": []
      }
    ]
  }
}

  4. Revise y guarde su configuración.

Registrar NetApp Ransomware Resilience en Microsoft Entra ID

Pasos

  1. En el portal de Azure, selecciona Entra ID > Aplicaciones > Registros de aplicaciones.

  2. En el campo Nombre para mostrar de la aplicación, escribe «NetApp ransomware resilience».

  3. En el campo Tipo de cuenta compatible, seleccione Solo cuentas en este directorio organizacional.

  4. Seleccione Revisar.

  5. Seleccione Registrarse para guardar su configuración.

    Después del registro, el centro de administración de Microsoft Entra muestra el panel Descripción general de la aplicación.

Crea un secreto de cliente para el registro de la aplicación

  1. En el portal de Azure, selecciona Certificados y secretos > Secretos de cliente > Nuevo secreto de cliente.

  2. Agregue una descripción para el secreto de su aplicación.

  3. Selecciona una fecha de caducidad para el secreto o especifica una duración personalizada.

    Consejo La vigencia de un secreto de cliente está limitada a dos años (24 meses) o menos. Microsoft recomienda establecer un plazo de caducidad inferior a 12 meses.

  4. Seleccione Agregar para crear su secreto.

  5. Anota el secreto para utilizarlo en un paso de autenticación posterior. Esta es tu única oportunidad de ver el secreto; no volverá a mostrarse una vez que salgas de la página.

Añade roles en Azure y autentica Microsoft Sentinel en Ransomware Resilience

En el caso del SIEM de Microsoft Sentinel, puedes optar por una implementación automática en la que Ransomware Resilience implemente los recursos en función de los permisos que tú le proporciones. Como alternativa, puedes realizar una implementación manual en la que implementas los recursos basándote en una plantilla ARM proporcionada. Ambas opciones requieren que configures los permisos en el portal de Azure y luego autentiques la conexión en Ransomware Resilience, aunque los pasos son diferentes. Elige el flujo de trabajo que mejor se adapte a tus necesidades.

Implementación automática
Configura permisos en el portal de Azure

  1. En el portal de Azure, selecciona Subscription > Control de acceso (IAM).

  2. Seleccione Agregar > Agregar asignación de rol.

  3. En el campo Roles de administrador con privilegios, selecciona el rol NetApp Ransomware Resilience Sentinel Configurator que creaste antes.

  4. Seleccione Siguiente.

  5. En el campo Asignar acceso a, seleccione Usuario, grupo o entidad de servicio.

  6. Selecciona Select Members y luego NetApp Ransomware Resilience.

  7. Seleccione Siguiente.

  8. En el campo Qué puede hacer el usuario, seleccione Permitir al usuario asignar todos los roles excepto los roles de administrador privilegiado Propietario, UAA, RBAC (recomendado).

  9. Seleccione Siguiente.

  10. Seleccione Revisar y asignar para asignar los permisos.

Autentica Microsoft Sentinel en NetApp Ransomware Resilience

  1. En Ransomware Resilience, selecciona Configuración en la barra lateral.

  2. En la página de Configuración, selecciona Conectar en el mosaico de conexión de SIEM y luego elige Microsoft Sentinel en el menú desplegable.

    Captura de pantalla de las opciones de conexión de SIEM

  3. Selecciona Automático como método de implementación.

  4. Revisa las secciones Requisitos previos, Inscripción y Permisos para asegurarte de que has completado correctamente cada paso.

  5. Expande la sección Autenticación.

    1. Introduce el ID del directorio (tenant), el ID de la aplicación (tenant) y el client secret. Selecciona Authenticate y espera a que la interfaz de usuario confirme que las credenciales se han autenticado para continuar.

    2. Selecciona el ID de suscripción, el grupo de recursos y el espacio de trabajo de Log Analytics a los que quieras enviar los datos de SIEM.

  6. Selecciona Conectar para comenzar a enviar datos SIEM.

Despliegue manual
Implementa la plantilla de ARM

  1. En Ransomware Resilience, selecciona Configuración en la barra lateral.

  2. En la página de Configuración, selecciona Conectar en el mosaico de conexión de SIEM y luego elige Microsoft Sentinel en el menú desplegable.

    Captura de pantalla de las opciones de conexión de SIEM

  3. Selecciona Manual como método de implementación.

  4. Revisa las secciones Requisitos previos, Inscripción e Implementación de la plantilla ARM para asegurarte de que has completado correctamente cada paso.

  5. Despliega la sección ARM Template Deployments.

  6. Asigna el rol de Monitoring Metrics Publisher.

    1. En tu suscripción de Azure, ve a Control de acceso (IAM).

    2. Selecciona Add role assignment.

    3. Busca y selecciona Monitoring Metrics Publisher.

    4. Agrega la asignación de rol a la entidad de servicio del registro de la aplicación creado en el paso de registro.

    5. Revisar + asignar.

  7. Vuelve a «Resiliencia frente al ransomware». Copia el JSON de la plantilla de ARM para crear la tabla personalizada de Log Analytics, el punto final de recopilación de datos (DCE), la regla de recopilación de datos (DCR) y las reglas de análisis de Sentinel en tu entorno de Azure.

  8. En el portal de Azure, busca Implementar una plantilla personalizada.

  9. Selecciona Crear tu propia plantilla en el editor.

  10. Pega el JSON copiado en el editor. Selecciona Guardar.

  11. Introduce el nombre del espacio de trabajo, que es el nombre de tu espacio de trabajo de Log Analytics. Puedes encontrarlo en la página de resumen del espacio de trabajo en el portal de Azure.

  12. Selecciona Revisar + crear. Revisa las selecciones y luego selecciona Crear para implementar.

  13. Después de la implementación, recopila la siguiente información para la autenticación en Ransomware Resilience:

    • Punto final de ingestión de registros: abre el recurso Data Collection Endpoint (rps-alerts-dce) y copia el valor de Logs Ingestion que aparece en la página de resumen.

    • ID inmutable de la DCR: abre el recurso Data Collection Rule (rps-alerts-dcr) y copia el ID inmutable que aparece en la página de resumen.

Autentica Microsoft Sentinel en NetApp Ransomware Resilience

  1. Vuelve a la ventana de configuración de SIEM de NetApp Ransomware Resilience.

  2. Expande la sección Autenticación.

    1. Introduce el ID del directorio (tenant), el ID de la aplicación (tenant) y el client secret. Selecciona Authenticate y espera a que la interfaz de usuario confirme que las credenciales se han autenticado.

    2. Introduce el punto de conexión de ingestión de registros y el DCR immutable ID que copiaste antes.

  3. Selecciona Conectar para crear la conexión.

Próximos pasos