Integration mit Microsoft Sentinel

Question

Integration mit Microsoft Sentinel

Ferenc Margl

Aktualisiert 10. November 2023 15:28

Accepted Answer

Das Feature ist verfügbar ✔️ für:
Rollen: Lizenz-Eigentümer
Lizenzen: Enterprise

In diesem Artikel werden wir die folgenden Themen abdecken:

📝 Anmerkung: Bevor Sie die SIEM-Integration in Ihrem Tresorit-Abonnement aktivieren, müssen Sie den Vertrag zur Auftragsdatenverarbeitung (DPA) unterschreiben, den Sie unter dem Rechnungen-Tab in Ihrem Admin-Center finden.

Mit der Integration für SIEM-Anbieter leiten wir eine Auswahl an Ereignissen (Events) an den unserem Kunden zugeordneten Anbieter weiter. Die Ereignisse können während der Konfiguration im Einstellungen-Tab Ihres Admin-Centers ausgewählt werden. Die erforderlichen Events können bearbeitet werden.

Momentan verfügbare Event-Gruppen:

Nutzeraktivität (z. B. Ereignisse in Bezug auf An- und Abmeldung)
Admin-Aktivität (z. B. Einrichtung von Integrationen, Richtlinienbearbeitungen)
Nutzermanagement (z. B. Aktionen bezüglich Einladungen, Sperrungen und Löschungen)

Bitte beziehen Sie sich auf die detaillierten Informationen zu Events in der untenstehenden Dokumentation.

Zusätzliche Informationen und Einschränkungen

Wir bieten keine Protokolle im Format für das erweiterte Sicherheitsmodell (Advanced Security Information Model, ASIM), sondern in einem benutzerdefinierten Format, welches im letzten Abschnitt dieses Artikels dokumentiert wird
Bestimmte Aktionen können im Auftrag des Kunden vom Tresorit Support ausgeführt werden. In diesem Fall wird in das ActorUserEmail-Feld des Ereignisses der Wert support@tresorit.com eingetragen und alle weiteren Felder für Akteurtypen bleiben leer.
Diese Protokolle werden nicht langfristig auf den von Tresorit verwendeten Speicherservern gespeichert. Wir empfehlen daher, diese Daten in Sentinel oder über einen Drittanbieter in einem sonstigen Speicher zu speichern.

Schritte für die Einrichtung

Sie werden sich in Ihrem Microsoft-Konto anmelden müssen, um Ihre Workspace ID für Sentinel und einen gemeinsam verwendeten Schlüssel für die Integration angeben zu können.

1. Melden Sie sich als Lizenzeigentümer in Ihrem Tresorit-Konto an und gehen Sie im Admin-Center zum Einstellunge-Tab.

2. Klicken Sie im Abschnitt SIEM-Integration auf Aktivieren.

3. Falls die Vereinbarung zur Datenverarbeitung (DPA) noch nicht in Ihrem Konto unterschrieben wurde, werden Sie dazu aufgefordert werden, den Signaturprozess über den Rechnungen-Tab zu beginnen.

4. Sie benötigen zwei bestimmte Werte, um die Integration mit Ihrem Sentinel-Workspace einzurichten: Workspace ID und Shared Key.

Öffnen Sie den von Sentinel verwendeten „Log Analytics“-Workspace und gehen Sie zu Agents Management. Sie werden die Workspace ID und die Primär- und Sekundärschlüssel unter Anleitungen für den Log Analytics Agent finden. Jeder dieser Schlüssel kann als Ihr gemeinsam genutzter Schlüssel verwendet werden.

5. Wählen Sie die erforderlichen Events aus der Liste verfügbarer Events aus. Untenstehend finden Sie die detaillierte Event-Dokumentation.

Event-Dokumentation

Key-Value Paare

Die möglichen Werte der Keys, die beim Einrichten der Integrationen angezeigt werden, sind in den folgenden Tabellen dokumentiert.

User Activity Ereignisse

Option während der Einrichtung	Value
`LoginLogout`	`Login` `Logout`
`DeviceRegisterRevoke`	`DeviceRegister` `DeviceRevoke`
`Signup`
`PasswordChange`	`Passwordchange`
`TwoFactorSettings`	`TwoFactorEnable` `TwoFactorDisable` `TwoFactorOptionConfig`
`DomainInviteResponse`	`DomainInviteAccept` `DomainInviteDecline`
`AdvancedControlAccept`	`AdvancedControlAccept`

Domain User Management Ereignisse

Option during the setup	Values
`DomainUserAddRemove`	`UserInvite` `UserAutoAdd` `UserRemove` `UserWipe`
`DataOwnershipTransfer`	`DataOwnershipTransfer`
`DomainUserSuspension`	`UserSuspend` `UserUnsuspend`
`DomainUserRoleChange`	`RoleChange`
`PolicyAssign`	`PolicyAssign`
`PasswordReset`	`PasswordReset`
`DomainUserTwoFactorSettings`	`TwoFactorDisable`
`DomainUserDeviceRevoke`	`DeviceRevoke`

Admin Activity Ereignisse

Option during the setup	Values
`AdvancedControlSettings`	`AdvancedControlEnable` `AdvancedControlDisable`
`SSOSettings`	`SSOEnable` `SSODisable`
`SCIMSettings`	`SCIMEnable` `SCIMDisable`
`CompanyNameEdit`	`CompanyNameEdit`
`DomainCustomization`	`DomainCustomization`
`ADConnectorApiKeyManagement`	`GenerateADConnectorAPIKey` `RemoveADConnectorAPIKey`
`EmailDomainVerificationSettings`	`AddVerifiedEmailDomain` `RemoveVerifiedEmailDomain` `SetVerifiedEmailDomainRule`
`PolicySettings`	`NewPolicyTemplate` `DeletePolicyTemplate` `ModifyPolicyTemplate`
`SubscriptionChange`	`ModifySubscription`
`CustomDomainLinkSettings`	`EnableCustomDomainLinks` `DisableCustomDomainLinks`

Felder für häufige Ereignisse (Common Events)

Die in der untenstehenden Tabelle erscheinenden Felder treten für alle Tresorit-Ereignisschemas häufig auf. Sämtliche in den exakten Unterschemas spezifizierten Richtlinien (z. B. Authentifizierung) heben das Allgemeine Ereignisschema (Common Event Schema) für das Feld auf. So kann ein Feld beispielsweise allgemein optional, aber für ein bestimmtes Schema obligatorisch sein.

Field	Class	Type	Possible values / Format	Description
EventSchemaVersion	Mandatory	String	`{major}.{minor}.{patch}`	We use SemVer for versioning schema variants. Each time a schema is edited, a new version is created, but the original schema remains intact for future use. example: `1.0.0`
EventType	Mandatory	Enumerated	`Authentication` `DomainUserManagement` `UserActivity` `AdminActivity`	Describes the operation reported by the record.
EventSubType	Mandatory	Enumerated (defined for each event type)	Value depends on the EventType field.	Describes a subdivision of the operation reported in the `EventType` field. Each event type schema (based on the `EventType` field) documents the list of values valid for this field.
EventTimestamp	Mandatory	Datetime	`{ISO-8601 formatted timestamp}`	The time the event was generated by the reporting device. example: `2020-03-17T23:49:31.000Z`
EventResult	Mandatory	Enumerated	`Success` `Failure` `Partial`	Result of the event.
EventResultDetails	Recommended	Dynamic (defined for each event type)		Each schema (based on the `EventSubType` and `EventResult` field) documents the list of values valid for this field.
ActorUserId	Recommended	String	`{uuid_v4}`	Unique identifier of the user. example: `1747c909-dd63-468d-aeb4-4ba5a70173a2`
ActorUserEmail	Mandatory	String	`{email address}`	Email of the user. example: `eve.barrows@tresorit.com` (Contains support@tresorit.com if action was performed by Tresorit Support. In this case all other actor user related fields are empty.)
ActorUserFirstName	Recommended	String	`{first name}`	First name of the user. example: `Eve`
ActorUserLastName	Recommended	String	`{last name}`	Last name of the user. example: `Barrows`
ActorUserRole	Recommended	Enumerated	`Owner` `Co-Owner` `Administrator` `Member`	Set of permissions for actions available for the actor user.
ActorSessionId	Recommended	String	`[a-z0-9]{64}`	The logged in user’s unique session identifier. `SHA256("TresoritSIEM" + {SessionId})` example: `SHA256("TresoritSIEM" + "RpIs6SFt72x46p48Nb1YtRA1Rc8NuLdW12yrjEgZpp2u7NidEZ1yVI2BiSE7FarZ")` = `25ba12ad6de1f7eda632e03ad6854646d01e688c00f25d20a24ed126e74cf27d`
ActorUserDomainId	Recommended	String	`{uuid_v4}`	Domain GUID
ActorUserDomainName	Recommended	String		Organisation name of the subscription domain.
ActorUserIsExternal	Mandatory	Bool	`true` `false`	`true` if the user is not part of the subscription domain to which the SIEM event log belongs
ActorDeviceName	Recommended	String	`{device name}`	Name of the device or web session from which the event originates. examples: `bp1-mobosx-4159` `Chrome on Mac`
ActorDeviceId	Recommended	String	`[a-zA-Z0-9]{32}`	The unique identifier of the device. example: `wQeJ7fGGrIb3DyZhlha3rtw29hdakv88`
ActorDeviceType	Recommended	Enumerated	`Web` `NativeDesktop` `NativeMobile`	Event originates from: `Web`: https://web.tresorit.com `NativeDesktop`: Tresorit for Windows Tresorit for MacOs Tresorit for Linux `NativeMobile`: Tresorit for Android Tresorit for iOS
ActorDevicePlatform	Recommended	Enumerated	Device OS: `Windows` `macOS` `iOS` `Android` `Linux`	Platform name of the device which from the event originates.
ActorDeviceIpAddress	Recommended	IP address	`{ipv4}`	IP address of the device from which the event originates. Example: `45.21.42.12`
ClientAgent	Recommended	String	`{ClientVersionNumber}({ClientType}; {ClientId})`	Tresorit specific client agent information. Parameters: `ClientVersionNumber`: `A.B.C.D` `ClientType`: `Web-Client-JS-Release` `Linux-Desktop-x64-Release` etc. ClientId: `[A-Z0-9]{40}` examples: `3.16.302.0 (Web-Client-JS-Release; 038AB8D5A77B6821125B7DE360F1A5A8CA9CDF31)` `4.10.8.3220 (Linux-Desktop-x64-Release; 038AB8D5A77B6821125B7DE360F1A5A8CA9CDF31)`
HttpUserAgent	Recommended	String	`User-Agent: {BrowserInformation} ({SystemInformation}) {platform} ({platform-details}) {extensions}`	HTTP user agent used in the original backed request. Web client example: `User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36` Native client example: `Tresorit/3.5.2441.3270 (MacOSX-Desktop-ARM64-Release; 12FA7074ABDE9653597B8D18AA8BB8A478016343)`
GeolocationCountry	Recommended	String		Approximate location* based on IP address from which the event originates. example: `Canada` * The accuracy of geolocation may vary.
GeolocationRegion	Recommended	String		Approximate location* based on IP address from which the event originates. example: `Quebec` * The accuracy of geolocation may vary.
GeolocationCity	Recommended	String		Approximate location* based on IP address from which the event originates. example: `Montreal` * The accuracy of geolocation may vary.
GeolocationLongitude	Recommended	Longitude		Latitude and longitude are angles that uniquely define a place* on Earth. example: `19.040236` * The accuracy of geolocation may vary.
GeolocationLatitude	Recommended	Latitude		Latitude and longitude are angles that uniquely define a place* on Earth. example: `47.497913` * The accuracy of geolocation may vary.
AdditionalFields	Optional	Dynamic		Extra information about the event in custom JSON format.

Felder für Authentication-Ereignissen

Field	Class	Type	Possible values / Format	Description
EventSubType	Mandatory	Enumerated	`Login` `Logout` `DeviceRegister` `DeviceRevoke` `DomainVerifiedSignup` `SignupViaInvitation`	Describes a subdivision of the operation `Authentication`. Each schema (based on the `EventType` field) documents the list of values valid for this field.
EventResultDetails	Recommended	Enumerated	`WrongPassword` `IpPolicyConflict` `ClientLocationPolicyConflict` `ClientPlatformPolicyConflict` `UserIsDisabledByPolicy` `ServiceUnavailableInCountry` empty if EventResult is `Success`	Additional information about the result of the `Authentication` event.
LoginMethod	Optional	Enumerated	`Password` `TwoFactor` `Sso`	The authenticate method used by the user. Mandatory if the `EventSubType` is `Login`.
RevokeMode	Optional	Enumerated	`CertRevoke` `CertRevokeWithDeviceWipe` (best effort)	Whether or not to delete synchronized folders and files from the device. Mandatory if the `EventSubType` is `DeviceRevoke`.
TargetDeviceName	Optional	String		Name of the device being registered or revoked. Mandatory if the `EventSubType` is `DeviceRegister` or `DeviceRevoke`.
TargetDeviceId	Optional	String		Unique identifier of the device being registered or revoked. Mandatory if the `EventSubType` is `DeviceRegister` or `DeviceRevoke`.
TargetDeviceType	Optional	Enumerated	`Web` `NativeDesktop` `NativeMobile`	Type of the device being registered or revoked. Mandatory if the `EventSubType` is `DeviceRegister` or `DeviceRevoke`. `Web`: Web Access - Tresorit `NativeDesktop`: Tresorit for Windows Tresorit for MacOs Tresorit for Linux `NativeMobile`: Tresorit for Android Tresorit for iOS
TargetDevicePlatform	Optional	Enumerated	Device OS: `Windows` `MacOs` `IOs` `Android` `Linux`	Platform name of the target device.

Felder für UserActivity-Ereignissen

Field Class Type Possible values/Format Description

EventSubType

Mandatory

Enumerated

PasswordChange
TwoFactorEnable
TwoFactorDisable
TwoFactorOptionConfig
DomainInviteAccept
DomainInviteDecline
AdvancedControlAccept

Describes a subdivision of the operation User.

Each schema (based on the EventType field) documents the list of values valid for this field.

* These properties will not be filled in case of a normal PasswordChange: ActorDevicePlatform, ActorSessionId, ActorDeviceName, ActorDeviceId, ActorDeviceType

EventResultDetails

Recommended

String

We use the AdditionalFields field instead.

Felder für AdminActivity-Ereignissen