如何在15分钟内部署GuardDuty-Sentinel-Integration从配置到验证的终极教程【免费下载链接】guardduty-sentinel-integration项目地址: https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integrationGuardDuty-Sentinel-Integration是一款强大的安全工具集成方案能够帮助您将AWS GuardDuty的安全发现无缝集成到Microsoft Sentinel中实现统一的安全监控与响应。本教程将带您快速完成从环境准备到部署验证的全过程让您在短短15分钟内即可启用这一强大的安全集成能力。准备工作部署前的快速检查在开始部署前请确保您的环境满足以下要求必备工具与权限工具准备安装Azure CLI2.30.0或更高版本、PowerShell7.0或更高版本推荐和Git权限要求拥有Log Analytics Contributor角色、资源组Reader角色以及在Microsoft Sentinel中创建和修改KQL函数的权限环境检查清单✅Microsoft Sentinel工作区已配置AWS S3连接器✅AWS GuardDuty已启用并将发现结果导出至S3✅网络连接确保能访问Azure和GitHub您可以通过以下命令快速验证Azure CLI是否已正确配置az account show az account list --query [].{Name:name, SubscriptionId:id, State:state}快速部署四步完成集成配置第一步克隆代码仓库2分钟首先使用Git克隆项目仓库到本地git clone https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integration cd guardduty-sentinel-integration克隆完成后验证项目文件结构是否完整ls -la kql/ ls -la deployment/第二步配置环境参数3分钟根据您的环境类型选择合适的参数文件开发环境cp deployment/parameters/dev.parameters.json deployment/parameters/my-dev.parameters.json生产环境cp deployment/parameters/prod.parameters.json deployment/parameters/my-prod.parameters.json编辑参数文件设置您的工作区名称和环境信息{ parameters: { workspaceName: { value: YOUR_WORKSPACE_NAME }, guardDutyTableName: { value: AWSGuardDuty }, rawDataColumn: { value: EventData }, environment: { value: prod } } }第三步部署KQL函数5分钟使用Azure CLI快速部署# 设置订阅 az account set --subscription your-subscription-id # 部署到生产环境 az deployment group create \ --resource-group your-resource-group \ --template-file deployment/deploy.bicep \ --parameters deployment/parameters/my-prod.parameters.json如果您偏好使用PowerShell可以执行# 连接到Azure Connect-AzAccount # 部署函数 New-AzResourceGroupDeployment -ResourceGroupName your-resource-group -TemplateFile deployment/deploy.bicep -TemplateParameterFile deployment/parameters/my-prod.parameters.json第四步验证部署结果5分钟运行自动化验证脚本检查部署是否成功./scripts/validate-deployment.ps1 -WorkspaceName your-workspace-name -ResourceGroupName your-resource-group -RunSmokeTests您还可以在Sentinel日志中运行以下KQL查询手动验证各个解析器// 测试配置函数 AWSGuardDuty_Config() // 测试主解析器 AWSGuardDuty_Main(1d) | take 5 // 测试网络解析器 AWSGuardDuty_Network(1d) | where isnotempty(RemoteIp) | take 5 // 测试IAM解析器 AWSGuardDuty_IAM(1d) | where isnotempty(ApiName) | take 5 // 测试ASIM规范化 AWSGuardDuty_ASIMNetworkSession(1d) | take 5常见问题快速解决问题1部署失败并显示权限错误解决方法检查当前用户是否拥有足够权限az role assignment list --assignee $(az account show --query user.name -o tsv) --scope /subscriptions/your-sub-id/resourceGroups/your-rg问题2函数已部署但返回空结果解决方法验证原始数据是否存在并检查列名是否正确// 检查原始表 AWSGuardDuty | take 10 // 检查列名 AWSGuardDuty | getschema问题3解析器返回错误或空结果解决方法测试JSON解析并检查数据质量// 测试JSON解析 AWSGuardDuty | extend ParsedJson parse_json(EventData) | where isnotempty(ParsedJson) | take 5后续优化建议成功部署后您可以进一步优化您的安全监控能力配置告警规则创建高优先级安全发现告警AWSGuardDuty_Main(5m) | where SeverityLevel Critical or SeverityLevel High | project EventTime, FindingType, Title, AwsAccountId, AwsRegion, Severity构建安全仪表板创建GuardDuty概览仪表板包含发现趋势时间线严重程度分布主要发现类型地理威胁地图设置自动响应集成Logic Apps实现自动响应为高严重性发现自动创建工单发送Slack/Teams通知向安全团队发送电子邮件告警维护与更新为确保集成持续有效建议执行以下定期任务每周查看数据质量指标检查新的GuardDuty发现类型验证连接器健康状态每月更新解析器函数如有需要审查和优化告警规则分析性能指标更新解析器函数时请先在开发环境测试验证无误后再部署到生产环境# 部署到开发环境测试 az deployment group create \ --resource-group dev-rg \ --template-file deployment/deploy.bicep \ --parameters deployment/parameters/dev.parameters.json通过本教程您已成功部署GuardDuty-Sentinel-Integration并了解了基本的验证和优化方法。如有更多问题请参考项目中的详细文档docs/deployment-runbook.md和docs/troubleshooting.md。【免费下载链接】guardduty-sentinel-integration项目地址: https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integration创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考