Met de Microsoft Sentinel-integratie van PowerDMARC kunt u uw e-mailverificatie- en domeinbeveiligingsgegevens naadloos rechtstreeks in uw Sentinel-werkruimte opnemen en controleren. Door gebruik te maken van de PowerDMARC API kunnen organisaties een gestroomlijnde SIEM-integratie bouwen zonder complexe configuraties. Ze hoeven alleen maar verbinding te maken, het programma uit te voeren en krijgen dan centraal inzicht in hun e-mailbeveiliging voor alle domeinen.
De gids richt zich bewust op configuratie en invoer. Sentinel-dashboards/werkboeken vallen buiten het bestek.
API-documentatie:
Swagger-documentatie: https://app.powerdmarc.com/swagger-ui/index.html
Alternatieve documentatie: https://api.powerdmarc.com/
Let op:
De naamgevingsconventie is niet beperkt tot de conventies die in deze documentatie worden vermeld.
Overzicht architectuur
Voor dit voorbeeld gebruiken we het auditlog-eindpunt voor testdoeleinden en ter illustratie.
PowerDMARC API-
↓
Azure Logic App (gepland)
↓
Azure Log Analytics Workspace
↓
Microsoft Sentinel (Analytics, Incidents, Hunting)
Sentinel ontvangt geen gegevens rechtstreeks. Het leest gegevens uit de Log Analytics-werkruimte.
Vereisten
Zorg ervoor dat u, voordat u begint, beschikt over:
· Azure-abonnement met toestemming om aan te maken:
o Resourcegroepen
o Log Analytics-werkruimten
o Logic Apps (Consumption) (dit werd geselecteerd als voorkeur voor onze testomgeving)
o Microsoft Sentinel
· A PowerDMARC API Bearer Token met toestemming voor toegang tot Auditlogboeken
Azure-bronnen instellen
Resourcegroep maken
1. Azure Portal → Een resource maken → Resourcegroep
2. Naam: rg-powerdmarc-sentinel
3. Regio: kies uw voorkeursregio (houd dit consistent)
Log Analytics-werkruimte maken
1. Azure Portal → Een resource maken → Log Analytics-werkruimte
2. Naam: law-powerdmarc-sentinel
3. Resource Group: rg-powerdmarc-sentinel
4. Regio: hetzelfde als de resourcegroep
Na het aanmaken: - Open de werkruimte - Bevestig Logboeken mes opent met succes
Microsoft Sentinel inschakelen
1. Azure Portal → Microsoft Sentinel
2. Klik + Maken
3. Selecteer werkruimte: law-powerdmarc-sentinel
4. Klik Toevoegen
Voor deze integratie zijn geen dataconnectoren nodig.
Logica-app maken
Logica-app maken (verbruik)
1. Azure Portal → Een resource maken → Logic App (Consumptie)
2. Naam: la-powerdmarc-sentinel
3. Resource Group: rg-powerdmarc-sentinel
4. Regio: hetzelfde als werkruimte
Trigger toevoegen – Herhaling (optioneel)
1. Open Logic App → Logic App Designer
2. Kies Herhaling trigger
PowerDMARC API-aanroep
5.1 HTTP-actie toevoegen
Actie toevoegen → HTTP
Methode: GET
URI: https://app.powerdmarc.com/api/v1/audit-logs
Headers: Authorization: Bearer <POWERDMARC_API_TOKEN>
Accepteren: application/json
Queryparameters: Van & Naar (Dit zijn vereiste parameters voor de Auditlog-API. Raadpleeg de PowerDMARC API-documentatie om de indeling te bekijken)
Sla de Logic App na deze stap op.
JSON-antwoord parseren
Actie JSON parseren toevoegen
Actie toevoegen → JSON parseren
Inhoud - Selecteer Body uit de HTTP-actie (Dynamische inhoud)
Schema Gebruik "Gebruik voorbeeldpayload om schema te genereren" en plak: (Dit kan worden overgenomen uit de voorbeelden in de PowerDMARC API-documentatie):
{
"data": [
{
"user_name": "John Doe",
"action": "Updated attached domains",
"ip_address": "12.111.67.123",
"a_username": null,
"other": null,
"created_at": "2025-06-06 14:29:24"
}
]
}
Sla de Logic App op.
Loop door auditlogboekvermeldingen
De PowerDMARC API retourneert een array met auditgebeurtenissen. Elke gebeurtenis moet afzonderlijk naar Log Analytics worden verzonden.
Toevoegen Voor elke actie
Actie toevoegen → Voor elke
Selecteer uitvoer uit vorige stappen (Uitdrukking):@body('Parse_JSON')?['data']
Gegevens naar Log Analytics verzenden
Actie 'Gegevens verzenden' toevoegen
Binnen de Voor elk blok:
Actie toevoegen → Gegevens verzenden (Azure Log Analytics)
Log Analytics-verbinding maken
Wanneer daarom wordt gevraagd:
Verbindingsnaam: powerdmarc-loganalytics
Werkruimte-ID: vanuit Log Analytics-werkruimte → Overzicht
Werkruimte-sleutel: Primaire sleutel van:
Log Analytics-werkruimte → Instellingen → Agents → Log Analytics-agent (klassiek)
Gegevensconfiguratie verzenden
JSON-verzoektekst (Uitdrukking):@items('For_each')
Aangepaste logboeknaam: PowerDMARCAuditLog
Sla de Logic App op.
Validatie van invoer
Logica-app uitvoeren
1. Klik Uitvoeren
2. Open Geschiedenis uitvoeren
3. Bevestig alle stappen Geslaagd
o HTTP
o Parseer JSON
o Voor elke (iteraties > 0)
o Gegevens verzenden
Gegevens verifiëren in Log Analytics / Sentinel
Ga naar: Microsoft Sentinel → Logboeken
KQL-query uitvoeren:
PowerDMARCAuditLog_CL
| sorteer op TimeGenerated desc
| neem 20
Verwacht resultaat
Op dit moment: - PowerDMARC-auditlogboeken worden opgenomen in Azure - Microsoft Sentinel kan: - De gegevens opvragen - Analysesregels maken - Incidenten genereren - Onderzoeken en speurwerk ondersteunen