Recolha registos do Microsoft Defender para pontos finais

Este documento descreve como pode recolher registos do Microsoft Defender for Endpoint configurando um feed do Google Security Operations e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Ingestão de dados no Google SecOps.

Uma implementação típica consiste no Microsoft Defender for Endpoint e no feed do Google SecOps configurado para enviar registos para o Google SecOps. A sua implementação pode ser diferente da implementação típica descrita neste documento. A implementação contém os seguintes componentes:

• Microsoft Defender for Endpoint: a plataforma que recolhe registos.

• Armazenamento do Azure: a plataforma que armazena registos.

• Feed do Google SecOps: o feed do Google SecOps que obtém registos do Microsoft Defender for Endpoint e escreve registos no Google SecOps.

• Google SecOps: a plataforma que retém e analisa os registos do Microsoft Defender for Endpoint.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento MICROSOFT_DEFENDER_ENDPOINT.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Todos os sistemas na arquitetura de implementação estão configurados com o fuso horário UTC.
• Cumpre os pré-requisitos para usar o Microsoft Defender para Ponto Final. Para mais informações, consulte os pré-requisitos do Microsoft Defender XDR.
• Microsoft Defender para pontos finais configurado
• Conta de armazenamento configurada no seu inquilino

Configure o Microsoft Defender para Ponto Final

1. Inicie sessão em security.microsoft.com como administrador global ou administrador de segurança.
2. No painel esquerdo, clique em Definições.
3. Selecione o separador Microsoft Defender XDR.
4. Selecione API Streaming na secção geral e clique em Adicionar.
5. Selecione Encaminhar eventos para o Azure Storage.
6. Navegue para a conta de armazenamento da sua escolha.
7. Selecione Vista geral > Vista JSON e introduza o ID do recurso.
8. Depois de introduzir o ID do recurso, selecione todos os tipos de dados necessários.
9. Clique em Guardar.

Configure feeds

Existem dois pontos de entrada diferentes para configurar feeds na plataforma Google SecOps:

• Definições do SIEM > Feeds > Adicionar novo
• Content Hub > Pacotes de conteúdo > Começar

Como configurar o feed do Microsoft Defender for Endpoint

1. Clique no pacote Microsoft Defender.
2. Localize o tipo de registo Microsoft Defender for Endpoint.

3. Especifique valores nos seguintes campos:

   • Source Type: Microsoft Azure Blob Storage V2.
   • URI do Azure: o URI que aponta para um blob ou um contentor do armazenamento de blobs do Azure.
   • Opção de eliminação da origem: se pretende eliminar ficheiros ou diretórios após a transferência.
   • Idade máxima do ficheiro: inclua ficheiros modificados no último número de dias. A predefinição é 180 dias.
   • Selecione Chave partilhada ou Token SAS.
   • Chave: a chave partilhada ou o token SAS para aceder aos recursos do Azure.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Espaço de nomes do recurso: espaço de nomes associado ao feed.
   • Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

4. Clique em Criar feed.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Tipos de registos do Microsoft Defender for Endpoint suportados

O analisador do Microsoft Defender for Endpoint suporta as seguintes tabelas:

Formatos de registos do Microsoft Defender for Endpoint suportados

O analisador do Microsoft Defender for Endpoint suporta registos no formato JSON.

Registos de exemplo do Microsoft Defender for Endpoint suportados

• JSON:

  {
    "time": "2021-07-16T09:57:38.1599837Z",
    "tenantId": "ed236696-8612-40d7-8b49-xxxxxxxxxxx",
    "operationName": "Publish",
    "category": "AdvancedHunting-DeviceInfo",
    "properties": {
      "OSBuild": null,
      "RegistryDeviceTag": null,
      "IsAzureADJoined": null,
      "PublicIP": "198.51.100.0",
      "OSArchitecture": null,
      "OSVersion": null,
      "OSPlatform": null,
      "LoggedOnUsers": "[{\\"UserName\\":\\"bob\\",\\"DomainName\\":\\"DESKTOP-BOB\\",\\"Sid\\":\\"S-1-5-21-1695909852-106810125-1651530144-1001\\"}]",
      "AdditionalFields": "{\\"IsLocalLogon\\":true}",
      "DeviceObjectId": null,
      "DeviceId": "e93c25ad74cc1dd30afeb642696a2559824589e5",
      "MachineGroup": null,
      "Timestamp": "2021-07-16T09:54:41.0662159Z",
      "DeviceName": "desktop-dummy",
      "ReportId": 193010,
      "ClientVersion": "10.7431.19041.746"
    }
  }
  

Referência de mapeamento de campos

Esta secção explica como o analisador do Google Security Operations mapeia os campos do Microsoft Defender for Endpoint para os campos UDM do Google Security Operations.

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - Common Fields for UDM Event Model

A tabela seguinte apresenta os campos de registo comuns para o tipo de registo MICROSOFT_DEFENDER_ENDPOINT e os respetivos campos da UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - Common Fields for UDM Entity Model

A tabela seguinte apresenta os campos de registo comuns para o tipo de registo MICROSOFT_DEFENDER_ENDPOINT e os respetivos campos da UDM:

Referência de mapeamento de campos: identificador de evento DeviceEvents para tipo de evento

A tabela seguinte apresenta os tipos de ações de registo DeviceEvents e os respetivos tipos de eventos da UDM.

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - AlertEvidence

A tabela seguinte lista os campos de registo para o tipo de registo AlertEvidence e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - AlertInfo

A tabela seguinte lista os campos de registo para o tipo de registo AlertInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceAlertEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceAlertEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

A tabela seguinte lista os campos de registo para o tipo de registo DeviceFileCertificateInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceImageLoadEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceImageLoadEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceFileEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceInfo

A tabela seguinte lista os campos de registo para o tipo de registo DeviceInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceIdentityLogonEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceIdentityLogonEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceLogonEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceNetworkEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceNetworkEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceNetworkInfo

A tabela seguinte lista os campos de registo para o tipo de registo DeviceNetworkInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceProcessEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceProcessEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmInfoGathering e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

A tabela seguinte lista os campos de registo para o tipo de registo DeviceRegistryEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGatheringKB

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmInfoGatheringKB e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessment

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSecureConfigurationAssessment e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessmentKB

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSecureConfigurationAssessmentKB e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareEvidenceBeta

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSoftwareEvidenceBeta e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareInventory

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSoftwareInventory e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilities

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSoftwareVulnerabilities e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

A tabela seguinte lista os campos de registo para o tipo de registo DeviceTvmSoftwareVulnerabilitiesKB e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - EmailAttachmentInfo

A tabela seguinte lista os campos de registo para o tipo de registo EmailAttachmentInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - EmailEvents

A tabela seguinte lista os campos de registo para o tipo de registo EmailEvents e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

A tabela seguinte lista os campos de registo para o EmailPostDeliveryEvents tipo de registo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - EmailUrlInfo

A tabela seguinte lista os campos de registo para o tipo de registo EmailUrlInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - IdentityInfo

A tabela seguinte lista os campos de registo para o tipo de registo IdentityInfo e os respetivos campos UDM:

Referência de mapeamento de campos: MICROSOFT DEFENDER ENDPOINT - CloudAppEvents

A tabela seguinte lista os campos de registo para o tipo de registo CloudAppEvents e os respetivos campos UDM:

O que se segue?

• Carregamento de dados para o Google SecOps

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.