收集適用於端點的 Microsoft Defender 記錄

本文說明如何設定 Google Security Operations 資訊提供，以收集 Microsoft Defender for Endpoint 記錄檔，以及記錄檔欄位如何對應至 Google SecOps 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料擷取至 Google SecOps」。

一般部署作業包括 Microsoft Defender for Endpoint，以及設定為將記錄傳送至 Google SecOps 的 Google SecOps 資訊提供。您的部署作業可能與本文所述的典型部署作業不同。部署作業包含下列元件：

• 適用於端點的 Microsoft Defender：收集記錄檔的平台。

• Azure 儲存體：用於儲存記錄的平台。

• Google SecOps 資訊提供：從 Microsoft Defender for Endpoint 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 資訊提供。

• Google SecOps：這個平台會保留及分析 Microsoft Defender for Endpoint 的記錄。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 MICROSOFT_DEFENDER_ENDPOINT 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• 部署架構中的所有系統都已設定為世界標準時間時區。
• 您符合使用 Microsoft Defender for Endpoint 的必要條件。詳情請參閱「Microsoft Defender XDR 先決條件」。
• 已設定適用於端點的 Microsoft Defender
• 租戶中已設定的儲存空間帳戶

設定適用於端點的 Microsoft Defender

1. 以全域管理員或安全性管理員身分登入 security.microsoft.com。
2. 按一下左窗格中的「設定」。
3. 選取「Microsoft Defender XDR」分頁標籤。
4. 從一般部分選取「Streaming API」，然後按一下「新增」。
5. 選取「將事件轉送至 Azure 儲存空間」。
6. 前往所選儲存空間帳戶。
7. 依序選取「總覽」>「JSON 檢視」，然後輸入「資源 ID」。
8. 輸入資源 ID 後，請選取所有必要資料類型。
9. 按一下 [儲存]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給的名稱，例如「Microsoft Defender for Endpoint Logs」(Microsoft 端點防護記錄)。
5. 選取「Microsoft Azure Blob Storage」做為「來源類型」。
6. 選取「適用於端點的 Microsoft Defender」做為「記錄類型」。
7. 點選 [下一步]。
8. 設定下列輸入參數：
   • Azure URI：指向 Azure Blob 儲存體 Blob 或容器的 URI。
   • URI 是：URI 指出的物件類型。
   • 來源刪除選項：是否要在移轉後刪除檔案或目錄。
   • 選取「共用金鑰」或「SAS 權杖」。
   • 金鑰/權杖：用來存取 Azure 資源的共用金鑰或 SAS 權杖。
9. 依序點選「下一步」和「提交」。

如果擷取 Microsoft Defender for Endpoint 記錄時發生問題，請與 Google SecOps 支援團隊聯絡。

支援的 Microsoft Defender for Endpoint 記錄類型

Microsoft Defender for Endpoint 剖析器支援下列資料表：

支援的 Microsoft Defender for Endpoint 記錄格式

Microsoft Defender for Endpoint 剖析器支援 JSON 格式的記錄。

支援的適用於端點的 Microsoft Defender 記錄檔範例

• JSON：

  {
    "time": "2021-07-16T09:57:38.1599837Z",
    "tenantId": "ed236696-8612-40d7-8b49-xxxxxxxxxxx",
    "operationName": "Publish",
    "category": "AdvancedHunting-DeviceInfo",
    "properties": {
      "OSBuild": null,
      "RegistryDeviceTag": null,
      "IsAzureADJoined": null,
      "PublicIP": "198.51.100.0",
      "OSArchitecture": null,
      "OSVersion": null,
      "OSPlatform": null,
      "LoggedOnUsers": "[{\\"UserName\\":\\"bob\\",\\"DomainName\\":\\"DESKTOP-BOB\\",\\"Sid\\":\\"S-1-5-21-1695909852-106810125-1651530144-1001\\"}]",
      "AdditionalFields": "{\\"IsLocalLogon\\":true}",
      "DeviceObjectId": null,
      "DeviceId": "e93c25ad74cc1dd30afeb642696a2559824589e5",
      "MachineGroup": null,
      "Timestamp": "2021-07-16T09:54:41.0662159Z",
      "DeviceName": "desktop-dummy",
      "ReportId": 193010,
      "ClientVersion": "10.7431.19041.746"
    }
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Microsoft Defender for Endpoint 欄位對應至 Google Security Operations UDM 欄位。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - Common Fields for UDM Event Model

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型常見的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - UDM 實體模型的通用欄位

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型常見的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：DeviceEvents 事件 ID 對應至事件類型

下表列出 DeviceEvents 記錄動作類型和對應的 UDM 事件類型。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertInfo

下表列出 AlertInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceAlertEvents

下表列出 DeviceAlertEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

下表列出 DeviceFileCertificateInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceImageLoadEvents

下表列出 DeviceImageLoadEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceInfo

下表列出 DeviceInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceIdentityLogonEvents

下表列出 DeviceIdentityLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkEvents

下表列出 DeviceNetworkEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkInfo

下表列出 DeviceNetworkInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceProcessEvents

下表列出 DeviceProcessEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

下表列出 DeviceRegistryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGatheringKB

下表列出 DeviceTvmInfoGatheringKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessment

下表列出 DeviceTvmSecureConfigurationAssessment 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessmentKB

下表列出 DeviceTvmSecureConfigurationAssessmentKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareEvidenceBeta

下表列出 DeviceTvmSoftwareEvidenceBeta 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareInventory

下表列出 DeviceTvmSoftwareInventory 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilities

下表列出 DeviceTvmSoftwareVulnerabilities 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

下表列出 DeviceTvmSoftwareVulnerabilitiesKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailAttachmentInfo

下表列出 EmailAttachmentInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

下表列出 EmailPostDeliveryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailUrlInfo

下表列出 EmailUrlInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityInfo

下表列出 IdentityInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

後續步驟

• 將資料擷取至 Google SecOps

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。