收集 Microsoft Defender for Identity 日志

本文档介绍了如何使用 Azure 存储将 Microsoft Defender for Identity 日志注入到 Google Security Operations。解析器会处理 JSON 日志，如果 JSON 解析失败，则会处理 CEF 格式的日志。它会提取字段，执行字符串转换、重命名和合并等数据转换，并将这些字段映射到统一数据模型 (UDM)，从而处理各种日志格式，并使用标签和身份验证详细信息等其他上下文信息来丰富数据。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 有效的 Azure 租户
• 对 Azure 的特权访问权限和管理安全角色

配置 Azure 存储账号

1. 在 Azure 控制台中，搜索存储账号。
2. 点击创建。
3. 为以下输入参数指定值：
   • 订阅：选择相应订阅。
   • 资源组：选择资源组。
   • 区域：选择相应区域。
   • 性能：选择性能类型（建议选择标准）。
   • 冗余：选择冗余类型（建议选择 GRS 或 LRS）。
   • 存储账号名称：输入新存储账号的名称。
4. 点击 Review + create（检查 + 创建）。
5. 查看账号概览，然后点击创建。
6. 在存储账号的概览页面上，依次选择安全性 + 网络中的子菜单访问密钥。
7. 点击 key1 或 key2 旁边的显示。
8. 点击复制到剪贴板以复制密钥。
9. 将密钥保存在安全的位置，以供日后参考。
10. 在存储账号的概览页面中，选择设置中的子菜单终结点。
11. 点击复制到剪贴板，复制 Blob 服务端点网址。（例如：https://<storageaccountname>.blob.core.windows.net）。
12. 将端点网址保存在安全的位置，以供日后参考。
13. 前往概览 > JSON 视图。
14. 复制并保存存储空间资源 ID。

为 Microsoft Defender for Identity 配置日志导出

1. 使用特权账号登录 Defender 门户。
2. 转到设置。
3. 选择 Microsoft Defender XDR 标签页。
4. 从“常规”部分中选择 Streaming API，然后点击添加。
5. 选择将事件转发到 Azure 存储空间。
6. 提供以下配置详细信息：
   • 名称：输入一个具有唯一性的有意义的名称。
   • 选择将事件转发到 Azure 存储空间。
   • 存储账号资源 ID：输入之前复制的 Azure 存储资源 ID。
   • 事件类型：同时选择提醒和行为以及设备。
7. 点击提交。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Defender Identity Logs）。
5. 选择 Microsoft Azure Blob Storage 作为来源类型。
6. 选择 Microsoft Defender for Identity 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • Azure URI：Blob 端点网址。

     ENDPOINT_URL/BLOB_NAME

     替换以下内容：

     • ENDPOINT_URL：Blob 端点网址。(https://<storageaccountname>.blob.core.windows.net)
     • BLOB_NAME：blob 的名称。（例如，insights-logs-<logname>）

   • URI is a：根据日志流配置选择（单个文件 | 目录 | 包含子目录的目录）。

   • 来源删除选项：根据您的偏好设置选择删除选项。

   • 共享密钥：Azure Blob Storage 的访问密钥。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• Azure URI：Blob 端点网址。

  ENDPOINT_URL/BLOB_NAME

  替换以下内容：

  • ENDPOINT_URL：Blob 端点网址。(https://<storageaccountname>.blob.core.windows.net)
  • BLOB_NAME：blob 的名称。（例如，insights-logs-<logname>）
  • URI is a：根据日志流配置选择（单个文件 | 目录 | 包含子目录的目录）。
  • 来源删除选项：根据您的偏好设置选择删除选项。

• 共享密钥：Azure Blob Storage 的访问密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。