收集 Microsoft Defender for Identity 記錄

本文說明如何使用 Azure 儲存空間，將 Microsoft Defender for Identity 記錄檔擷取至 Google Security Operations。如果 JSON 剖析失敗，剖析器會處理 JSON 記錄或 CEF 格式的記錄。這項服務會擷取欄位、執行字串轉換、重新命名及合併等資料轉換作業，並將資料對應至統合式資料模型 (UDM)，處理各種記錄格式，以及使用標籤和驗證詳細資料等額外內容來擴充資料。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 有效的 Azure 租用戶
• Azure 的特殊權限存取權和管理員安全角色

設定 Azure 儲存體帳戶

1. 在 Azure 控制台中，搜尋「Storage accounts」(儲存體帳戶)。
2. 點選「建立」。
3. 指定下列輸入參數的值：
   • 「訂閱」：選取訂閱方案。
   • 資源群組：選取資源群組。
   • Region (區域)：選取區域。
   • 效能：選取效能類型 (建議選取「標準」)。
   • 備援：選取備援類型 (建議使用 GRS 或 LRS)。
   • 「儲存體帳戶名稱」：輸入新儲存體帳戶的名稱。
4. 按一下「Review + create」。
5. 查看帳戶總覽，然後按一下「建立」。
6. 在儲存空間帳戶的「總覽」頁面中，選取「安全性 + 網路」中的「存取金鑰」子選單。
7. 按一下「key1」或「key2」旁邊的「顯示」。
8. 按一下「複製到剪貼簿」即可複製金鑰。
9. 將金鑰儲存於安全的位置，以供日後參考。
10. 在儲存體帳戶的「總覽」頁面中，選取「設定」中的「端點」子選單。
11. 按一下「複製到剪貼簿」，複製 Blob 服務端點網址。例如 https://<storageaccountname>.blob.core.windows.net。
12. 將端點網址儲存在安全的位置，以供日後參考。
13. 依序前往「總覽」>「JSON 檢視畫面」。
14. 複製並儲存 Storage Resource ID。

設定 Microsoft Defender for Identity 的記錄匯出功能

1. 使用具備權限的帳戶登入 Defender 入口網站。
2. 前往 [設定]。
3. 選取「Microsoft Defender XDR」分頁標籤。
4. 從一般部分選取「Streaming API」，然後按一下「新增」。
5. 選取「將事件轉送至 Azure 儲存空間」。
6. 提供下列設定詳細資料：
   • 名稱：輸入不重複且有意義的名稱。
   • 選取「將事件轉送至 Azure 儲存空間」。
   • 儲存體帳戶資源 ID：輸入先前複製的 Azure 儲存體資源 ID。
   • 事件類型：選取「快訊和行為」和「裝置」。
7. 按一下「提交」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱 (例如「Defender Identity Logs」)。
5. 選取「Microsoft Azure Blob Storage」做為「來源類型」。
6. 選取「Microsoft Defender for Identity」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • Azure URI：Blob 端點網址。

     ENDPOINT_URL/BLOB_NAME

     更改下列內容：

     • ENDPOINT_URL：Blob 端點網址。(https://<storageaccountname>.blob.core.windows.net)
     • BLOB_NAME：Blob 的名稱。(例如 insights-logs-<logname>)

   • URI 為：根據記錄串流設定選取 (單一檔案 | 目錄 | 包含子目錄的目錄)。

   • 來源刪除選項：根據偏好設定選取刪除選項。

   • 共用金鑰：Azure Blob 儲存體的存取金鑰。

9. 點選「下一步」。

10. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

• Azure URI：Blob 端點網址。

  ENDPOINT_URL/BLOB_NAME

  更改下列內容：

  • ENDPOINT_URL：Blob 端點網址。(https://<storageaccountname>.blob.core.windows.net)
  • BLOB_NAME：Blob 的名稱。(例如 insights-logs-<logname>)
  • URI 為：根據記錄串流設定選取 (單一檔案 | 目錄 | 包含子目錄的目錄)。
  • 來源刪除選項：根據偏好設定選取刪除選項。

• 共用金鑰：Azure Blob 儲存體的存取金鑰。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。