收集 Microsoft Windows Defender ATP 日志

本文档介绍了如何使用 Azure 存储账号将 Microsoft Windows Defender ATP 日志收集到 Google Security Operations。此解析器可处理 Windows Defender ATP 以 SYSLOG、XML 和 JSON 格式提供的日志。它会将这些格式中的各种字段标准化为统一的结构，提取事件详细信息、用户数据、进程信息、网络活动和安全结果等关键信息，并将这些信息映射到 UDM。解析器还会根据 EventID 和 ActionType 执行条件逻辑，以对事件进行分类，并使用与每种事件类型相关的特定详细信息来丰富 UDM。

准备工作

• 确保您拥有 Google SecOps 实例。
• 确保您拥有有效的 Azure 订阅。
• 确保您拥有全局管理员或 Microsoft Defender 高级威胁搜寻角色。
• 登录到您的 Azure 租户，依次前往订阅> 您的订阅> 资源提供程序> 注册到 Microsoft.Insights。

配置 Azure 存储账号

1. 在 Azure 控制台中，搜索“存储账号”。
2. 点击创建。
3. 为以下输入参数指定值：
   • 订阅：选择相应订阅。
   • 资源组：选择资源组。
   • 区域：选择相应区域。
   • 性能：选择性能（建议选择“标准”）。
   • 冗余：选择冗余（建议使用 GRS 或 LRS）。
   • 存储账号名称：输入新存储账号的名称。
4. 点击 Review + create（检查 + 创建）。
5. 查看账号概览，然后点击创建。
6. 在存储账号概览页面上，从安全性 + 网络中选择子菜单访问密钥。
7. 点击 key1 或 key2 旁边的显示
8. 点击复制到剪贴板以复制密钥。
9. 将密钥保存在安全的位置，以供日后使用。
10. 在存储账号概览页面中，选择设置中的子菜单终结点。
11. 点击复制到剪贴板，复制 Blob 服务端点网址；例如，https://<storageaccountname>.blob.core.windows.net。
12. 将端点网址保存在安全的位置，以供日后使用。

配置 Windows Defender 高级威胁搜寻日志导出

1. 以全局管理员或安全管理员身份登录 security.microsoft.com。
2. 依次前往设置 > Microsoft Defender XDR。
3. 选择 Streaming API。
4. 点击添加。
5. 选择将事件转发到 Azure 存储空间。
6. 前往之前创建的存储账号。
7. 复制资源 ID，然后将其输入到存储账号资源 ID 中。
8. 选择所有活动类型。
9. 点击保存。

在 Google SecOps 中配置 Feed 以注入 Windows Defender 高级威胁搜寻日志

1. 依次前往 SIEM 设置> Feed。
2. 点击新增。
3. 在Feed name（Feed 名称）字段中，输入 Feed 的名称，例如 Defender ATP Logs。
4. 选择 Microsoft Azure Blob Storage 作为来源类型。
5. 选择 Windows Defender ATP 作为日志类型。
6. 点击下一步。

7. 为以下输入参数指定值：

   • Azure URI：Blob 端点网址。
     • ENDPOINT_URL/BLOB_NAME
       • 替换以下内容：
       • ENDPOINT_URL：Blob 端点网址 (https://<storageaccountname>.blob.core.windows.net)。
       • BLOB_NAME：blob 的名称，例如 <logname>-logs。
   • URI is a：根据日志流配置选择 URI_TYPE（Single file | Directory | Directory which includes subdirectories）。

   • 来源删除选项：根据您的偏好设置选择删除选项。

   • 共享密钥：Azure Blob Storage 的访问密钥。

   • 资源命名空间：资源命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

8. 点击下一步。

9. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。