收集 Microsoft Windows Defender ATP 記錄

本文說明如何使用 Azure 儲存空間帳戶，將 Microsoft Windows Defender ATP 記錄檔收集到 Google Security Operations。這個剖析器會處理 Windows Defender ATP 的記錄檔，格式包括 SYSLOG、XML 和 JSON。這項功能會將這些格式中的各種欄位正規化為統一結構，擷取重要資訊 (例如事件詳細資料、使用者資料、程序資訊、網路活動和安全性結果)，並將這些資訊對應至 UDM。剖析器也會根據 EventID 和 ActionType 執行條件邏輯，將事件分類，並使用與各事件類型相關的特定詳細資料擴充 UDM。

事前準備

• 確認您擁有 Google SecOps 執行個體。
• 確認您有有效的 Azure 訂閱項目。
• 確認您具備全域管理員或 Microsoft Defender 進階威脅搜尋角色。
• 登入 Azure 租戶，依序前往「Subscriptions」> 您的訂閱項目 >「Resource providers」> 註冊 Microsoft.Insights。

設定 Azure 儲存體帳戶

1. 在 Azure 控制台中，搜尋「儲存體帳戶」。
2. 點選「建立」。
3. 指定下列輸入參數的值：
   • 「訂閱」：選取訂閱方案。
   • 資源群組：選取資源群組。
   • Region (區域)：選取區域。
   • 效能：選取效能 (建議使用「標準」)。
   • 備援：選取備援 (建議使用 GRS 或 LRS)。
   • 「儲存體帳戶名稱」：輸入新儲存體帳戶的名稱。
4. 按一下「Review + create」。
5. 查看帳戶總覽，然後按一下「建立」。
6. 在「儲存空間帳戶總覽」頁面中，選取「安全性 + 網路」中的「存取金鑰」子選單。
7. 按一下「key1」或「key2」旁邊的「顯示」
8. 按一下「複製到剪貼簿」即可複製金鑰。
9. 將金鑰儲存於安全的位置，以供日後使用。
10. 在「儲存空間帳戶總覽」頁面中，選取「設定」中的「端點」子選單。
11. 按一下「複製到剪貼簿」，複製「Blob 服務」端點網址，例如 https://<storageaccountname>.blob.core.windows.net。
12. 請將端點網址儲存於安全位置，以供日後使用。

設定 Windows Defender 進階威脅搜尋記錄匯出功能

1. 以全域管理員或安全性管理員身分登入 security.microsoft.com。
2. 依序前往「設定」> Microsoft Defender XDR。
3. 選取「Streaming API」。
4. 按一下「新增」。
5. 選取「將事件轉送至 Azure 儲存空間」。
6. 前往先前建立的儲存空間帳戶。
7. 複製「資源 ID」，然後輸入「儲存空間帳戶資源 ID」。
8. 選取所有事件類型。
9. 按一下 [儲存]。

在 Google SecOps 中設定動態饋給，擷取 Windows Defender 進階威脅搜尋記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增」。
3. 在「動態饋給名稱」欄位中輸入動態饋給名稱，例如 Defender ATP Logs。
4. 選取「Microsoft Azure Blob Storage」做為「來源類型」。
5. 選取「Windows Defender ATP」做為「記錄類型」。
6. 點選「下一步」。

7. 指定下列輸入參數的值：

   • Azure URI：Blob 端點網址。
     • ENDPOINT_URL/BLOB_NAME
       • 更改下列內容：
       • ENDPOINT_URL：Blob 端點網址 (https://<storageaccountname>.blob.core.windows.net)。
       • BLOB_NAME：Blob 的名稱，例如 <logname>-logs。
   • URI 為：根據記錄串流設定選取 URI_TYPE (單一檔案 | 目錄 | 包含子目錄的目錄)。

   • 來源刪除選項：根據偏好選取刪除選項。

   • 共用金鑰：Azure Blob 儲存體的存取金鑰。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

8. 點選「下一步」。

9. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。