Microsoft 365 Defender

Ce document explique comment intégrer Microsoft 365 Defender à Google Security Operations (Google SecOps).

Version de l'intégration : 19.0

Cas d'utilisation

L'intégration de Microsoft 365 Defender à Google SecOps peut vous aider à résoudre les cas d'utilisation suivants :

• Réponse automatisée aux incidents : utilisez les fonctionnalités Google SecOps pour isoler automatiquement le point de terminaison concerné et lancer une analyse afin de détecter d'autres compromissions.

• Enquête et correction du hameçonnage : utilisez les fonctionnalités Google SecOps pour extraire automatiquement les informations pertinentes, telles que l'expéditeur, l'objet et les pièces jointes, et les enrichir avec des données de renseignements sur les menaces.

• Gestion des failles : utilisez les fonctionnalités Google SecOps pour automatiser les workflows d'analyse et de correction des failles.

• Rapports et audits de conformité : utilisez les fonctionnalités Google SecOps pour automatiser la collecte et la création de rapports sur les données de sécurité de Microsoft 365 Defender. Vous simplifierez ainsi les audits de conformité et démontrerez votre respect des normes de sécurité.

• Hiérarchisation et tri des alertes : utilisez les fonctionnalités Google SecOps pour analyser les alertes de Microsoft 365 Defender et les hiérarchiser en fonction de leur gravité et de leur impact potentiel.

• Analyse automatisée des logiciels malveillants : utilisez les fonctionnalités Google SecOps pour envoyer automatiquement l'échantillon d'un logiciel malveillant détecté par Microsoft 365 Defender à un environnement de bac à sable pour une analyse dynamique.

Avant de commencer

Avant de configurer l'intégration dans la plate-forme Google SecOps, procédez comme suit :

1. Créez l'application Microsoft Entra.

2. Configurez les autorisations de l'API pour votre application.

3. Créez un code secret du client.

Créer l'application Microsoft Entra

Pour créer l'application Microsoft Entra, procédez comme suit :

1. Connectez-vous au portail Azure en tant qu'administrateur d'utilisateurs ou administrateur de mots de passe.

2. Sélectionnez Microsoft Entra ID.

3. Accédez à Inscriptions d'applications > Nouvelle inscription.

4. Saisissez le nom de l'application.

5. Cliquez sur S'inscrire.

6. Enregistrez les valeurs Application (client) ID (ID de l'application [client]) et Directory (tenant) ID (ID de répertoire [locataire]) pour les utiliser ultérieurement lors de la configuration des paramètres d'intégration.

Configurer les autorisations de l'API

Pour configurer les autorisations d'API pour l'intégration, procédez comme suit :

1. Dans le portail Azure, accédez à Gérer > Autorisations d'API > Ajouter une autorisation.

2. Dans la fenêtre Demander des autorisations d'API, sélectionnez API utilisées par mon organisation.

3. Sélectionnez Microsoft Graph > Autorisations de l'application.

4. Sélectionnez les autorisations suivantes :

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Cliquez sur Ajouter des autorisations.

6. Dans la fenêtre Demander des autorisations d'API, sélectionnez API utilisées par mon organisation.

7. Sélectionnez Microsoft Threat Protection > Autorisations de l'application.

8. Sélectionnez l'autorisation suivante :

   • ThreatHunting.Read.All

9. Cliquez sur Ajouter des autorisations.

10. Cliquez sur Accorder le consentement administrateur pour YOUR_ORGANIZATION_NAME.

    Lorsque la boîte de dialogue Confirmation de l'accord de l'administrateur s'affiche, cliquez sur Oui.

Créer un code secret du client

Pour créer un code secret du client, procédez comme suit :

1. Accédez à Certificats et codes secrets > Nouveau code secret du client.

2. Indiquez une description pour un code secret du client et définissez sa date d'expiration.

3. Cliquez sur Ajouter.

4. Enregistrez la valeur du code secret du client (et non l'ID du code secret) pour l'utiliser comme valeur du paramètre Client Secret lors de la configuration de l'intégration.

   La valeur du code secret du client n'est affichée qu'une seule fois.

Intégrer Microsoft 365 Defender à Google SecOps

L'intégration de Microsoft 365 Defender nécessite les paramètres suivants :

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Effectuer une action manuelle.

Ajouter un commentaire à l'incident

Utilisez l'action Ajouter un commentaire à l'incident pour ajouter un commentaire à un incident dans Microsoft 365 Defender.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter un commentaire à l'incident nécessite les paramètres suivants :

Sorties d'action

L'action Ajouter un commentaire à l'incident fournit les sorties suivantes :

Messages de sortie

L'action Ajouter un commentaire à l'incident peut renvoyer les messages de sortie suivants :

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un commentaire à l'incident :

Exécuter une requête personnalisée

Utilisez l'action Exécuter une requête personnalisée pour exécuter une requête de recherche personnalisée dans Microsoft 365 Defender.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Exécuter une requête personnalisée nécessite les paramètres suivants :

Sorties d'action

L'action Exécuter une requête personnalisée fournit les sorties suivantes :

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une requête personnalisée :

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messages de sortie

L'action Exécuter une requête personnalisée peut renvoyer les messages de sortie suivants :

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exécuter une requête personnalisée :

Exécuter une requête d'entité

Utilisez l'action Exécuter une requête sur les entités pour exécuter une requête de chasse basée sur des entités dans Microsoft 365 Defender.

Cette action utilise un filtre where basé sur des entités.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Host
• User
• Hash
• URL

Vous pouvez utiliser l'action Exécuter une requête d'entité pour récupérer des informations liées à des entités, par exemple les résultats d'un tableau et les filtrer en fonction des entités.

Contrairement à l'action Exécuter une requête qui vous oblige à utiliser une mise en forme spécifique, l'action Exécuter une requête d'entité n'utilise pas l'entrée de requête.

Lorsque vous utilisez l'action Exécuter la requête pour récupérer les alertes associées à un point de terminaison, mettez en forme la clause | where comme suit :

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Pour récupérer les alertes associées à un point de terminaison, l'action Exécuter une requête d'entité vous demande de configurer les paramètres Table, IP Entity Key, Hostname Entity Key et Cross Entity Operator comme suit :

Pour vérifier le nombre de points de terminaison concernés par les hachages fournis, l'action Execute Entity Query vous demande de saisir la valeur SHA1 pour le paramètre File Hash Entity Key.

Cross Entity Operator n'a d'incidence sur la requête que lorsque vous configurez plusieurs valeurs pour le paramètre Entity Keys.

Entrées d'action

L'action Exécuter une requête d'entité nécessite les paramètres suivants :

Sorties d'action

L'action Exécuter la requête d'entité fournit les sorties suivantes :

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une requête d'entité :

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Messages de sortie

L'action Exécuter une requête d'entité peut renvoyer les messages de sortie suivants :

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exécuter une requête d'entité :

Exécuter la requête

Utilisez l'action Exécuter la requête pour exécuter des requêtes de recherche dans Microsoft 365 Defender.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Exécuter la requête nécessite les paramètres suivants :

Sorties d'action

L'action Exécuter la requête fournit les sorties suivantes :

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter la requête :

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messages de sortie

L'action Exécuter la requête peut renvoyer les messages de sortie suivants :

Résultat du script

Le tableau suivant répertorie la valeur de la sortie des résultats du script lorsque vous utilisez l'action Exécuter la requête :

Ping

Utilisez l'action Ping pour tester la connectivité à Microsoft 365 Defender.

L'action ne s'exécute pas sur les entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Ping fournit les résultats suivants :

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Ping :

Messages de sortie

L'action Ping peut renvoyer les messages de résultat suivants :

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ping :

Mettre à jour un incident

Utilisez l'action Mettre à jour l'incident pour mettre à jour les incidents dans Microsoft 365 Defender.

Conformément aux limites de l'API, cette action n'échoue pas même si vous définissez une valeur de nom d'utilisateur non valide pour le paramètre Assign To.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre à jour l'incident nécessite les paramètres suivants :

Sorties d'action

L'action Mettre à jour l'incident fournit les résultats suivants :

Messages de sortie

L'action Mettre à jour l'incident peut renvoyer les messages de résultat suivants :

Connecteurs

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Ingérer vos données (connecteurs).

Connecteur Microsoft 365 Defender – Incidents

Utilisez le connecteur d'incidents Microsoft 365 Defender pour extraire des informations sur les incidents et les alertes associées depuis Microsoft 365 Defender.

La liste dynamique fonctionne avec un nom d'incident.

Limites des connecteurs

Le connecteur Microsoft 365 Defender – Incidents utilise les requêtes API avec des limites strictes. Pour stabiliser le connecteur, définissez le paramètre Max Incidents To Fetch sur 10 et le paramètre Run Every sur 1 minute. Vous pouvez toujours atteindre la limite de débit, car le point de terminaison de l'API Microsoft Graph utilisé pour récupérer les alertes n'autorise que 20 requêtes par minute.

Pour éviter toute perte de données lorsque la limite de fréquence est atteinte, le connecteur arrête de traiter l'incident en cours et attend 90 secondes avant de traiter un autre incident. Au bout de 90 secondes, la limite de débit revient à sa valeur maximale et le connecteur retraite l'incident qui n'a pas été traité correctement lors de l'itération précédente.

Entrées du connecteur

Le connecteur Microsoft 365 Defender – Incidents nécessite les paramètres suivants :

Dans la plupart des cas, les incidents redirigés peuvent être vides.

Règles du connecteur

• Le connecteur est compatible avec les proxys.
• Le connecteur est compatible avec les listes dynamiques d'autorisation et de blocage.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.