Microsoft 365 Defender

Questo documento descrive come integrare Microsoft 365 Defender con Google Security Operations (Google SecOps).

Versione integrazione: 19.0

Casi d'uso

L'integrazione di Microsoft 365 Defender con Google SecOps può aiutarti a risolvere i seguenti casi d'uso:

• Risposta automatica agli incidenti:utilizza le funzionalità di Google SecOps per isolare automaticamente l'endpoint interessato e avviare una scansione per ulteriori compromissioni.

• Indagine e correzione del phishing:utilizza le funzionalità di Google SecOps per estrarre automaticamente informazioni pertinenti, come mittente, oggetto e allegati, e arricchirle con dati di threat intelligence.

• Gestione delle vulnerabilità:utilizza le funzionalità di Google SecOps per automatizzare i flussi di lavoro di analisi e correzione delle vulnerabilità.

• Report e audit di conformità:utilizza le funzionalità di Google SecOps per automatizzare la raccolta e la generazione di report sui dati di sicurezza da Microsoft 365 Defender, semplificando gli audit di conformità e dimostrando l'adesione agli standard di sicurezza.

• Prioritizzazione e triage degli avvisi:utilizza le funzionalità di Google SecOps per analizzare gli avvisi di Microsoft 365 Defender e assegnare loro la priorità in base alla gravità e al potenziale impatto.

• Analisi automatica del malware: utilizza le funzionalità di Google SecOps per inviare automaticamente il campione di un malware rilevato da Microsoft 365 Defender a un ambiente sandbox per l'analisi dinamica.

Prima di iniziare

Prima di configurare l'integrazione nella piattaforma Google SecOps, completa i seguenti passaggi:

1. Crea l'applicazione Microsoft Entra.

2. Configura le autorizzazioni API per la tua app.

3. Crea un client secret.

Crea l'applicazione Microsoft Entra

Per creare l'applicazione Microsoft Entra, completa i seguenti passaggi:

1. Accedi al portale Azure come amministratore utenti o amministratore password.

2. Seleziona Microsoft Entra ID.

3. Vai a Registrazioni app > Nuova registrazione.

4. Inserisci il nome dell'applicazione.

5. Fai clic su Register (Registrati).

6. Salva i valori ID applicazione (client) e ID directory (tenant) per utilizzarli in un secondo momento durante la configurazione dei parametri di integrazione.

Configurare le autorizzazioni API

Per configurare le autorizzazioni API per l'integrazione, completa i seguenti passaggi:

1. Nel portale Azure, vai a Gestisci > Autorizzazioni API > Aggiungi un'autorizzazione.

2. Nella finestra Autorizzazioni API, seleziona API usate dall'organizzazione.

3. Seleziona Microsoft Graph > Autorizzazioni applicazione.

4. Seleziona le seguenti autorizzazioni:

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Fai clic su Aggiungi autorizzazioni.

6. Nella finestra Autorizzazioni API, seleziona API usate dall'organizzazione.

7. Seleziona Microsoft Threat Protection > Autorizzazioni applicazione.

8. Seleziona la seguente autorizzazione:

   • ThreatHunting.Read.All

9. Fai clic su Aggiungi autorizzazioni.

10. Fai clic su Concedi il consenso amministratore per YOUR_ORGANIZATION_NAME.

    Quando viene visualizzata la finestra di dialogo Conferma consenso amministratore, fai clic su Sì.

Crea un client secret

Per creare un client secret, completa i seguenti passaggi:

1. Vai a Certificati e secret > Nuovo client secret.

2. Fornisci una descrizione per un client secret e imposta la relativa scadenza.

3. Fai clic su Aggiungi.

4. Salva il valore del client secret (non l'ID secret) per utilizzarlo come valore parametro Client Secret durante la configurazione dell'integrazione.

   Il valore del client secret viene visualizzato una sola volta.

Integrare Microsoft 365 Defender con Google SecOps

L'integrazione di Microsoft 365 Defender richiede i seguenti parametri:

Per istruzioni sulla configurazione di un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più sulla configurazione e sul supporto di più istanze, consulta Supporto di più istanze.

Azioni

Per maggiori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua postazione di lavoro ed Eseguire un'azione manuale.

Aggiungi commento all'incidente

Utilizza l'azione Aggiungi commento all'incidente per aggiungere un commento a un incidente in Microsoft 365 Defender.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiungi commento all'incidente richiede i seguenti parametri:

Output dell'azione

L'azione Aggiungi commento all'incidente fornisce i seguenti output:

Messaggi di output

L'azione Aggiungi commento all'incidente può restituire i seguenti messaggi di output:

Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Aggiungi commento all'incidente:

Esegui query personalizzata

Utilizza l'azione Esegui query personalizzata per eseguire una query di ricerca personalizzata in Microsoft 365 Defender.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query personalizzata richiede i seguenti parametri:

Output dell'azione

L'azione Esegui query personalizzata fornisce i seguenti output:

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui query personalizzata:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messaggi di output

L'azione Esegui query personalizzata può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Esegui query personalizzata:

Esegui query entità

Utilizza l'azione Esegui query entità per eseguire una query di ricerca basata su entità in Microsoft 365 Defender.

Questa azione utilizza un filtro where basato sulle entità.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Host
• User
• Hash
• URL

Puoi utilizzare l'azione Esegui query entità per recuperare informazioni correlate alle entità, ad esempio recuperare i risultati da una tabella e filtrarli in base alle entità.

A differenza dell'azione Esegui query che richiede l'utilizzo di una formattazione specifica, l'azione Esegui query entità non utilizza l'input della query.

Quando utilizzi l'azione Esegui query per recuperare gli avvisi correlati a un endpoint, formatta la clausola | where nel seguente modo:

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Per recuperare gli avvisi correlati a un endpoint, l'azione Esegui query entità richiede di configurare i parametri Table, IP Entity Key, Hostname Entity Key e Cross Entity Operator nel seguente modo:

Per verificare il numero di endpoint interessati dagli hash forniti, l'azione Esegui query entità richiede l'inserimento del valore SHA1 per il parametro File Hash Entity Key.

Cross Entity Operator influisce sulla query solo quando configuri più valori per il parametro Entity Keys.

Input azione

L'azione Esegui query entità richiede i seguenti parametri:

Output dell'azione

L'azione Esegui query entità fornisce i seguenti output:

Risultato JSON

Il seguente esempio mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui query entità:

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Messaggi di output

L'azione Esegui query entità può restituire i seguenti messaggi di output:

Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Esegui query entità:

Esegui query

Utilizza l'azione Esegui query per eseguire query di ricerca in Microsoft 365 Defender.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query richiede i seguenti parametri:

Output dell'azione

L'azione Esegui query fornisce i seguenti output:

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui query:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messaggi di output

L'azione Esegui query può restituire i seguenti messaggi di output:

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Esegui query:

Dindin

Utilizza l'azione Ping per testare la connettività a Microsoft 365 Defender.

L'azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output dell'azione

L'azione Ping fornisce i seguenti output:

Risultato JSON

Il seguente esempio mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Ping:

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ping:

Aggiorna incidente

Utilizza l'azione Aggiorna incidente per aggiornare gli incidenti in Microsoft 365 Defender.

In seguito alle limitazioni dell'API, questa azione non ha esito negativo anche se imposti un valore del nome utente non valido per il parametro Assign To.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiorna incidente richiede i seguenti parametri:

Output dell'azione

L'azione Aggiorna incidente fornisce i seguenti output:

Messaggi di output

L'azione Aggiorna incidente può restituire i seguenti messaggi di output:

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Importare i dati (connettori).

Microsoft 365 Defender - Incidents Connector

Utilizza il connettore Microsoft 365 Defender - Incidenti per estrarre informazioni sugli incidenti e sui relativi avvisi da Microsoft 365 Defender.

L'elenco dinamico funziona con un nome di incidente.

Limitazioni del connettore

Microsoft 365 Defender – Incidents Connector utilizza le richieste API con limiti API rigorosi. Per stabilizzare il connettore, imposta il parametro Max Incidents To Fetch su 10 e il parametro Run Every su 1 minute. Puoi comunque raggiungere il limite di frequenza perché l'endpoint API Microsoft Graph utilizzato per recuperare gli avvisi consente solo 20 richieste al minuto.

Per evitare la perdita di dati al raggiungimento del limite di frequenza, il connettore interrompe l'elaborazione dell'incidente corrente e attende 90 secondi prima di elaborare qualsiasi altro incidente. In 90 secondi, il limite di frequenza torna al valore massimo e il connettore rielabora l'incidente che non è stato elaborato correttamente nell'iterazione precedente.

Input del connettore

Il connettore Microsoft 365 Defender - Incidenti richiede i seguenti parametri:

Nella maggior parte dei casi, gli incidenti reindirizzati possono essere vuoti.

Regole del connettore

• Il connettore supporta i proxy.
• Il connettore supporta le liste dinamiche e le liste bloccate.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.