收集適用於端點的 Microsoft Defender 記錄

本文說明如何設定 Google Security Operations 資訊提供，以收集 Microsoft Defender for Endpoint 記錄檔，以及記錄檔欄位如何對應至 Google SecOps 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料擷取至 Google SecOps」。

一般部署作業包含 Microsoft Defender for Endpoint，以及設定為將記錄傳送至 Google SecOps 的 Google SecOps 資訊提供。您的部署作業可能與本文所述的典型部署作業不同。 部署作業包含下列元件：

• 適用於端點的 Microsoft Defender：收集記錄檔的平台。

• Azure 儲存體：用於儲存記錄的平台。

• Google SecOps 資訊提供：從 Microsoft Defender for Endpoint 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 資訊提供。

• Google SecOps：這個平台會保留及分析 Microsoft Defender for Endpoint 的記錄。

擷取標籤會識別剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 MICROSOFT_DEFENDER_ENDPOINT 攝入標籤的剖析器。

事前準備

請確認您符合下列必要條件：

• 部署架構中的所有系統都已設定為世界標準時間時區。
• 您符合使用 Microsoft Defender for Endpoint 的必要條件。詳情請參閱「Microsoft Defender XDR 先決條件」。
• 已設定適用於端點的 Microsoft Defender
• 租用戶中已設定的儲存空間帳戶。如要設定儲存體帳戶，請參閱「設定 Azure 儲存體帳戶」。如需儲存體帳戶的概要總覽，請參閱「Microsoft Azure 儲存體帳戶總覽」。

設定 Azure 儲存體帳戶

本節說明如何在 Microsoft Azure 中設定及部署 Azure 儲存體帳戶。

建立儲存空間帳戶

開始之前，請確認資源群組已成功部署至 Azure 環境。

1. 在 Azure 入口網站中，搜尋「儲存體帳戶」。
2. 點選「建立」。

3. 在「基本」分頁中，提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂用帳戶。
   資源群組	選取已部署的資源群組。
   儲存體帳戶名稱	請輸入全域不重複的名稱，長度介於 3 至 24 個字元之間，只能使用小寫英文字母和數字。
   區域	選取距離使用者或工作負載最近的區域。
   主要服務	選取主要服務，例如 Azure Blob 儲存體或 Azure Data Lake Storage Gen2。
   效能	選取「標準」 (建議用於大多數情況) 或「進階」 (適用於低延遲工作負載)。
   備援功能	根據可用性需求選取複製選項 (例如本機備援儲存空間 (LRS))。

4. 按一下「Review + create」。

5. 通過驗證後，按一下「建立」即可部署儲存空間帳戶。

設定適用於端點的 Microsoft Defender

1. 以全域管理員或安全性管理員身分登入 security.microsoft.com。
2. 按一下左窗格中的「設定」。
3. 選取「Microsoft Defender XDR」分頁標籤。
4. 從一般部分選取「Streaming API」，然後按一下「新增」。
5. 選取「將事件轉送至 Azure 儲存空間」。
6. 前往所選儲存空間帳戶。
7. 依序選取「總覽」>「JSON 檢視畫面」，然後輸入「資源 ID」。
8. 輸入資源 ID 後，請選取所有必要資料類型。
9. 按一下 [儲存]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 依序點選「SIEM 設定」>「動態消息」>「新增動態消息」
• 依序點選「內容中心」「內容包」「開始使用」

如何設定 Microsoft Defender for Endpoint 動態饋給

1. 按一下「Microsoft Defender」套件。
2. 找出「適用於端點的 Microsoft Defender」記錄類型。

3. 在下列欄位中指定值：

   • 來源類型：Microsoft Azure Blob 儲存體 V2。
   • Azure URI：指向 Azure Blob 儲存體 Blob 或容器的 URI。
   • 來源刪除選項：是否要在移轉後刪除檔案或目錄。
   • 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。
   • 選取「共用金鑰」或「SAS 權杖」。
   • 金鑰：用來存取 Azure 資源的共用金鑰或 SAS 權杖。

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

支援的 Microsoft Defender for Endpoint 記錄類型

Microsoft Defender for Endpoint 剖析器支援下列資料表：

支援的 Microsoft Defender for Endpoint 記錄格式

Microsoft Defender for Endpoint 剖析器支援 JSON 格式的記錄。

支援的 Microsoft Defender for Endpoint 範例記錄

• JSON：

  {
    "time": "2021-07-16T09:57:38.1599837Z",
    "tenantId": "ed236696-8612-40d7-8b49-xxxxxxxxxxx",
    "operationName": "Publish",
    "category": "AdvancedHunting-DeviceInfo",
    "properties": {
      "OSBuild": null,
      "RegistryDeviceTag": null,
      "IsAzureADJoined": null,
      "PublicIP": "198.51.100.0",
      "OSArchitecture": null,
      "OSVersion": null,
      "OSPlatform": null,
      "LoggedOnUsers": "[{\\"UserName\\":\\"bob\\",\\"DomainName\\":\\"DESKTOP-BOB\\",\\"Sid\\":\\"S-1-5-21-1695909852-106810125-1651530144-1001\\"}]",
      "AdditionalFields": "{\\"IsLocalLogon\\":true}",
      "DeviceObjectId": null,
      "DeviceId": "e93c25ad74cc1dd30afeb642696a2559824589e5",
      "MachineGroup": null,
      "Timestamp": "2021-07-16T09:54:41.0662159Z",
      "DeviceName": "desktop-dummy",
      "ReportId": 193010,
      "ClientVersion": "10.7431.19041.746"
    }
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Microsoft Defender for Endpoint 欄位對應至 Google Security Operations UDM 欄位。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - UDM 事件模型通用欄位

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型常見的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - UDM 實體模型的常見欄位

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型常見的記錄欄位，以及對應的 UDM 欄位：

欄位對應參照：DeviceEvents 事件 ID 至事件類型

下表列出 DeviceEvents 記錄動作類型和對應的 UDM 事件類型。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertInfo

下表列出 AlertInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceAlertEvents

下表列出 DeviceAlertEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

下表列出 DeviceFileCertificateInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceImageLoadEvents

下表列出 DeviceImageLoadEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceInfo

下表列出 DeviceInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityLogonEvents

下表列出 IdentityLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkEvents

下表列出 DeviceNetworkEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkInfo

下表列出 DeviceNetworkInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceProcessEvents

下表列出 DeviceProcessEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

下表列出 DeviceRegistryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGatheringKB

下表列出 DeviceTvmInfoGatheringKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessment

下表列出 DeviceTvmSecureConfigurationAssessment 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessmentKB

下表列出 DeviceTvmSecureConfigurationAssessmentKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareEvidenceBeta

下表列出 DeviceTvmSoftwareEvidenceBeta 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareInventory

下表列出 DeviceTvmSoftwareInventory 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilities

下表列出 DeviceTvmSoftwareVulnerabilities 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

下表列出 DeviceTvmSoftwareVulnerabilitiesKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailAttachmentInfo

下表列出 EmailAttachmentInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

下表列出 EmailPostDeliveryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailUrlInfo

下表列出 EmailUrlInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityInfo

下表列出 IdentityInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - CloudAppEvents

下表列出 CloudAppEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料

本節說明 Google Security Operations 剖析器如何將 Microsoft Defender for Endpoint 的 AdditionalFields 原始記錄欄位中的巢狀欄位，對應至 Google Security Operations UDM 欄位。

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

UDM 對應差異

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT

下表列出 Microsoft Defender Endpoint 舊版 UDM 對應與 Microsoft Defender Endpoint 新版 UDM 對應之間的差異。

UDM 對應差異參考資料：DeviceEvents 事件 ID 至事件類型

下表列出 DeviceEvents 記錄動作類型和對應 UDM 事件類型的差異。

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - AlertInfo

下表列出 AlertInfo 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

下表列出 DeviceFileCertificateInfo 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

下表列出 DeviceRegistryEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

下表列出 DeviceTvmSoftwareVulnerabilitiesKB 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

下表列出 EmailPostDeliveryEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityInfo

下表列出 IdentityInfo 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityLogonEvents

下表列出 IdentityLogonEvents 記錄類型記錄欄位的差異，以及對應的 UDM 欄位：

後續步驟

• 將資料擷取至 Google SecOps

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。