收集 Microsoft Defender for Endpoint 記錄

本文說明如何設定 Google Security Operations 動態饋給，收集 Microsoft Defender for Endpoint 記錄，以及記錄欄位如何對應至 Google SecOps Unified Data Model (UDM) 欄位。

詳情請參閱「將資料擷取至 Google SecOps」。

一般部署作業包含 Microsoft Defender for Endpoint 和 Google SecOps 動態饋給，用於將記錄傳送至 Google SecOps。您的部署作業可能與本文所述的一般部署作業不同。部署作業包含下列元件：

• Microsoft Defender for Endpoint：收集記錄的平台。

• Azure 儲存體：儲存記錄的平台。

• Google SecOps 動態饋給：Google SecOps 動態饋給會從 Microsoft Defender for Endpoint 擷取記錄，並將記錄寫入 Google SecOps。

• Google SecOps：保留及分析 Microsoft Defender for Endpoint 記錄的平台。

擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 MICROSOFT_DEFENDER_ENDPOINT 擷取標籤的剖析器。

事前準備

請確認您已完成下列事前準備：

• 部署架構中的所有系統都設為世界標準時間 (UTC) 時區。
• 您符合使用 Microsoft Defender for Endpoint 的必要條件。詳情請參閱「Microsoft Defender XDR 必要條件」。
• 已設定 Microsoft Defender for Endpoint
• 租用戶中已設定儲存體帳戶。如要設定儲存體帳戶，請參閱「設定 Azure 儲存體帳戶」。如需儲存體帳戶的一般總覽，請參閱「Microsoft Azure 儲存體帳戶總覽」。

設定 Azure 儲存體帳戶

本節說明如何在 Microsoft Azure 中設定及部署 Azure 儲存體帳戶。

建立儲存體帳戶

開始之前，請確認資源群組已成功部署至 Azure 環境。

1. 在 Azure 入口網站中，搜尋「Storage accounts」。
2. 點選「建立」。

3. 在「Basics」(基本) 分頁中，提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂閱方案。
   資源群組	選取已部署的資源群組。
   儲存體帳戶名稱	請輸入全域不重複的名稱，長度介於 3 到 24 個字元之間，且只能使用小寫英文字母和數字。
   區域	選取最靠近使用者或工作負載的區域。
   主要服務	選取主要服務，例如 Azure Blob 儲存體或 Azure Data Lake Storage Gen2。
   效能	選取「Standard」(標準) (建議用於大多數情境) 或「Premium」(進階) (適用於低延遲工作負載)。
   備援	根據可用性需求選取複製選項 (例如「本地備援儲存體 (LRS)」)。

4. 按一下「Review + create」。

5. 通過驗證後，按一下「Create」部署儲存體帳戶。

設定 Microsoft Defender for Endpoint

1. 以全域管理員或安全性管理員身分登入 security.microsoft.com。
2. 按一下左側窗格中的「設定」。
3. 選取「Microsoft Defender XDR」分頁標籤。
4. 在「一般」部分選取「Streaming API」，然後點選「新增」。
5. 選取「將事件轉送至 Azure 儲存體」。
6. 前往您選擇的儲存體帳戶。
7. 依序選取「總覽」 >「JSON 檢視畫面」，然後輸入資源 ID。
8. 輸入資源 ID 後，請選取所有必要資料類型。
9. 按一下 [儲存]。

設定動態饋給

在 Google SecOps 平台中，有兩個不同的進入點可以設定動態饋給：

• SIEM 設定 > 資訊提供 > 新增資訊提供
• Content Hub > Content Packs > Get Started

如何設定 Microsoft Defender for Endpoint 動態饋給

1. 按一下「Microsoft Defender」套件。
2. 找出「Microsoft Defender for Endpoint」記錄類型。

3. 在下列欄位中指定值：

   • 來源類型：Microsoft Azure Blob Storage V2。
   • Azure URI：指向 Azure Blob 儲存體 blob 或容器的 URI。
   • 來源刪除選項：是否在轉移後刪除檔案或目錄。
   • 檔案存在時間上限：納入過去幾天內修改過的檔案。預設值為 180 天。
   • 選取「Shared key」(共用金鑰) 或「SAS token」(SAS 權杖)。
   • 金鑰：用於存取 Azure 資源的共用金鑰或 SAS 權杖。

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

支援的 Microsoft Defender for Endpoint 記錄類型

Microsoft Defender for Endpoint 剖析器支援下列資料表：

支援的 Microsoft Defender for Endpoint 記錄格式

Microsoft Defender for Endpoint 剖析器支援 JSON 格式的記錄。

支援的 Microsoft Defender for Endpoint 範例記錄

• JSON：

  {
    "time": "2021-07-16T09:57:38.1599837Z",
    "tenantId": "ed236696-8612-40d7-8b49-xxxxxxxxxxx",
    "operationName": "Publish",
    "category": "AdvancedHunting-DeviceInfo",
    "properties": {
      "OSBuild": null,
      "RegistryDeviceTag": null,
      "IsAzureADJoined": null,
      "PublicIP": "198.51.100.0",
      "OSArchitecture": null,
      "OSVersion": null,
      "OSPlatform": null,
      "LoggedOnUsers": "[{\\"UserName\\":\\"bob\\",\\"DomainName\\":\\"DESKTOP-BOB\\",\\"Sid\\":\\"S-1-5-21-1695909852-106810125-1651530144-1001\\"}]",
      "AdditionalFields": "{\\"IsLocalLogon\\":true}",
      "DeviceObjectId": null,
      "DeviceId": "e93c25ad74cc1dd30afeb642696a2559824589e5",
      "MachineGroup": null,
      "Timestamp": "2021-07-16T09:54:41.0662159Z",
      "DeviceName": "desktop-dummy",
      "ReportId": 193010,
      "ClientVersion": "10.7431.19041.746"
    }
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Microsoft Defender for Endpoint 欄位對應至 Google Security Operations UDM 欄位。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - UDM 事件模型的常用欄位

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型的常見記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - UDM 實體模型的常用欄位

下表列出 MICROSOFT_DEFENDER_ENDPOINT 記錄類型的常見記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：DeviceEvents 事件 ID 至事件類型

下表列出 DeviceEvents 記錄動作類型和對應的 UDM 事件類型。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertInfo

下表列出 AlertInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceAlertEvents

下表列出 DeviceAlertEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

下表列出 DeviceFileCertificateInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceImageLoadEvents

下表列出 DeviceImageLoadEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceInfo

下表列出 DeviceInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityLogonEvents

下表列出 IdentityLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：IdentityDirectoryEvents 事件 ID 到事件類型

下表列出 IdentityDirectoryEvents 記錄動作類型和對應的 UDM 事件類型。

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityDirectoryEvents

下表列出 IdentityDirectoryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EntraIdSignInEvents

下表列出 EntraIdSignInEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkEvents

下表列出 DeviceNetworkEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkInfo

下表列出 DeviceNetworkInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceProcessEvents

下表列出 DeviceProcessEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

下表列出 DeviceRegistryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGatheringKB

下表列出 DeviceTvmInfoGatheringKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessment

下表列出 DeviceTvmSecureConfigurationAssessment 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSecureConfigurationAssessmentKB

下表列出 DeviceTvmSecureConfigurationAssessmentKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareEvidenceBeta

下表列出 DeviceTvmSoftwareEvidenceBeta 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareInventory

下表列出 DeviceTvmSoftwareInventory 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilities

下表列出 DeviceTvmSoftwareVulnerabilities 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

下表列出 DeviceTvmSoftwareVulnerabilitiesKB 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailAttachmentInfo

下表列出 EmailAttachmentInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

下表列出 EmailPostDeliveryEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailUrlInfo

下表列出 EmailUrlInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityInfo

下表列出 IdentityInfo 記錄類型的記錄欄位，以及對應的 UDM 欄位：

欄位對應參考資料：MICROSOFT DEFENDER ENDPOINT - CloudAppEvents

下表列出 CloudAppEvents 記錄類型的記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料

本節說明 Google Security Operations 剖析器如何將 Microsoft Defender for Endpoint 的 AdditionalFields 原始記錄欄位中的巢狀欄位，對應至 Google Security Operations UDM 欄位。

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - CloudAppEvents

下表列出 CloudAppEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityLogonEvents

下表列出 IdentityLogonEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceInfo

下表列出 DeviceInfo 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceProcessEvents

下表列出 DeviceProcessEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

AdditionalFields 對應參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceNetworkEvents

下表列出 DeviceNetworkEvents 記錄類型的 AdditionalFields 記錄欄位，以及對應的 UDM 欄位：

UDM 對應差異

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT

下表列出Microsoft Defender Endpoint舊 UDM 對應與Microsoft Defender Endpoint新 UDM 對應之間的差異。

UDM 對應差異參考資料：DeviceEvents 事件 ID 至事件類型

下表列出 DeviceEvents 記錄動作類型的差異，以及對應的 UDM 事件類型。

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceEvents

下表列出 DeviceEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - AlertEvidence

下表列出 AlertEvidence 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - AlertInfo

下表列出 AlertInfo 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileCertificateInfo

下表列出 DeviceFileCertificateInfo 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceFileEvents

下表列出 DeviceFileEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceLogonEvents

下表列出 DeviceLogonEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmInfoGathering

下表列出 DeviceTvmInfoGathering 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceRegistryEvents

下表列出 DeviceRegistryEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - DeviceTvmSoftwareVulnerabilitiesKB

下表列出 DeviceTvmSoftwareVulnerabilitiesKB 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應 Delta 參考資料：MICROSOFT DEFENDER ENDPOINT - EmailEvents

下表列出 EmailEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - EmailPostDeliveryEvents

下表列出 EmailPostDeliveryEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityInfo

下表列出 IdentityInfo 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

UDM 對應差異參考資料：MICROSOFT DEFENDER ENDPOINT - IdentityLogonEvents

下表列出 IdentityLogonEvents 記錄類型的記錄欄位差異，以及對應的 UDM 欄位：

後續步驟

• 將資料擷取至 Google SecOps

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。