將 Microsoft 365 Identity Protection 與 Google SecOps 整合

本文說明如何將 Microsoft 365 Identity Protection 與 Google Security Operations (Google SecOps) 整合。

必要條件

在 Google SecOps 平台中設定整合功能前，請先完成下列必要步驟：

1. 建立 Microsoft Entra 應用程式。

2. 設定應用程式的 API 權限。

3. 建立用戶端密鑰。

建立 Microsoft Entra 應用程式

1. 以使用者管理員或密碼管理員的身分登入 Azure 入口網站。

2. 選取「Microsoft Entra ID」。

3. 依序前往「App registrations」>「New registration」。

4. 輸入應用程式名稱。

5. 按一下「註冊」。

6. 儲存「Application (client) ID」和「Directory (tenant) ID」值，稍後設定整合參數時會用到。

設定 API 權限

1. 依序前往「API Permissions」>「Add a permission」。

2. 選取「Microsoft Graph」。

3. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • IdentityRiskEvent.Read.All
   • IdentityRiskyUser.ReadWrite.All

4. 按一下「Add permissions」。

5. 按一下「Grant admin consent for YOUR_ORGANIZATION_NAME」。

   畫面顯示「Grant admin consent confirmation」對話方塊時，按一下「Yes」。

建立用戶端密鑰

1. 依序前往「Certificates and secrets」(憑證和密鑰) >「New client secret」(新增用戶端密鑰)。

2. 提供用戶端密鑰的說明，並設定到期期限。

3. 按一下「新增」。

4. 儲存用戶端密鑰的值 (而非密鑰 ID)，以便在設定整合時，將其做為 Client Secret 參數值使用。用戶端密鑰值只會顯示一次。

整合參數

請使用下列參數設定整合：

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

乒乓

測試與 Microsoft 365 Identity Protection 的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果

案件總覽

充實實體

使用 Microsoft 365 Identity Protection 的資訊擴充實體。支援的實體：使用者名稱、電子郵件地址 (符合電子郵件規則運算式模式的使用者實體)。

參數

執行日期

這項動作會對「使用者名稱」實體執行。

動作執行結果

指令碼執行結果

JSON 結果

{
    "id": "2600d017-84a1-444f-94ba-4bebed30b09e",
    "isDeleted": false,
    "isProcessing": false,
    "riskLevel": "none",
    "riskState": "remediated",
    "riskDetail": "userPerformedSecuredPasswordChange",
    "riskLastUpdatedDateTime": "2021-09-02T14:10:48Z",
    "userDisplayName": "user_1",
    "userPrincipalName": "user_1@example.com"
}

實體充實

案件總覽

更新使用者狀態

更新 Microsoft 365 Identity Protection 中的使用者狀態。支援的實體：使用者名稱、電子郵件地址 (符合電子郵件規則運算式模式的使用者實體)。

參數

執行日期

這項動作會對「使用者名稱」實體執行。

動作執行結果

指令碼執行結果

案件總覽

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Azure AD Identity Protection - Risk Detections 連接器

從 Microsoft 365 Identity Protection 提取風險偵測相關資訊。

動態清單篩選器可與 riskEventType 參數搭配使用。

連接器參數

使用下列參數設定連接器：

連接器規則

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。