Microsoft Defender for Cloud

本文說明如何將 Microsoft Defender For Cloud 與 Google Security Operations 整合。

用途

1. 將安全性警示擷取至 Google SecOps 進行調查。

2. 更新快訊。

3. 擷取標準法規遵循資訊。

必要條件

在 Google SecOps 平台設定整合功能前，請務必將必要權限授予 Azure 使用者帳戶，並設定密碼驗證或 OAuth 驗證。

設定權限

這項整合功能需要 Azure 資源的委派存取權。請務必將下列必要權限，授予用於設定整合功能的 Azure 使用者帳戶：

1. 使用者帳戶必須是下列 Azure 角色的有效成員：

   • Security Reader
   • Security Admin

2. 在 Azure 訂閱層級，請務必將下列 IAM 角色授予使用者：Management Group Reader。

設定密碼驗證

如要設定 Microsoft Defender for Cloud 的密碼驗證，請完成下列步驟：

1. 建立 Microsoft Entra 應用程式。

2. 設定應用程式的 API 權限。

3. 建立用戶端密鑰。

4. 使用 Azure 訂閱 ID 做為對應整合參數的值。

建立 Microsoft Entra 應用程式

1. 以使用者管理員或密碼管理員身分登入 Azure 入口網站。

2. 選取「Microsoft Entra ID」。

3. 依序前往「App registrations」>「New registration」。

4. 輸入應用程式名稱。

5. 按一下「註冊」。

6. 儲存「Application (client) ID」和「Directory (tenant) ID」值，稍後設定整合參數時會用到。

設定 API 權限

1. 依序前往「API Permissions」>「Add a permission」。

2. 依序選取「Azure 服務管理」>「委派權限」。

3. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • user_impersonation

4. 依序選取 「Microsoft Graph」 > 「Delegated permissions」。

5. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • SecurityEvents.Read.All
   • SecurityEvents.ReadWrite.All
   • User.Read

6. 依序選取 「Microsoft Graph」 > 「Application permissions」。

7. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • SecurityEvents.Read.All
   • SecurityEvents.ReadWrite.All

8. 按一下「Add permissions」。

9. 按一下「Grant admin consent for YOUR_ORGANIZATION_NAME」。

   畫面顯示「Grant admin consent confirmation」對話方塊時，按一下「Yes」。

建立用戶端密鑰

1. 依序前往「Certificates and secrets」(憑證和密鑰) >「New client secret」(新增用戶端密鑰)。

2. 提供用戶端密鑰的說明，並設定到期期限。

3. 按一下「新增」。

4. 儲存用戶端密鑰的值 (而非密鑰 ID)，以便在設定整合時，將其做為 Client Secret 參數值使用。用戶端密鑰值只會顯示一次。

使用 Azure 訂閱 ID 設定整合

1. 在 Microsoft Defender for Cloud 中，前往「Overview」(總覽) 分頁。

2. 按一下「Azure subscriptions」(Azure 訂閱項目)。

3. 複製 Azure 訂閱 ID 值，並在設定整合參數時，將其輸入 Subscription ID 參數。

設定 OAuth 驗證

如要為 Microsoft Defender for Cloud 設定 OAuth 驗證，請完成下列步驟：

1. 建立 Microsoft Entra 應用程式。

2. 設定應用程式的 API 權限。

3. 建立用戶端密鑰。

4. 使用 Azure 訂閱 ID 做為對應整合參數的值。

建立 Microsoft Entra 應用程式

如要建立應用程式並模擬所選使用者，請按照下列步驟操作：

1. 以使用者管理員或密碼管理員身分登入 Azure 入口網站。

2. 選取「Microsoft Entra ID」。

3. 依序前往「App registrations」>「New registration」。

4. 輸入應用程式名稱。

5. 選取合適的「支援的帳戶類型」。

6. 在「Redirect URL」(重新導向網址) 中，提供下列值：http://localhost。

7. 按一下「註冊」。

8. 儲存「Application (client) ID」和「Directory (tenant) ID」值，稍後設定整合時會用到。

設定 API 權限

1. 依序前往「API Permissions」>「Add a permission」。

2. 依序選取「Azure 服務管理」>「委派權限」。

3. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • user_impersonation

4. 依序選取 「Microsoft Graph」 > 「Delegated permissions」。

5. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • SecurityEvents.Read.All
   • SecurityEvents.ReadWrite.All
   • User.Read

6. 依序選取 「Microsoft Graph」 > 「Application permissions」。

7. 在「Select Permissions」(選取權限) 部分，選取下列權限：

   • SecurityEvents.Read.All
   • SecurityEvents.ReadWrite.All

8. 按一下「Add permissions」。

9. 按一下「Grant admin consent for YOUR_ORGANIZATION_NAME」。

   畫面顯示「Grant admin consent confirmation」對話方塊時，按一下「Yes」。

建立用戶端密鑰

1. 依序前往「Certificates and secrets」(憑證和密鑰) >「New client secret」(新增用戶端密鑰)。

2. 提供用戶端密鑰的說明，並設定到期期限。

3. 按一下「新增」。

4. 儲存用戶端密鑰的值 (而非密鑰 ID)，以便在設定整合時，將其做為 Client Secret 參數值使用。用戶端密鑰值只會顯示一次。

使用 Azure 訂閱 ID 設定整合

1. 在 Microsoft Defender for Cloud 中，前往「Overview」(總覽) 分頁。

2. 按一下「Azure subscriptions」(Azure 訂閱項目)。

3. 複製 Azure 訂閱 ID 值，並在設定整合時，將其輸入 Subscription ID 參數。

在 Google SecOps 中設定 OAuth 驗證

如要在 Google SecOps 平台中，為 Microsoft Defender for Cloud 設定 OAuth 驗證，請完成下列步驟：

1. 設定整合參數並儲存。

2. 產生更新權杖：

   • 選用：在 Google SecOps 中模擬案件。

   • 手動執行「Get OAuth Authorization Code」動作。

   • 手動執行「Generate Token」動作。

3. 輸入取得的更新權杖做為 Refresh Token 參數值，然後儲存設定。

設定整合參數

在 Google SecOps 中，使用先前步驟取得的用戶端 ID、用戶端密鑰、租戶 ID 和訂閱 ID 值，設定整合參數。

產生更新權杖

如要產生更新權杖，必須手動操作現有案件。 如果 Google SecOps 執行個體是新的，且沒有任何案件，請模擬一個。

模擬案件

如要在 Google SecOps 中模擬案件，請按照下列步驟操作：

1. 在左側導覽面板中，選取「案件」。

2. 在「案件」頁面中，依序點選 「add」>「模擬案件」。

3. 選取任一預設案例，然後按一下「建立」。無論選擇模擬哪種情況，

4. 按一下「模擬」。

   如果您有預設以外的環境，且想使用該環境，請選取正確的環境，然後按一下「Simulate」(模擬)。

5. 在「案件」分頁中，按一下「重新整理」。模擬的案件會顯示在案件清單中。

執行「取得 OAuth 授權碼」動作

使用模擬的 Google SecOps 案件或任何現有案件，手動執行「Get OAuth Authorization Code」動作。

1. 在「案件」分頁中，選取模擬案件，開啟案件檢視畫面。

2. 按一下「人工判決處罰」。

3. 在「Manual Action」(手動操作) 的「Search」(搜尋) 欄位中，輸入 Azure Security Center。

4. 在 Azure Security Center 整合功能下方的結果中，選取「Get OAuth Authorization Code」(取得 OAuth 授權碼)。這項動作會傳回授權連結，用於以互動方式登入 Microsoft Entra 應用程式。

5. 在 Redirect URL 參數欄位中，輸入建立 Microsoft Entra 應用程式時使用的網址。

6. 點選「Execute」。

7. 執行動作後，請前往模擬案件的案件總覽。在「Azure Security Center_Get OAuth Authorization Code」動作記錄中，按一下「View More」並複製授權連結。

8. 以無痕模式開啟新的瀏覽器視窗，然後貼上產生的授權網址。Azure 登入頁面會隨即開啟。

9. 使用您為整合選取的使用者憑證登入。登入後，瀏覽器應會重新導向，並在網址列中顯示代碼。

   以下是包含程式碼的網址範例：

   http://localhost/?code=0.ATwAylKP1BpbCEeO0Ou5iiakalBV.......nIAA&state=12345&session_state=28084547-3dea-449a-8b4c-c1671342a39d#
   

10. 從網址中複製 http://localhost/?code= 之後的存取碼部分。您需要這個存取碼，才能執行「Get OAuth Refresh Token」(取得 OAuth 更新權杖) 動作。

執行「取得 OAuth 更新權杖」動作

使用模擬的 Google SecOps 案件，手動執行「Get OAuth 更新權杖」 動作。

1. 在「案件」分頁中，選取模擬案件，開啟案件檢視畫面。

2. 按一下「人工判決處罰」。

3. 在「Manual Action」搜尋欄位中，輸入 Azure Security Center。

4. 在 Azure Security Center 整合功能下方的結果中，選取「Get OAuth Refresh Token」(取得 OAuth 更新權杖)。

5. 在 Authorization Code 參數欄位中，輸入執行「Get OAuth Authorization Code」動作後取得的存取碼。

6. 點選「Execute」。

7. 執行動作後，請前往模擬案件的案件總覽。在「Azure Security Center_Get OAuth 更新權杖」動作記錄中，點選「View More」。

8. 複製產生的更新權杖完整值。

設定更新權杖參數

1. 前往 Azure 資訊安全中心整合的設定對話方塊。

2. 在「Refresh Token」欄位中，輸入上一步取得的更新權杖值。

3. 按一下 [儲存]。

整合 Microsoft Defender for Cloud 與 Google SecOps

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合輸入內容

請使用下列參數設定整合：

動作

取得 OAuth 授權碼

產生 OAuth 授權碼，取得更新權杖。

參數

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

案件總覽

取得 OAuth 更新權杖

產生整合設定所需的更新權杖。您可以使用「Get OAuth Authorization Code」(取得 OAuth 授權碼) 動作產生授權碼。

參數

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

JSON 結果

{
    "token_type": "Bearer",
    "scope": "user_impersonation",
    "expires_in": "3599",
    "ext_expires_in": "3599",
    "expires_on": "1628514482",
    "not_before": "1628510582",
    "resource": "https://management.azure.com",
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Im5PbzNaRH",
    "refresh_token": "0.ATwAylKP1BpbCEeO0Ou5iiakalBVs4hy5YpMhS4OVguFb9Y8AGw",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiI4OGIzNTU1MC1"
}

案件總覽

列出法規標準

列出 Microsoft Defender for Cloud 中可用的法規標準。

參數

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

JSON 結果

{
    "value": [
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}

案件總覽

列出法規標準控管機制

列出 Microsoft Defender for Cloud 中與標準相關的可用控制項。

參數

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

JSON 結果

{
    "results": [
      "Name": "{Standard_name}",
      "Controls":
[
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}

案件總覽

乒乓

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Microsoft Defender for Cloud 的連線能力。

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

案件總覽

更新警告狀態

在 Microsoft Defender for Cloud 更新警告狀態。

參數

執行日期

這項動作不會對實體執行。

動作結果

指令碼執行結果

案件總覽

連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

Azure Security Center - 安全性警示連接器

從 Microsoft Defender for Cloud 提取安全性警示。

連接器參數

使用下列參數設定連接器：

連接器規則

Proxy 支援

連接器支援 Proxy。

工作

如要在 Google SecOps 中設定工作，請依序前往 「Response」 > 「Job Scheduler」。

更新權杖續約工作

更新權杖更新工作的目標，是定期更新整合作業中使用的更新權杖。

根據預設，更新權杖每 90 天會到期，因此到期後整合功能就無法使用。建議每 7 或 14 天執行這項工作，確保更新權杖為最新版本。

工作輸入內容

如要設定工作，請使用下列參數：

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。