Microsoft 365 Defender

Microsoft Defender For XDR 实例的登录 API 根。

默认值为 https://login.microsoftonline.com。

Microsoft Graph 服务的 API 根。

默认值为 https://graph.microsoft.com。

Microsoft Defender For XDR 实例的 API 根。

默认值为 https://api.security.microsoft.com。

Microsoft Entra ID 账号的 Microsoft Entra ID（租户 ID）值。

Microsoft Entra ID 账号的应用（客户端）ID 值。

Microsoft Entra ID 应用的客户端密钥值。

如果选中，集成会验证用于连接到 Microsoft Defender For XDR 服务器的 SSL 证书是否有效。

默认处于选中状态。

要添加评论的突发事件的 ID。

要添加到突发事件的评论。

要在 Microsoft Defender For XDR 中执行以过滤结果的查询。

查询结果的时间段。

可能的值如下：

• Select One
• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

如果选择了 Custom，则必须设置 Start Time。

默认值为 Select One。

查询结果的开始时间，采用 ISO 8601 格式。

如果 Time Frame 设置为 Custom，则此参数是必需的。

查询结果的结束时间，采用 ISO 8601 格式。

如果未提供任何值，并且 Time Frame 设置为 Custom，则操作会使用当前时间。

查询返回的结果数上限。

默认值为 50。

要在 Microsoft Defender For XDR 中查询的表的逗号分隔列表。

查询结果的时间段。

默认值为 Last Hour。

可能的值如下：

• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

查询结果的开始时间。

如果您将 Time Frame 参数设置为 Custom，则此参数是必需的。

查询结果的结束时间。

如果您未设置值并将 Time Frame 参数设置为 Custom，则该操作默认会将此参数设置为当前时间值。

要包含在结果中的字段的逗号分隔列表。

用于对结果进行排序的字段。

默认值为 Timestamp。

结果的排序顺序（升序或降序）。

默认值为 ASC。

可能的值如下：

• ASC
• DESC

返回的结果数上限。

默认值为 50。

用于按 IP Address 实体进行过滤的键。

用于按 Hostname 实体进行过滤的键。

用于按 File Hash 实体进行过滤的键。

用于按 User 实体进行过滤的键。

用于按 URL 实体进行过滤的键。

用于按 Email Address 实体进行过滤的键。 该操作接受与电子邮件正则表达式匹配的 User 实体。

如果选中此选项，则当所有指定的实体类型都存在时，系统会执行相应操作。

默认处于选中状态。

在查询中不同实体类型之间使用的逻辑运算符。

默认值为 OR。

可能的值如下：

• OR
• AND

要在 Microsoft 365 Defender 中查询的表名称的逗号分隔列表。

要执行的查询。

使用此参数提供 | where 子句。时间过滤、限制和排序是可选的。

查询结果的时间段。

默认值为 Last Hour。

可能的值如下：

• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

查询结果的开始时间（采用 ISO 8601 格式）。

如果您将 Time Frame 参数设置为 Custom，则此参数是必需的。

查询结果的结束时间（采用 ISO 8601 格式）。

如果您未设置值，并将 Time Frame 参数设置为 Custom，则该操作默认会将此参数设置为当前时间值。

要包含在结果中的字段的逗号分隔列表。

用于对结果进行排序的字段。

默认值为 Timestamp。

结果的排序顺序（升序或降序）。

默认值为 ASC。

可能的值如下：

• ASC
• DESC

返回的结果数上限。

默认值为 50。

要在 Microsoft Defender For XDR 中更新的突发事件的 ID。

要在 Microsoft Defender For XDR 中为突发事件设置的状态。

默认值为 Select One。

可能的值如下：

• Select One
• Active
• Resolved

要在 Microsoft Defender For XDR 中为突发事件设置的分类。

默认值为 Select One。

可能的值如下：

• Select One
• False Positive
• True Positive

要在 Microsoft Defender For XDR 中为突发事件设置的判定。

此参数仅在 Classification 参数值为 True Positive 时适用。

默认值为 Select One。

可能的值如下：

• Select One
• Not Available
• Apt
• Malware
• Security Personnel
• Security Testing
• Unwanted Software
• Other

在 Microsoft Defender For XDR 中，要将突发事件分配给的用户。

存储商品名称的字段的名称。

默认值为 event_type。

用于确定事件名称（子类型）的字段名称。

默认值为 @odata.type。

Microsoft Defender For XDR 实例的登录 API 根。如果使用 GCC High 租户，请更新此参数。

默认值为 https://login.microsoftonline.com。

Microsoft Graph 服务的 API 根。如果使用 GCC High 租户，请更新此参数。

默认值为 https://graph.microsoft.com。

Microsoft Defender XDR 实例的 API 根。如果使用 GCC High 租户，请更新此参数。

默认值为 https://api.security.microsoft.com。

Microsoft Entra ID 账号的 Microsoft Entra ID（租户 ID）值。

Microsoft Entra ID 账号的应用（客户端）ID 值。

Microsoft Entra ID 应用的客户端密钥值。

如果选中，集成会验证用于连接到 Microsoft Defender For XDR 服务器的 SSL 证书是否有效。

默认处于选中状态。

要提取的突发事件的最低严重程度。

在第一次连接器迭代之前，要从中检索突发事件的小时数。此参数适用于您首次启用连接器后的初始连接器迭代，或过期连接器时间戳的后备值。

默认值为 1。

每次连接器迭代要提取的突发事件数量上限。

默认值为 10。

要注入的突发事件状态的逗号分隔列表。

默认值为 active, inProgress。

可能的值如下：

• active
• inProgress
• resolved
• redirected

在大多数情况下，重定向的突发事件可以为空。

以英文逗号分隔的已分配用户账号或电子邮件地址列表，用于在通过 Microsoft Graph API 提取期间过滤突发事件。

逗号分隔列表，用于过滤从 Microsoft 365 Defender 提取的突发事件。

如果选中，连接器会将动态列表用作屏蔽名单。

默认情况下不选择。

要提取的提醒的最低严重级别。

如果启用，连接器会停止跟踪提醒的更新。

默认情况下，该环境处于停用状态。

包含环境名称的字段的名称。

要对 Environment Field Name 字段中的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。

使用默认值 .* 检索所需的原始 Environment Field Name 值。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。

运行当前脚本的 Python 进程的超时限制（以秒为单位）。

默认值为 180。

动态列表用于过滤的值。

可能的值包括 Incident Name 和 Alert Name。

默认值为 Incident Name。

要注入的提醒检测来源的英文逗号分隔列表，例如 antivirus, microsoftDefenderForEndpoint。

要注入的提醒服务来源的逗号分隔列表，例如 antivirus, microsoftDefenderForEndpoint。

如果选中，连接器会在创建提醒期间忽略 Google SecOps 溢出机制。

默认处于启用状态。

要使用的代理服务器的地址。

用于进行身份验证的代理用户名。

用于进行身份验证的代理密码。

必填。

要从中同步提醒的环境的名称。

默认值为 Default Environment。

必填。

Microsoft Defender XDR 实例的登录 API 根。

默认值为 https://login.microsoftonline.com。

必填。

Microsoft Graph 服务的 API 根。

默认值为 https://graph.microsoft.com。

必填。

Microsoft Defender XDR 实例的 API 根。

默认值为 https://api.security.microsoft.com。

必填。

Microsoft Defender XDR 账号租户 ID。

必填。

Microsoft Defender XDR 账号客户端 ID。

必填。

Microsoft Defender XDR 账号客户端密钥。

必填。

在第一个作业迭代期间，同步当前时间之前多少小时内的提醒。

默认值为 24。

可选。

如果选中，该操作会将受让人从 Microsoft Defender XDR 同步到 Google SecOps。

必填。

如果选中此选项，集成会在连接到 Microsoft Defender XDR 服务器时验证 SSL 证书。

默认处于启用状态。

可选。

用于控制每项功能的同步方向的 JSON 映射。

支持的键为 Status 和 Comments。

可能的值如下：

• Bidirectional
• toXDR
• toSecOps
• None

如果某个键设置为 None 或无效值，则系统会停用该功能的同步。

如果未提供任何值，则状态和评论都会双向同步。

未指定的键默认为 Bidirectional。例如：

• {"Status": "toXDR"}：将状态从 Google SecOps 同步到 Microsoft Defender XDR，而评论继续双向同步。
• {"Comments": "toSecOps"}：将评论从 Microsoft Defender XDR 同步到 Google SecOps，而状态继续双向同步。

默认值为 {"Status": "Bidirectional", "Comments": "Bidirectional"}。

可选。

Google SecOps Closure Reason|RootCause 对与 Microsoft Defender XDR 分类和判定的 JSON 映射。此参数仅适用于从 Google SecOps 到 Microsoft Defender XDR 的自定义关闭原因同步。

默认或留空行为：如果此参数留空或使用默认映射，作业将按如下方式映射关闭原因：

• Malicious → truePositive，maliciousUserActivity
• Not Malicious → falsePositive，notMalicious
• Maintenance 或 Inconclusive → unknownFutureValue、other（对应于 Microsoft Defender 中的未分类）

查找顺序：在 Google SecOps 中关闭提醒后，作业会按以下顺序评估关闭详情：

1. 完全匹配对 ("{Reason} | {Root Cause}")：检查是否完全匹配对（例如 "{Malicious} | {Misconfigured system}"）。
2. 单一原因匹配 ("Reason")：如果没有完全匹配的键值对，则检查是否有单一原因键匹配（例如 "Malicious"）。
3. 后备：如果两者都不匹配，或者 Microsoft Defender API 不接受指定的 classification 或 determination 值，则作业会使用 Fallback 条目。

默认值为 {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}。