Microsoft 365 Defender

Microsoft Defender For XDR 執行個體的登入 API 根目錄。

預設值為 https://login.microsoftonline.com。

Microsoft Graph 服務的 API 根目錄。

預設值為 https://graph.microsoft.com。

Microsoft Defender For XDR 執行個體的 API 根目錄。

預設值為 https://api.security.microsoft.com。

Microsoft Entra ID 帳戶的 Microsoft Entra ID (租戶 ID) 值。

Microsoft Entra ID 帳戶的應用程式 (用戶端) ID 值。

Microsoft Entra ID 應用程式的用戶端密鑰值。

如果選取這個選項，整合功能會驗證用於連線至 Microsoft Defender for XDR 伺服器的 SSL 憑證是否有效。

預設為選取。

要新增註解的事件 ID。

要新增至事件的註解。

要在 Microsoft Defender For XDR 執行的查詢，用於篩選結果。

查詢結果的時間範圍。

可能的值如下：

• Select One
• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

如果選取 Custom，則必須設定 Start Time。

預設值為 Select One。

查詢結果的開始時間，採用 ISO 8601 格式。

如果 Time Frame 設為 Custom，則必須提供這項參數。

查詢結果的結束時間，採用 ISO 8601 格式。

如未提供值，且 Time Frame 設為 Custom，則動作會使用目前時間。

查詢傳回的結果數量上限。

預設值為 50。

在 Microsoft Defender For XDR 中查詢的資料表清單，以半形逗號分隔。

查詢結果的時間範圍。

預設值為 Last Hour。

可能的值如下：

• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

查詢結果的開始時間。

如果將 Time Frame 參數設為 Custom，則必須提供這個參數。

查詢結果的結束時間。

如未設定值，並將 Time Frame 參數設為 Custom，動作預設會將這個參數設為目前的時間值。

列出要納入結果的欄位，並以半形逗號分隔。

用於排序結果的欄位。

預設值為 Timestamp。

結果的排序順序 (遞增或遞減)。

預設值為 ASC。

可能的值如下：

• ASC
• DESC

要傳回的結果數上限。

預設值為 50。

用於依 IP Address 實體篩選的鍵。

用於依 Hostname 實體篩選的鍵。

用於依 File Hash 實體篩選的鍵。

用於依 User 實體篩選的鍵。

用於依 URL 實體篩選的鍵。

用於依 Email Address 實體篩選的鍵。這個動作接受與電子郵件規則運算式相符的 User 實體。

如果選取這個選項，則只有在所有指定的實體類型都存在時，才會執行動作。

預設為選取。

在查詢中，用於不同實體類型之間的邏輯運算子。

預設值為 OR。

可能的值如下：

• OR
• AND

在 Microsoft 365 Defender 中查詢的資料表名稱清單，以半形逗號分隔。

要執行的查詢。

請使用這個參數提供 | where 子句。時間篩選器、限制和排序功能為選用。

查詢結果的時間範圍。

預設值為 Last Hour。

可能的值如下：

• Last Hour
• Last 6 Hours
• Last 24 Hours
• Last Week
• Last Month
• Custom

查詢結果的開始時間，採用 ISO 8601 格式。

如果將 Time Frame 參數設為 Custom，則必須提供這個參數。

查詢結果的結束時間，採用 ISO 8601 格式。

如未設定值，並將 Time Frame 參數設為 Custom，動作預設會將這個參數設為目前的時間值。

列出要納入結果的欄位，並以半形逗號分隔。

用於排序結果的欄位。

預設值為 Timestamp。

結果的排序順序 (遞增或遞減)。

預設值為 ASC。

可能的值如下：

• ASC
• DESC

要傳回的結果數上限。

預設值為 50。

要在 Microsoft Defender For XDR 中更新的事件 ID。

在 Microsoft Defender For XDR 中為事件設定的狀態。

預設值為 Select One。

可能的值如下：

• Select One
• Active
• Resolved

在 Microsoft Defender For XDR 中為事件設定的分類。

預設值為 Select One。

可能的值如下：

• Select One
• False Positive
• True Positive

要在 Microsoft Defender For XDR 中為事件設定的判定結果。

只有在 Classification 參數值為 True Positive 時，這項參數才會生效。

預設值為 Select One。

可能的值如下：

• Select One
• Not Available
• Apt
• Malware
• Security Personnel
• Security Testing
• Unwanted Software
• Other

在 Microsoft Defender For XDR 中指派事件的使用者。

儲存產品名稱的欄位名稱。

預設值為 event_type。

用於判斷事件名稱 (子類型) 的欄位名稱。

預設值為 @odata.type。

Microsoft Defender For XDR 執行個體的登入 API 根目錄。如果使用 GCC High 租戶，請更新這項參數。

預設值為 https://login.microsoftonline.com。

Microsoft Graph 服務的 API 根目錄。如果使用 GCC High 租戶，請更新這項參數。

預設值為 https://graph.microsoft.com。

Microsoft Defender XDR 執行個體的 API 根目錄。如果使用 GCC High 租戶，請更新這項參數。

預設值為 https://api.security.microsoft.com。

Microsoft Entra ID 帳戶的 Microsoft Entra ID (租戶 ID) 值。

Microsoft Entra ID 帳戶的應用程式 (用戶端) ID 值。

Microsoft Entra ID 應用程式的用戶端密鑰值。

如果選取這個選項，整合功能會驗證用於連線至 Microsoft Defender for XDR 伺服器的 SSL 憑證是否有效。

預設為選取。

要擷取的事件最低嚴重性。

第一次執行連接器疊代作業時，要擷取多久以前的事件。這個參數適用於首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1。

每次連接器疊代要擷取的事件數量上限。

預設值為 10。

要擷取的事件狀態逗號分隔的清單。

預設值為 active, inProgress。

可能的值如下：

• active
• inProgress
• resolved
• redirected

在大多數情況下，重新導向的事件可能為空白。

以半形逗號分隔的清單，列出指派的使用者帳戶或電子郵件地址，用於在透過 Microsoft Graph API 擷取資料時篩選事件。

以半形逗號分隔的標記清單，用於篩選從 Microsoft 365 Defender 擷取的事件。

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。

要擷取的最低警告嚴重性。

如果啟用，連接器就會停止追蹤快訊更新。

預設為停用。

包含環境名稱的欄位名稱。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。

動態清單用於篩選的值。

可能的值為 Incident Name 和 Alert Name。

預設值為 Incident Name。

以半形逗號分隔的快訊偵測來源清單，例如 antivirus, microsoftDefenderForEndpoint。

以半形逗號分隔的清單，列出要擷取的警告服務來源，例如 antivirus, microsoftDefenderForEndpoint。

如果選取，連接器會在建立快訊時忽略 Google SecOps 溢位機制。

(預設為啟用)。

要使用的 Proxy 伺服器位址。

用於驗證的 Proxy 使用者名稱。

用於驗證的 Proxy 密碼。

這是必填欄位。

要同步處理快訊的環境名稱。

預設值為 Default Environment。

這是必填欄位。

Microsoft Defender XDR 執行個體的登入 API 根目錄。

預設值為 https://login.microsoftonline.com。

這是必填欄位。

Microsoft Graph 服務的 API 根目錄。

預設值為 https://graph.microsoft.com。

這是必填欄位。

Microsoft Defender XDR 執行個體的 API 根目錄。

預設值為 https://api.security.microsoft.com。

這是必填欄位。

Microsoft Defender XDR 帳戶租戶 ID。

這是必填欄位。

Microsoft Defender XDR 帳戶用戶端 ID。

這是必填欄位。

Microsoft Defender XDR 帳戶用戶端密鑰。

這是必填欄位。

在第一次工作疊代期間，同步處理目前時間之前幾小時的快訊。

預設值為 24。

選填。

如果選取，這項動作會將指派對象從 Microsoft Defender XDR 同步至 Google SecOps。

這是必填欄位。

如果選取，整合功能會在連線至 Microsoft Defender XDR 伺服器時驗證 SSL 憑證。

(預設為啟用)。

選填。

用於控制各項功能同步方向的 JSON 對應。

支援的鍵為 Status 和 Comments。

可能的值如下：

• Bidirectional
• toXDR
• toSecOps
• None

如果將索引鍵設為 None 或無效值，系統會停用該功能的同步處理。

如未提供任何值，狀態和註解都會雙向同步。

未指定的鍵預設為 Bidirectional。例如：

• {"Status": "toXDR"}：將狀態從 Google SecOps 同步至 Microsoft Defender XDR，而註解則繼續雙向同步。
• {"Comments": "toSecOps"}：將 Microsoft Defender XDR 的註解同步至 Google SecOps，狀態則會繼續雙向同步。

預設值為 {"Status": "Bidirectional", "Comments": "Bidirectional"}。

選填。

Google SecOps Closure Reason|RootCause 組合與 Microsoft Defender XDR 分類和判定的 JSON 對應關係。這項參數僅適用於從 Google SecOps 同步至 Microsoft Defender XDR 的自訂結案原因。

預設或空白行為：如果這個參數留空或使用預設對應，工作會按照下列方式對應關閉原因：

• Malicious → truePositive、maliciousUserActivity
• Not Malicious → falsePositive、notMalicious
• Maintenance 或 Inconclusive → unknownFutureValue、other (對應 Microsoft Defender 中的「未分類」)

查詢順序：在 Google SecOps 中關閉快訊時，工作會按照下列順序評估關閉詳細資料：

1. 完全配對 ("{Reason} | {Root Cause}")：檢查是否有完全配對 (例如 "{Malicious} | {Misconfigured system}")。
2. 單一原因比對 ("Reason")：如果沒有完全相符的組合，則會檢查是否有單一原因鍵相符 (例如 "Malicious")。
3. 備用：如果兩者都不相符，或 Microsoft Defender API 不接受指定的 classification 或 determination 值，工作會使用 Fallback 項目。

預設值為 {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}。