Microsoft 365 Defender

本文說明如何整合 Microsoft Defender For XDR 與 Google Security Operations。

用途

將 Microsoft Defender For XDR 與 Google SecOps 整合，有助於解決下列用途：

• 自動事件應變：使用 Google SecOps 功能自動隔離受影響的端點，並啟動掃描程序，進一步瞭解是否遭到入侵。

• 網路釣魚調查與補救：使用 Google SecOps 功能自動擷取相關資訊，例如寄件者、主旨和附件，並以威脅情報資料豐富這些資訊。

• 安全漏洞管理：使用 Google SecOps 功能，自動執行安全漏洞掃描和修復工作流程。

• 法規遵循報表和稽核：使用 Google SecOps 功能，自動收集及回報 Microsoft Defender For XDR 的安全性資料，簡化法規遵循稽核，並證明符合安全標準。

• 警示優先順序和分類：使用 Google SecOps 功能分析 Microsoft Defender For XDR 的警示，並根據嚴重程度和潛在影響排定優先順序。

• 自動分析惡意軟體：使用 Google SecOps 功能，自動將 Microsoft 365 Defender 偵測到的惡意軟體樣本提交至沙箱環境，進行動態分析。

事前準備

在 Google SecOps 平台中設定整合功能前，請先完成下列步驟：

1. 建立 Microsoft Entra 應用程式。

2. 設定應用程式的 API 權限。

3. 建立用戶端密鑰。

建立 Microsoft Entra 應用程式

如要建立 Microsoft Entra 應用程式，請完成下列步驟：

1. 以使用者管理員或密碼管理員身分登入 Azure 入口網站。

2. 選取「Microsoft Entra ID」。

3. 依序前往「App registrations」>「New registration」。

4. 輸入應用程式名稱。

5. 按一下「註冊」。

6. 儲存「應用程式 (用戶端) ID」和「目錄 (租戶) ID」值，稍後設定整合參數時會用到。

設定 API 權限

如要設定整合的 API 權限，請完成下列步驟：

1. 在 Azure 入口網站中，依序前往「管理」>「API 權限」>「新增權限」。

2. 在「Request API permissions」(要求 API 權限) 視窗中，選取「APIs my organization uses」(我的機構使用的 API)。

3. 依序選取「Microsoft Graph」>「應用程式權限」。

4. 選取下列權限：

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. 按一下「Add permissions」。

6. 在「Request API permissions」(要求 API 權限) 視窗中，選取「APIs my organization uses」(我的機構使用的 API)。

7. 依序選取「Microsoft Threat Protection」>「應用程式權限」。

8. 選取下列權限：

   • ThreatHunting.Read.All

9. 按一下「Add permissions」。

10. 按一下「Grant admin consent for YOUR_ORGANIZATION_NAME」。

    畫面顯示「授予管理員同意聲明確認」對話方塊時，按一下「是」。

建立用戶端密鑰

如要建立用戶端密鑰，請完成下列步驟：

1. 依序前往「Certificates and secrets」(憑證和密鑰) >「New client secret」(新增用戶端密鑰)。

2. 提供用戶端密鑰的說明，並設定到期期限。

3. 按一下「新增」。

4. 儲存用戶端密鑰的值 (而非密鑰 ID)，在設定整合時做為 Client Secret 參數值。

   用戶端密鑰值只會顯示一次。

整合 Microsoft Defender For XDR 與 Google SecOps

整合 Microsoft Defender For XDR 時，需要下列參數：

如需在 Google SecOps 中設定整合功能的說明，請參閱「設定整合功能」。

如有需要，您稍後可以變更。設定整合執行個體後，您可以在應對手冊中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「從工作區回應待處理動作」和「執行手動動作」。

為事件新增註解

使用「Add Comment To Incident」(在事件中新增註解) 動作，在 Microsoft Defender For XDR 中新增事件註解。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Comment To Incident」(在事件中新增留言) 動作需要下列參數：

動作輸出內容

「Add Comment To Incident」(在事件中新增註解) 動作會提供下列輸出內容：

輸出訊息

「Add Comment To Incident」(在事件中新增留言) 動作可傳回下列輸出訊息：

指令碼結果

下表列出使用「Add Comment To Incident」(在事件中新增留言) 動作時，指令碼結果輸出的值：

執行自訂查詢

使用「執行自訂查詢」動作，在 Microsoft Defender For XDR 中執行自訂搜尋查詢。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「執行自訂查詢」動作需要下列參數：

動作輸出內容

「執行自訂查詢」動作會提供下列輸出內容：

JSON 結果

下列範例顯示使用「執行自訂查詢」動作時收到的 JSON 結果輸出內容：

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

輸出訊息

「執行自訂查詢」動作可以傳回下列輸出訊息：

指令碼結果

下表列出使用「執行自訂查詢」動作時，指令碼結果輸出的值：

執行實體查詢

使用「執行實體查詢」動作，根據 Microsoft Defender For XDR 中的實體執行搜尋查詢。

這項動作會使用以實體為準的 where 篩選條件。

這項動作會在下列 Google SecOps 實體上執行：

• IP Address
• Host
• User
• Hash
• URL

您可以使用「執行實體查詢」動作，擷取與實體相關的資訊，例如從資料表擷取結果，並根據實體篩選結果。

與需要使用特定格式的「執行查詢」動作不同，「執行實體查詢」動作不會使用查詢輸入內容。

使用「Execute Query」(執行查詢) 動作擷取與端點相關的快訊時，請依下列格式設定 | where 子句：

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

如要擷取與端點相關的快訊，執行實體查詢動作時，必須依下列方式設定 Table、IP Entity Key、Hostname Entity Key 和 Cross Entity Operator 參數：

如要查看提供的雜湊值影響多少端點，您必須為 File Hash Entity Key 參數輸入 SHA1 值，才能執行「Execute Entity Query」(執行實體查詢) 動作。

如果您為 Entity Keys 參數設定多個值，Cross Entity Operator 只會影響查詢。

動作輸入內容

「執行實體查詢」動作需要下列參數：

動作輸出內容

「執行實體查詢」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「執行實體查詢」動作時收到的 JSON 結果輸出內容：

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

輸出訊息

「執行實體查詢」動作可傳回下列輸出訊息：

指令碼結果

下表列出使用「執行實體查詢」動作時，指令碼結果輸出的值：

執行查詢

使用「執行查詢」動作，在 Microsoft 365 Defender 中執行搜尋查詢。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「執行查詢」動作需要下列參數：

動作輸出內容

「執行查詢」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「執行查詢」動作時收到的 JSON 結果輸出內容：

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

輸出訊息

「執行查詢」動作可以傳回下列輸出訊息：

指令碼結果

下表列出使用「執行查詢」動作時，指令碼結果輸出的值：

Ping

使用「Ping」動作測試與 Microsoft Defender For XDR 的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Ping」動作時收到的 JSON 結果輸出內容：

輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

指令碼結果

下表列出使用「Ping」動作時，指令碼結果輸出的值：

更新事件

使用「更新事件」動作，更新 Microsoft Defender For XDR 中的事件。

根據 API 限制，即使您為 Assign To 參數設定無效的使用者名稱值，這項動作也不會失敗。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Incident」動作需要下列參數：

動作輸出內容

「更新事件」動作會提供下列輸出內容：

輸出訊息

「更新事件」動作可能會傳回下列輸出訊息：

連接器

如需在 Google SecOps 中設定連接器的詳細操作說明，請參閱「擷取資料 (連接器)」。

Microsoft 365 Defender - Incident 連接器

使用 Microsoft 365 Defender - Incidents Connector，從 Microsoft Defender XDR 擷取事件和相關快訊的資訊。

動態清單會搭配事件名稱運作。

連接器限制

Microsoft 365 Defender - Incident 連接器會使用 API 要求，但有嚴格的 API 限制。如要穩定連接器，請將 Max Incidents To Fetch 參數設為 10，並將 Run Every 參數設為 1 minute。您仍可能達到速率限制，因為用來擷取快訊的 Microsoft Graph API 端點每分鐘只允許 20 個要求。

為避免達到速率限制而遺失資料，連接器會停止處理目前事件，並等待 90 秒，再處理其他事件。90 秒後，速率限制會恢復為最大值，連接器也會重新處理先前疊代中未正確處理的事件。

連接器輸入內容

Microsoft 365 Defender - Incident Connector 需要下列參數：

連接器規則

• 連接器支援 Proxy。
• 這個連接器支援動態清單和封鎖清單。
• 這個連接器支援 GCC High 租戶。

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

Microsoft 365 Defender - Sync Alerts

使用 Microsoft 365 Defender - Sync Alerts 工作，在 Google SecOps 和 Microsoft Defender XDR 之間雙向同步處理快訊、註解和狀態。

工作需求

為確保工作能識別並同步處理正確的資料，必須符合下列條件：

• Google Security Operations 案件必須包含 Microsoft Defender XDR Alert 標記。

• 如果快訊並非來自 Microsoft 365 Defender - Incidents Connector，您必須在快訊中加入 Alert_ID 內容值。

• 指派對象同步作業只會從 Microsoft Defender XDR 進行到 Google SecOps。

工作參數

「Microsoft 365 Defender - Sync Alerts」工作需要下列參數：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。