O365 Management API

本文档介绍了如何将 O365 Management API 与 Google SecOps 集成。

使用场景

从 Microsoft 365 获取活动事件。

配置 O365 Management API 以与 Google Security Operations 搭配使用

产品权限

如需了解详情，请参阅 Office 365 Management API 使用入门。

您必须先为 Office 365 组织启用统一审核日志记录，然后才能通过 Office 365 Management Activity API 访问数据。为此，您需要开启 Office 365 审核日志。如需查看相关说明，请参阅启用或停用审核功能。

至于账号配置，其过程与其他基于 Azure 的产品（Defender、Sentinel 等）类似。您需要在 Azure Active Directory 中注册应用，并为其授予以下权限：

  • Microsoft Graph 的委托 User.Read 权限
  • Office 365 管理活动 API 的应用 ActivityFeed.ReadDlp 权限

在 Google SecOps 中配置 O365 Management API 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://manage.office.com 是 要与集成搭配使用的 API 根网址。
Azure Active Directory ID 字符串 不适用 是 Azure Active Directory 租户 ID，可在“Active Directory”>“应用注册”>“<您为集成配置的应用>”目录（租户）ID 中查看。示例：k48f52ca-0000-4708-8ed0-0000a20a40a
客户端 ID 字符串 不适用 是 在 Azure Active Directory 中为此集成注册应用时添加的客户端（应用）ID。例如 29bf818e-0000-0000-0000-784fb644178d
客户端密钥 密码 不适用 否 为 Azure AD 应用注册输入的密钥。示例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
验证 SSL 复选框 勾选 是 指定是否应验证远程 API 端点 SSL 证书。
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。
证书路径 字符串 不适用 否 如果使用基于证书的身份验证（而非客户端密钥），请指定 Google SecOps 服务器上的证书路径。
证书密码 密码 不适用 否 可选：如果证书受密码保护，请指定用于打开证书文件的密码。
OAUTH2 登录端点网址 字符串 https://login.microsoftonline.com 是 指定应在 OAUTH2 登录端点网址中使用的网址连接器。

操作

Ping

说明

使用 Google SecOps 内容中心页面中的集成配置页面上提供的参数，测试与 O365 Management API 服务的连接。

参数

不适用

运行时间

此操作会对所有实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
成功 True/False success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

  • if successful: print "Successfully connected to the O365 Management API with the provided connection parameters!"

操作应失败并停止 playbook 执行：

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the O365 Management API! 错误为 {0}”。format(exception.stacktrace)
 常规

开始订阅

说明

开始订阅所选的 Office 365 Management API 内容类型。

参数

参数显示名称 类型 默认值 为必填项 说明
开始订阅 DDL 选择内容类型：Audit.General 是 指定要为哪种内容类型启动订阅。

运行时间

此操作会对所有实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

  • if successful: print "Successfully created O365 Management API subscription for the {0} content type!".format(content_type)

操作应失败并停止 playbook 执行：

  • if critical error, like wrong credentials or lost connectivity: print "Failed to execute command! 错误为 {0}”。format(exception.stacktrace)
 常规

停止订阅

说明

停止订阅所选的 Office 365 Management API 内容类型。

参数

参数显示名称 类型 默认值 是否必填 说明
停止订阅 DDL 选择内容类型：Audit.General 是 指定要停止哪种内容类型的订阅。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 “值”选项 示例
is_success True/False is_success:False
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

  • if successful: print "Successfully stopped O365 Management API subscription for the {0} content type!".format(content_type)

操作应失败并停止 playbook 执行：

  • 如果出现严重错误，例如凭据错误或连接中断：输出“Failed to connect to execute command! 错误为 {0}”。format(exception.stacktrace)
 常规

连接器

在 Google SecOps 中配置 Office 365 Management API 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

如需配置所选连接器，请使用下表中列出的连接器专用参数：

Office 365 Management API DLP Events Connector

说明

从 Office 365 Management API 提取 DLP 事件。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 操作 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://manage.office.com 是 要与集成搭配使用的 API 根网址。
Azure Active Directory ID 字符串 不适用 是 Azure Active Directory 租户 ID，可在“Active Directory”>“应用注册”>“<您为集成配置的应用>”目录（租户）ID 中查看。示例：k48f52ca-0000-4708-8ed0-0000a20a40a
客户端 ID 字符串 不适用 是 在 Azure Active Directory 中为此集成注册应用时添加的客户端（应用）ID。示例：29bf818e-0000-0000-0000-784fb644178d
客户端密钥 密码 不适用 否 为 Azure AD 应用注册输入的密钥。示例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
验证 SSL 复选框 勾选 是 指定是否应验证远程 API 端点 SSL 证书。
操作过滤条件类型 字符串 不适用 否 DLP 事件的操作类型包括：DlpRuleMatch、DlpRuleUndo、DlpInfo。参数用作黑名单。默认情况下，如果此参数中未指定任何内容，则会注入所有可能的操作类型。如果在此参数中指定了操作类型，则系统不会提取具有此操作类型的事件。此参数接受以英文逗号分隔的字符串形式的多个值。
政策过滤条件类型 字符串 不适用 否 此参数可用于指定政策名称，如果事件中存在该政策，则不会提取该事件。参数用作黑名单。默认情况下，如果未指定任何内容，则注入所有可能的政策类型。此参数接受以英文逗号分隔的字符串形式的多个值。
要遮盖发现结果吗？ 复选框 尚未核查 否 指定连接器是否应遮盖触发 DLP 政策命中的敏感发现结果。
要提取的事件数量上限 整数 50 是 每次连接器迭代要处理的事件数量。
回溯的小时数上限 整数 8 是 提取事件的小时数。请注意，O365 Management API 允许返回过去 7 天（而非更早）的事件。
向后提取时间间隔（分钟） 整数 240 是 连接器应使用的时间间隔，用于提取最长小时数之前的事件。如果 O365 租户处于忙碌状态，则可能会返回大量事件 blob。因此，此参数（以分钟为单位）可用于将最大小时数向后拆分为较小的片段，并分别进行处理。时间间隔总计不能超过 24 小时。
活动填充期（分钟） 整数 60 是 “事件填充期（以分钟为单位）”指定了连接器用于检查新事件的最小时间间隔。
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。
代理服务器地址 字符串 否 要使用的代理服务器的地址。
代理用户名 字符串 否 用于进行身份验证的代理用户名。
代理密码 密码 否 用于进行身份验证的代理密码。
证书路径 字符串 否 如果使用基于证书的身份验证（而非客户端密钥），请指定 Google SecOps 服务器上的证书路径。
证书密码 密码 否 可选：如果证书受密码保护，请指定用于打开证书文件的密码。
OAUTH2 登录端点网址 字符串 https://login.microsoftonline.com 是 指定连接器应使用的 OAUTH2 登录端点网址

连接器规则

白名单 / 黑名单

连接器支持白名单/黑名单。

代理支持

此连接器支持代理。

Office 365 Management API Audit General Events 连接器

说明

从 Office 365 Management API 提取 Audit.General 事件。请确保您首先通过运行“启动订阅”操作为 Audit.General 事件启用了订阅。

对于 Office 365 Management API Audit General Events Connector，需要以下权限：

  • 来自 Microsoft Graph 的 User.Read、email和 profile 委托权限
  • Office 365 管理活动 API 的应用 ActivityFeed.ReadDlp 和 ActivityFeed.Read 权限

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 操作 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://manage.office.com 是 要与集成搭配使用的 API 根网址。
Azure Active Directory ID 字符串 不适用 是 Azure Active Directory 租户 ID，可在“Active Directory”>“应用注册”>“<您为集成配置的应用>”目录（租户）ID 中查看。示例：k48f52ca-0000-4708-8ed0-0000a20a40a
客户端 ID 字符串 不适用 是 在 Azure Active Directory 中为此集成注册应用时添加的客户端（应用）ID。示例：29bf818e-0000-0000-0000-784fb644178d
客户端密钥 密码 不适用 否 为 Azure AD 应用注册输入的密钥。示例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
证书路径 字符串 不适用 否 如果使用基于证书的身份验证（而非客户端密钥），请指定 Google SecOps 服务器上的证书路径。
证书密码 密码 不适用 否 可选：如果证书受密码保护，请指定用于打开证书文件的密码。
OAUTH2 登录端点网址 字符串 https://login.microsoftonline.com 否 指定连接器应使用的 OAUTH2 登录端点网址
验证 SSL 复选框 勾选 是 指定是否应验证远程 API 端点 SSL 证书。
操作过滤条件类型 字符串 不适用 否 在 audit.general 架构中，可能有不同的操作类型：SearchAirBatch、SearchCustomTag 等。默认情况下，如果此参数中未指定任何内容，则会注入所有可能的操作类型。如果在此参数中指定了操作类型，则系统不会提取具有此操作类型的事件。此参数接受以英文逗号分隔的字符串形式的多个值。
状态过滤条件 字符串 不适用 否 此参数可用于指定状态，如果事件中存在该状态，则不会提取该事件。参数用作黑名单。默认情况下，如果未指定任何内容，则注入所有可能的状态类型。此参数接受以英文逗号分隔的字符串形式的多个值。
将操作和状态过滤条件用作许可名单 复选框 尚未核查 是 如果启用，操作和状态过滤条件将作为许可名单，默认情况下为屏蔽名单。
用于创建其他事件的实体键 CSV 不适用 否 指定在数据的 Audit.General 实体部分中看到时，应采用相关子部分来创建其他 Google SecOps 事件的键。
要提取的事件数量上限 整数 50 是 每次连接器迭代要处理的事件数量。
回溯的小时数上限 整数 8 是 提取事件的小时数。请注意，O365 Management API 允许返回过去 7 天（而非更早）的事件。
向后提取时间间隔（分钟） 整数 240 是 连接器应使用的时间间隔，用于提取最长小时数之前的事件。如果 O365 租户处于忙碌状态，则可能会返回大量事件 blob。因此，此参数（以分钟为单位）可用于将最大小时数向后拆分为较小的片段，并分别进行处理。时间间隔总计不能超过 24 小时。
活动填充期（分钟） 整数 60 是 “事件填充期（以分钟为单位）”指定了连接器用于检查新事件的最小时间间隔。
将白名单用作黑名单 复选框 尚未核查 是 如果启用，白名单将用作黑名单。
代理服务器地址 字符串 否 要使用的代理服务器的地址。
代理用户名 字符串 否 用于进行身份验证的代理用户名。
代理密码 密码 否 用于进行身份验证的代理密码。

连接器规则

白名单 / 黑名单

连接器支持白名单/黑名单。

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。