O365 Management API

本文件說明如何將 O365 Management API 與 Google SecOps 整合。

應用實例

從 Microsoft 365 取得活動事件。

設定 O365 Management API，以便與 Google Security Operations 搭配使用

產品權限

詳情請參閱「開始使用 Office 365 Management API」。

您必須先為 Office 365 組織啟用統一稽核記錄，才能透過 Office 365 Management Activity API 存取資料。方法是開啟 Office 365 稽核記錄。如需操作說明，請參閱「開啟或關閉稽核功能」。

至於帳戶設定，程序與其他 Azure 產品 (Defender、Sentinel 等) 類似。您必須在 Azure Active Directory 中註冊應用程式，並授予下列權限：

  • Microsoft Graph 的委派 User.Read 權限
  • Office 365 Management Activity API 的應用程式ActivityFeed.ReadDlp權限

在 Google SecOps 中設定 O365 Management API 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
API 根 字串 https://manage.office.com 是 與整合功能搭配使用的 API 根網址。
Azure Active Directory ID 字串 不適用 是 Azure Active Directory 租戶 ID，可在「Active Directory」>「App Registration」>「<您為整合設定的應用程式>」目錄 (租戶) ID 中查看。範例：k48f52ca-0000-4708-8ed0-0000a20a40a
用戶端 ID 字串 不適用 是 在 Azure Active Directory 中，為這項整合註冊應用程式時新增的用戶端 (應用程式) ID。例如 29bf818e-0000-0000-0000-784fb644178d
用戶端密鑰 密碼 不適用 否 為 Azure AD 應用程式註冊輸入的密鑰。範例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
驗證 SSL 核取方塊 已勾選 是 指定是否應驗證遠端 API 端點 SSL 憑證。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。
憑證路徑 字串 不適用 否 如果使用憑證驗證，而非用戶端密鑰，請指定 Google SecOps 伺服器上的憑證路徑。
憑證密碼 密碼 不適用 否 (選用) 如果憑證受密碼保護，請指定密碼，以便開啟憑證檔案。
OAuth2 登入端點網址 字串 https://login.microsoftonline.com 是 指定要用於 OAUTH2 登入端點網址的網址連接器。

動作

乒乓

說明

使用 Google SecOps Content Hub 頁面中整合設定頁面提供的參數，測試與 O365 Management API 服務的連線。

參數

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
成功 True/False success:False
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Successfully connected to the O365 Management API with the provided connection parameters!"

動作應失敗並停止執行應對手冊：

  • 如果發生重大錯誤，例如憑證錯誤或連線中斷：列印「Failed to connect to the O365 Management API! 錯誤為 {0}".format(exception.stacktrace)
 一般

開始訂閱

說明

開始訂閱所選 Office 365 Management API 內容類型。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
開始訂閱 DDL 選取內容類型：Audit.General 是 指定要訂閱的內容類型。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Successfully created O365 Management API subscription for the {0} content type!".format(content_type)

動作應失敗並停止執行應對手冊：

  • 如果發生重大錯誤，例如憑證錯誤或連線中斷：輸出「Failed to execute command! 錯誤為 {0}".format(exception.stacktrace)
 一般

停止訂閱

說明

停止訂閱所選 Office 365 Management API 內容類型。

參數

參數顯示名稱 類型 預設值 是否強制 說明
停止訂閱 DDL 選取內容類型：Audit.General 是 指定要停止訂閱的內容類型。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 價值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

  • if successful: print "Successfully stopped O365 Management API subscription for the {0} content type!".format(content_type)

動作應失敗並停止執行應對手冊：

  • 如果發生重大錯誤，例如憑證錯誤或連線中斷：輸出「Failed to connect to execute command! 錯誤為 {0}".format(exception.stacktrace)
 一般

連接器

在 Google SecOps 中設定 Office 365 Management API 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

如要設定所選連接器，請使用下表列出的連接器專屬參數：

Office 365 Management API DLP Events 連接器

說明

從 Office 365 Management API 擷取資料遺失防護事件。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 作業 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根 字串 https://manage.office.com 是 與整合功能搭配使用的 API 根網址。
Azure Active Directory ID 字串 不適用 是 Azure Active Directory 租戶 ID，可在「Active Directory」>「App Registration」>「<您為整合設定的應用程式>」目錄 (租戶) ID 中查看。範例：k48f52ca-0000-4708-8ed0-0000a20a40a
用戶端 ID 字串 不適用 是 在 Azure Active Directory 中，為這項整合註冊應用程式時新增的用戶端 (應用程式) ID。範例：29bf818e-0000-0000-0000-784fb644178d
用戶端密鑰 密碼 不適用 否 為 Azure AD 應用程式註冊輸入的密鑰。範例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
驗證 SSL 核取方塊 已勾選 是 指定是否應驗證遠端 API 端點 SSL 憑證。
作業篩選器類型 字串 不適用 否 資料遺失防護事件可用的作業類型如下：DlpRuleMatch、DlpRuleUndo、DlpInfo。參數會做為黑名單。根據預設，如果未在這個參數中指定任何內容，系統會擷取所有可能的作業類型。如果在這個參數中指定作業類型，系統就不會擷取具有這類作業的事件。參數接受多個值，請以半形逗號分隔。
政策篩選器類型 字串 不適用 否 您可以使用參數指定政策名稱，如果事件中含有該名稱，系統就不會擷取事件。參數會做為黑名單。如未指定，預設會擷取所有可能的政策類型。參數接受多個值，請以半形逗號分隔。
遮蓋發現項目？ 核取方塊 已取消勾選 否 指定連接器是否應遮蓋觸發資料遺失防護政策比對結果的機密發現項目。
要擷取的事件數量上限 整數 50 是 每個連接器疊代要處理的事件數量。
擷取過去幾小時內的資料 (上限) 整數 8 是 擷取事件的時間範圍 (以小時為單位)。請注意，O365 Management API 只能傳回過去 7 天內的事件。
擷取過去資料的時間間隔 (分鐘) 整數 240 是 連接器應使用的時間間隔，用於擷取最多幾小時前的事件。如果 O365 租用戶忙碌，可能會傳回大量事件 blob。因此，這個參數 (以分鐘為單位) 可用於將最大時數向後分割成較小的區段，並個別處理。時間間隔總長度不得超過 24 小時。
活動緩衝期 (分鐘) 整數 60 是 「事件緩衝期 (分鐘)」指定連接器檢查新事件的最小時間間隔。
將許可清單當做黑名單使用 核取方塊 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
Proxy 伺服器位址 字串 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 否 用於驗證的 Proxy 密碼。
憑證路徑 字串 否 如果使用憑證驗證，而非用戶端密鑰，請指定 Google SecOps 伺服器上的憑證路徑。
憑證密碼 密碼 否 (選用) 如果憑證受密碼保護，請指定密碼，以便開啟憑證檔案。
OAuth2 登入端點網址 字串 https://login.microsoftonline.com 是 指定連接器應使用的 OAuth2 登入端點網址

連接器規則

許可清單 / 封鎖清單

連接器支援許可清單/封鎖清單。

Proxy 支援

連接器支援 Proxy。

Office 365 Management API 稽核一般事件連接器

說明

從 Office 365 Management API 擷取 Audit.General 事件。請務必先執行「Start a Subscription」動作，啟用 Audit.General 事件的訂閱功能。

如要使用 Office 365 Management API Audit General Events 連接器，必須具備下列權限：

  • Microsoft Graph 的委派權限：User.Read、email 和 profile
  • Office 365 Management Activity API 的應用程式 ActivityFeed.ReadDlp 和 ActivityFeed.Read 權限

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 作業 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根 字串 https://manage.office.com 是 與整合功能搭配使用的 API 根網址。
Azure Active Directory ID 字串 不適用 是 Azure Active Directory 租戶 ID，可在「Active Directory」>「App Registration」>「<您為整合設定的應用程式>」目錄 (租戶) ID 中查看。範例：k48f52ca-0000-4708-8ed0-0000a20a40a
用戶端 ID 字串 不適用 是 在 Azure Active Directory 中，為這項整合註冊應用程式時新增的用戶端 (應用程式) ID。範例：29bf818e-0000-0000-0000-784fb644178d
用戶端密鑰 密碼 不適用 否 為 Azure AD 應用程式註冊輸入的密鑰。範例：XF00000Qc0000000[UZSW7-0?qXb6Qx]
憑證路徑 字串 不適用 否 如果使用憑證驗證，而非用戶端密鑰，請指定 Google SecOps 伺服器上的憑證路徑。
憑證密碼 密碼 不適用 否 (選用) 如果憑證受密碼保護，請指定密碼，以便開啟憑證檔案。
OAuth2 登入端點網址 字串 https://login.microsoftonline.com 否 指定連接器應使用的 OAuth2 登入端點網址
驗證 SSL 核取方塊 已勾選 是 指定是否應驗證遠端 API 端點 SSL 憑證。
作業篩選器類型 字串 不適用 否 audit.general 結構定義中可能有不同的作業類型：SearchAirBatch、SearchCustomTag 等。根據預設，如果未在這個參數中指定任何內容，系統會擷取所有可能的作業類型。如果在這個參數中指定作業類型，系統就不會擷取具有這類作業的事件。參數接受多個值，請以半形逗號分隔。
狀態篩選器 字串 不適用 否 您可以使用參數指定狀態，如果事件中存在該狀態，系統就不會擷取事件。參數會做為黑名單。如未指定，預設會擷取所有可能的狀態類型。參數接受多個值，請以半形逗號分隔。
將作業和狀態篩選器做為許可清單 核取方塊 已取消勾選 是 如果啟用，作業和狀態篩選器會做為許可清單，預設為黑名單。
建立其他事件的實體索引鍵 CSV 不適用 否 指定鍵，如果資料的 Audit.General 實體部分出現這些鍵，則應採用相關子節建立額外的 Google SecOps 事件。
要擷取的事件數量上限 整數 50 是 每個連接器疊代要處理的事件數量。
擷取過去幾小時內的資料 (上限) 整數 8 是 擷取事件的時間範圍 (以小時為單位)。請注意，O365 Management API 只能傳回過去 7 天內的事件。
擷取過去資料的時間間隔 (分鐘) 整數 240 是 連接器應使用的時間間隔，用於擷取最多幾小時前的事件。如果 O365 租用戶忙碌，可能會傳回大量事件 blob。因此，這個參數 (以分鐘為單位) 可用於將最大時數向後分割成較小的區段，並個別處理。時間間隔總長度不得超過 24 小時。
活動緩衝期 (分鐘) 整數 60 是 「事件緩衝期 (分鐘)」指定連接器檢查新事件的最小時間間隔。
將許可清單當做黑名單使用 核取方塊 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
Proxy 伺服器位址 字串 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 否 用於驗證的 Proxy 密碼。

連接器規則

許可清單 / 封鎖清單

連接器支援許可清單/封鎖清單。

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。