Microsoft Defender for Endpoint-Logs unter iOS erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for Endpoint-Logs auf iOS-Geräten erfassen können, indem Sie einen Google SecOps-Feed mit Microsoft Azure Blob Storage V2 einrichten.

Microsoft Defender für Endpunkte unter iOS ist eine Lösung zur Abwehr von Bedrohungen auf Mobilgeräten, die iOS-Geräte vor Phishing, unsicheren Netzwerkverbindungen und schädlichen Apps schützt. Sie bietet Webschutz über ein lokales VPN und lässt sich zur Geräteverwaltung in Microsoft Intune einbinden. Ereignisse von iOS-Geräten werden in denselben Advanced Hunting-Tabellen wie andere Defender for Endpoint-Plattformen erfasst, einschließlich DeviceEvents, DeviceInfo, DeviceLogonEvents und DeviceNetworkEvents.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf das Microsoft Azure-Portal mit folgenden Berechtigungen:
    • Speicherkonten erstellen
    • Diagnoseeinstellungen konfigurieren (für Azure-Dienste)
    • Zugriffsschlüssel verwalten
  • Zugriff auf das Microsoft Defender-Portal mit folgenden Berechtigungen:
    • Einstellungen für den Datenexport konfigurieren
    • Microsoft Defender XDR-Einstellungen verwalten
  • iOS-Geräte mit iOS 16.0 oder höher

  • Geräte, die über das Intune-Unternehmensportal oder Microsoft Authenticator registriert wurden

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Azure-Abo auswählen
    Ressourcengruppe Vorhandene auswählen oder neue erstellen
    Storage-Kontoname Geben Sie einen eindeutigen Namen ein (z. B. defenderioslogssa).
    Region Wählen Sie die Region aus (z. B. East US).
    Leistung Standard (empfohlen)
    Redundanz GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Prüfen Sie die Übersicht des Kontos und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für Speicherkonto abrufen

  1. Rufen Sie das soeben erstellte Speicherkonto auf.
  2. Wählen Sie im linken Navigationsbereich unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  3. Klicken Sie auf Schlüssel anzeigen.
  4. Kopieren und speichern Sie Folgendes für die spätere Verwendung:
    • Storage-Kontoname: Der von Ihnen erstellte Name (z. B. defenderioslogssa)
    • Schlüssel 1 oder Schlüssel 2: Der freigegebene Zugriffsschlüssel (ein zufälliger 512-Bit-String in Base64-Codierung)

Blob-Dienstendpunkt abrufen

  1. Wählen Sie im selben Speicherkonto im linken Navigationsbereich Endpunkte aus.
  2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
    • Beispiel: https://defenderioslogssa.blob.core.windows.net/

Ressourcen-ID des Speicherkontos abrufen

  1. Wählen Sie im selben Speicherkonto im linken Navigationsbereich Eigenschaften aus.
  2. Scrollen Sie nach unten zu Ressourcen-ID des Speicherkontos.
  3. Klicken Sie auf das Kopiersymbol neben der Ressourcen-ID und speichern Sie sie für die spätere Verwendung.
    • Beispiel: /subscriptions/12345678-1234-1234-1234-123456789012/resourceGroups/myResourceGroup/providers/Microsoft.Storage/storageAccounts/defenderioslogssa

Datenexport für Microsoft Defender for Endpoint konfigurieren

  1. Melden Sie sich unter https://security.microsoft.com im Microsoft Defender-Portal an.
  2. Gehen Sie zu Einstellungen > Microsoft Defender XDR > Einstellungen für den Datenexport.
  3. Klicken Sie auf + Einstellungen für Datenexport hinzufügen.
  4. Geben Sie im Feld Name einen aussagekräftigen Namen ein, z. B. Export to Chronicle.
  5. Wählen Sie im Abschnitt Ereignisse weiterleiten an die Option Azure Storage aus.
  6. Fügen Sie im Feld Storage account resource ID (Ressourcen-ID des Speicherkontos) die zuvor kopierte Ressourcen-ID des Speicherkontos ein.

  7. Wählen Sie im Bereich Ereignisse auswählen die Ereignistypen aus, die Sie exportieren möchten. Wählen Sie für ein umfassendes Monitoring von iOS-Geräten Folgendes aus:

    • DeviceEvents: Allgemeine Geräteereignisse, einschließlich App-Starts und Systemereignisse
    • DeviceInfo: Informationen zum Geräteinventar, einschließlich Betriebssystemversion und Geräteeigenschaften
    • DeviceLogonEvents: Anmelde- und Authentifizierungsereignisse
    • DeviceNetworkEvents: Netzwerkverbindungen und Webschutzereignisse
    • DeviceProcessEvents: Ereignisse zur Erstellung und Beendigung von Prozessen
    • DeviceFileEvents: Ereignisse im Zusammenhang mit dem Erstellen, Ändern und Löschen von Dateien
    • AlertInfo: Benachrichtigungsmetadaten von Defender for Endpoint
    • AlertEvidence: Mit Benachrichtigungen verknüpfte Nachweise

  8. Klicken Sie auf Speichern.

    Nach der Konfiguration beginnt Microsoft Defender for Endpoint mit dem Exportieren von Ereignissen in Ihr Azure Storage-Konto. Ereignisse werden in Blob-Containern mit dem folgenden Namensmuster organisiert:

    • deviceevents
    • deviceinfo
    • devicelogonevents
    • devicenetworkevents
    • deviceprocessevents
    • devicefileevents
    • alertinfo
    • alertevidence

  • In jedem Container werden Ereignisse in einer hierarchischen Ordnerstruktur gespeichert, die nach Datum und Uhrzeit organisiert ist:

    container-name/
  └── year=YYYY/month=MM/day=DD/hour=HH/
      └── [event-files].json

Feed in Google SecOps konfigurieren, um Microsoft Defender for Endpoint-Logs auf iOS-Geräten aufzunehmen

Sie müssen für jeden Ereignistyp-Container einen separaten Feed erstellen. Wiederholen Sie die folgenden Schritte für jeden Container, den Sie aufnehmen möchten.

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Defender iOS - DeviceEvents.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft Defender for Endpoint on iOS als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Endpunkt-URL des Blob-Dienstes mit dem Containerpfad ein:
    https://defenderioslogssa.blob.core.windows.net/deviceevents/

    Ersetzen Sie Folgendes:

    • defenderioslogssa: Der Name Ihres Azure Storage-Kontos.
    • deviceevents: Der Name des Blob-Containers für den Ereignistyp.
    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:
    • Nie: Nach Übertragungen werden keine Dateien gelöscht.
    • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.
    • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
    • Freigegebener Schlüssel: Geben Sie den Wert des freigegebenen Schlüssels (Zugriffsschlüssel) ein, den Sie aus dem Speicherkonto abgerufen haben.
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll (z. B. defender_ios)

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Wiederholen Sie die obigen Schritte für jeden Ereignistyp-Container, den Sie aufnehmen möchten (z. B. deviceinfo, devicelogonevents, devicenetworkevents usw.). Verwenden Sie aussagekräftige Feednamen, um zwischen Ereignistypen zu unterscheiden.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn Ihr Azure Storage-Konto eine Firewall verwendet, müssen Sie die Google SecOps-IP-Bereiche hinzufügen.

  1. Rufen Sie im Azure-Portal Ihr Speicherkonto auf.
  2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
  3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option In ausgewählten virtuellen Netzwerken und IP-Adressen aktiviert aus.
  4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.

  5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.

    So rufen Sie die aktuellen IP-Bereiche ab:

  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
_TimeReceivedBySvc additional.fields Zusammengeführt mit Labels, die aus jedem Quellfeld erstellt wurden
properties.InitiatingProcessUniqueId additional.fields
properties.MachineGroup additional.fields
properties.IsProcessRemoteSession additional.fields
properties.IsInitiatingProcessRemoteSession additional.fields
properties.InitiatingProcessSessionId additional.fields
properties.InitiatingProcessParentCreationTime additional.fields
properties.InitiatingProcessVersionInfoOriginalFileName additional.fields
properties.InitiatingProcessVersionInfoFileDescription additional.fields
properties.InitiatingProcessVersionInfoInternalFileName additional.fields
properties.InitiatingProcessVersionInfoProductName additional.fields
properties.AdditionalFields additional.fields
properties.DeliveryAction additional.fields
properties.DeliveryLocation additional.fields
properties.EmailAction additional.fields
properties.EmailActionPolicy additional.fields
properties.EmailActionPolicyGuid additional.fields
properties.AttachmentCount additional.fields
properties.UrlCount additional.fields
properties.EmailLanguage additional.fields
properties.EmailClusterId additional.fields
properties.Connectors additional.fields
properties.OrgLevelAction additional.fields
properties.OrgLevelPolicy additional.fields
properties.UserLevelAction additional.fields
properties.UserLevelPolicy additional.fields
properties.ConfidenceLevel additional.fields
SPF additional.fields
DKIM additional.fields
DMARC additional.fields
CompAuth additional.fields
properties.BulkComplaintLevel additional.fields
has_email metadata.event_type Wird auf „EMAIL_TRANSACTION“ gesetzt, wenn „has_email“ „true“ ist, andernfalls auf „NETWORK_CONNECTION“, wenn „has_principal“ und „has_target“ „true“ sind, andernfalls auf „STATUS_UPDATE“, wenn „has_principal“ „true“ und „has_target“ „false“ ist, andernfalls auf „GENERIC_EVENT“
has_principal metadata.event_type
has_target metadata.event_type
tenantId metadata.product_deployment_id Wert direkt kopiert
operationName metadata.product_event_type Wert direkt kopiert
properties.InitiatingProcessVersionInfoProductVersion metadata.product_version Wert direkt kopiert
properties.EmailDirection network.direction Auf „INBOUND“ festgelegt, wenn der Wert „Inbound“ ist
properties.SenderFromAddress network.email.from Wert direkt kopiert
properties.InternetMessageId network.email.mail_id Wert direkt kopiert
properties.Subject network.email.subject Zusammengeführt aus properties.Subject
properties.RecipientEmailAddress network.email.to Zusammengeführt aus properties.RecipientEmailAddress
properties.SenderFromDomain principal.administrative_domain Wert aus „properties.SenderFromDomain“, wenn nicht leer, andernfalls „properties.InitiatingProcessAccountDomain“
properties.InitiatingProcessAccountDomain principal.administrative_domain
properties.DeviceId principal.asset.asset_id Verkettet als „DeviceId:%{properties.DeviceId}“
properties.DeviceName principal.asset.hostname Wert direkt kopiert
properties.SenderIPv4 principal.asset.ip Zusammengeführt aus properties.SenderIPv4 und properties.SenderIPv6
properties.SenderIPv6 principal.asset.ip
properties.DeviceName principal.hostname Wert direkt kopiert
properties.SenderIPv4 principal.ip Zusammengeführt aus properties.SenderIPv4 und properties.SenderIPv6
properties.SenderIPv6 principal.ip
properties.InitiatingProcessCommandLine principal.process.command_line Wert direkt kopiert
properties.InitiatingProcessFolderPath principal.process.file.full_path Wert direkt kopiert
properties.InitiatingProcessMD5 principal.process.file.md5 Wert direkt kopiert
properties.InitiatingProcessFileName principal.process.file.names Zusammengeführt aus properties.InitiatingProcessFileName
properties.InitiatingProcessSHA1 principal.process.file.sha1 Wert direkt kopiert
properties.InitiatingProcessSHA256 principal.process.file.sha256 Wert wird direkt kopiert, wenn er mit dem Hex-Regex übereinstimmt
properties.InitiatingProcessParentFileName principal.process.parent_process.file.full_path Wert direkt kopiert
properties.InitiatingProcessParentId principal.process.parent_process.pid In String umgewandelt
properties.InitiatingProcessId principal.process.pid In String umgewandelt
properties.InitiatingProcessCreationTime principal.resource.attribute.labels Zusammengeführt mit Labels, die aus jedem Quellfeld erstellt wurden
properties.InitiatingProcessParentCreationTime principal.resource.attribute.labels
properties.InitiatingProcessVersionInfoOriginalFileName principal.resource.attribute.labels
properties.InitiatingProcessVersionInfoFileDescription principal.resource.attribute.labels
properties.InitiatingProcessVersionInfoInternalFileName principal.resource.attribute.labels
properties.InitiatingProcessVersionInfoProductName principal.resource.attribute.labels
properties.InitiatingProcessLogonId principal.resource.attribute.labels
properties.SenderMailFromDomain principal.user.attribute.labels Zusammengeführt mit Label, das aus „properties.SenderMailFromDomain“ erstellt wurde
properties.InitiatingProcessVersionInfoCompanyName principal.user.company_name Wert direkt kopiert
properties.InitiatingProcessAccountUpn principal.user.email_addresses Zusammengeführt aus properties.InitiatingProcessAccountUpn, wenn es mit dem regulären Ausdruck für E‑Mail-Adressen übereinstimmt, properties.SenderMailFromAddress, properties.SenderFromAddress
properties.SenderMailFromAddress principal.user.email_addresses
properties.SenderFromAddress principal.user.email_addresses
properties.SenderObjectId principal.user.product_object_id Wert direkt kopiert
properties.SenderDisplayName principal.user.user_display_name Wert direkt kopiert
properties.InitiatingProcessAccountName principal.user.userid Wert direkt kopiert
properties.InitiatingProcessAccountSid principal.user.windows_sid Mit Grok-Muster extrahiert
Kategorie security_result.category_details Wert direkt kopiert
properties.ReportId security_result.detection_fields Zusammengeführt mit Labels, die aus jedem Quellfeld erstellt wurden
properties.NetworkMessageId security_result.detection_fields
properties.AppGuardContainerId security_result.detection_fields
Mandant security_result.detection_fields
properties.ActionType security_result.summary Wert direkt kopiert
properties.ThreatTypes security_result.threat_name Wert aus „properties.ThreatTypes“, wenn nicht leer/null, andernfalls „properties.ThreatNames“
properties.ThreatNames security_result.threat_name
properties.InitiatingProcessFileSize target.process.file.size In String und dann in uinteger konvertiert
properties.ProcessTokenElevation target.resource.attribute.labels Zusammengeführt mit Label, das aus properties.ProcessTokenElevation erstellt wurde
properties.RemoteUrl target.url Wert direkt kopiert
properties.RecipientEmailAddress target.user.email_addresses Zusammengeführt aus properties.RecipientEmailAddress
properties.RecipientObjectId target.user.product_object_id Wert direkt kopiert
metadata.product_name metadata.product_name Legen Sie „Microsoft Defender Endpoint“ fest.
metadata.vendor_name metadata.vendor_name Legen Sie diesen Wert auf „MICROSOFT_DEFENDER_ENDPOINT_IOS“ fest.
properties.DeviceName principal.hostname and principal.asset.hostname Aus Änderungsprotokoll zugeordnet
properties.Timestamp metadata.event_timestamp Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten