Microsoft Defender for Cloud

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for Cloud in Google Security Operations einbinden.

Anwendungsfälle

  1. Sicherheitswarnungen zur Untersuchung in Google SecOps aufnehmen.

  2. Aktualisieren Sie die Benachrichtigungen.

  3. Informationen zur Standard-Compliance abrufen.

Vorbereitung

Bevor Sie die Integration in der Google SecOps-Plattform konfigurieren, müssen Sie dem Azure-Nutzerkonto die erforderlichen Berechtigungen gewähren und entweder eine Passwortauthentifizierung oder eine OAuth-Authentifizierung konfigurieren.

Berechtigungen konfigurieren

Für diese Integration ist ein delegierter Zugriff auf die Azure-Ressourcen erforderlich. Gewähren Sie dem Azure-Nutzerkonto, das zum Konfigurieren der Integration verwendet wird, die folgenden erforderlichen Berechtigungen:

  1. Das Nutzerkonto muss ein aktives Mitglied für die folgenden Azure-Rollen sein:

    • Security Reader
    • Security Admin

  2. Weisen Sie dem Nutzer auf der Azure-Aboebene die folgende IAM-Rolle zu: Management Group Reader.

Passwortauthentifizierung konfigurieren

Führen Sie die folgenden Schritte aus, um die Passwortauthentifizierung für Microsoft Defender for Cloud zu konfigurieren:

  1. Erstellen Sie die Microsoft Entra-Anwendung.

  2. Konfigurieren Sie die API-Berechtigungen für Ihre App.

  3. Erstellen Sie einen Clientschlüssel.

  4. Verwenden Sie Ihre Azure-Abo-ID als Wert für den entsprechenden Integrationsparameter.

Microsoft Entra-Anwendung erstellen

  1. Melden Sie sich im Azure-Portal als Nutzeradministrator oder Passwortadministrator an.

  2. Wählen Sie Microsoft Entra ID aus.

  3. Rufen Sie App-Registrierungen > Neue Registrierung auf.

  4. Geben Sie den Namen der App ein.

  5. Klicken Sie auf Registrieren.

  6. Speichern Sie die Werte für Anwendungs-ID (Client) und Verzeichnis-ID (Mandant), um sie später beim Konfigurieren der Integrationsparameter zu verwenden.

API-Berechtigungen konfigurieren

  1. Gehen Sie zu API-Berechtigungen > Berechtigung hinzufügen.

  2. Wählen Sie Azure Service Management > Delegated permissions (Delegierte Berechtigungen) aus.

  3. Wählen Sie im Bereich Berechtigungen auswählen die folgende Berechtigung aus:

    • user_impersonation

  4. Wählen Sie Microsoft Graph > Delegierte Berechtigungen aus.

  5. Wählen Sie im Bereich Berechtigungen auswählen die folgenden Berechtigungen aus:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All
    • User.Read

  6. Wählen Sie Microsoft Graph > Anwendungsberechtigungen aus.

  7. Wählen Sie im Bereich Berechtigungen auswählen die folgenden Berechtigungen aus:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All

  8. Klicken Sie auf Berechtigungen hinzufügen.

  9. Klicken Sie auf Einwilligung des Administrators für YOUR_ORGANIZATION_NAME erteilen.

    Wenn das Dialogfeld Bestätigung der Administratoreinwilligung erteilen angezeigt wird, klicken Sie auf Ja.

Clientschlüssel erstellen

  1. Rufen Sie Zertifikate und Secrets > Neuer Clientschlüssel auf.

  2. Geben Sie eine Beschreibung für einen Clientschlüssel an und legen Sie ein Ablaufdatum fest.

  3. Klicken Sie auf Hinzufügen.

  4. Speichern Sie den Wert des Clientschlüssels (nicht die Secret-ID), um ihn beim Konfigurieren der Integration als Parameterwert für Client Secret zu verwenden. Der Clientschlüsselwert wird nur einmal angezeigt.

Integration mit Azure-Abo-ID konfigurieren

  1. Rufen Sie in Microsoft Defender for Cloud den Tab Übersicht auf.

  2. Klicken Sie auf Azure-Abos.

  3. Kopieren Sie den Wert der Azure-Abo-ID und geben Sie ihn beim Konfigurieren der Integrationsparameter im Parameter Subscription ID ein.

OAuth-Authentifizierung konfigurieren

So konfigurieren Sie die OAuth-Authentifizierung für Microsoft Defender for Cloud:

  1. Erstellen Sie die Microsoft Entra-Anwendung.

  2. Konfigurieren Sie die API-Berechtigungen für Ihre App.

  3. Erstellen Sie einen Clientschlüssel.

  4. Verwenden Sie Ihre Azure-Abo-ID als Wert für den entsprechenden Integrationsparameter.

Microsoft Entra-Anwendung erstellen

So erstellen Sie eine Anwendung und übernehmen die Identität des ausgewählten Nutzers:

  1. Melden Sie sich im Azure-Portal als Nutzeradministrator oder Passwortadministrator an.

  2. Wählen Sie Microsoft Entra ID aus.

  3. Rufen Sie App-Registrierungen > Neue Registrierung auf.

  4. Geben Sie den Namen der App ein.

  5. Wählen Sie die passenden Unterstützten Kontotypen aus.

  6. Geben Sie für die Weiterleitungs-URL den folgenden Wert an: http://localhost.

  7. Klicken Sie auf Registrieren.

  8. Speichern Sie die Werte für Anwendungs-ID (Client) und Verzeichnis-ID (Mandant), um sie später zum Konfigurieren der Integration zu verwenden.

API-Berechtigungen konfigurieren

  1. Gehen Sie zu API-Berechtigungen > Berechtigung hinzufügen.

  2. Wählen Sie Azure Service Management > Delegated permissions (Delegierte Berechtigungen) aus.

  3. Wählen Sie im Bereich Berechtigungen auswählen die folgende Berechtigung aus:

    • user_impersonation

  4. Wählen Sie Microsoft Graph > Delegierte Berechtigungen aus.

  5. Wählen Sie im Bereich Berechtigungen auswählen die folgenden Berechtigungen aus:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All
    • User.Read

  6. Wählen Sie Microsoft Graph > Anwendungsberechtigungen aus.

  7. Wählen Sie im Bereich Berechtigungen auswählen die folgenden Berechtigungen aus:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All

  8. Klicken Sie auf Berechtigungen hinzufügen.

  9. Klicken Sie auf Einwilligung des Administrators für YOUR_ORGANIZATION_NAME erteilen.

    Wenn das Dialogfeld Bestätigung der Administratoreinwilligung erteilen angezeigt wird, klicken Sie auf Ja.

Clientschlüssel erstellen

  1. Rufen Sie Zertifikate und Secrets > Neuer Clientschlüssel auf.

  2. Geben Sie eine Beschreibung für einen Clientschlüssel an und legen Sie ein Ablaufdatum fest.

  3. Klicken Sie auf Hinzufügen.

  4. Speichern Sie den Wert des Clientschlüssels (nicht die Secret-ID), um ihn beim Konfigurieren der Integration als Parameterwert für Client Secret zu verwenden. Der Clientschlüsselwert wird nur einmal angezeigt.

Integration mit Azure-Abo-ID konfigurieren

  1. Rufen Sie in Microsoft Defender for Cloud den Tab Übersicht auf.

  2. Klicken Sie auf Azure-Abos.

  3. Kopieren Sie den Wert der Azure-Abo-ID und geben Sie ihn beim Konfigurieren der Integration im Parameter Subscription ID ein.

OAuth-Authentifizierung in Google SecOps konfigurieren

So konfigurieren Sie die OAuth-Authentifizierung für Microsoft Defender for Cloud in der Google SecOps-Plattform:

  1. Konfigurieren Sie die Integrationsparameter und speichern Sie sie.

  2. Generieren Sie ein Aktualisierungstoken:

    • Optional: Simulieren Sie einen Fall in Google SecOps.

    • Führen Sie die Aktion Get OAuth Authorization Code manuell aus.

    • Führen Sie die Aktion Token generieren manuell aus.

  3. Geben Sie das erhaltene Aktualisierungstoken als Wert für den Parameter Refresh Token ein und speichern Sie die Konfiguration.

Integrationsparameter konfigurieren

Konfigurieren Sie in Google SecOps die Integrationsparameter mit den Werten für Client-ID, Clientschlüssel, Mandanten-ID und Abo-ID, die Sie in den vorherigen Schritten erhalten haben.

Aktualisierungstoken generieren

Zum Generieren eines Aktualisierungstokens müssen manuelle Aktionen für einen vorhandenen Fall ausgeführt werden. Wenn Ihre Google SecOps-Instanz neu ist und keine vorhandenen Fälle enthält, simulieren Sie einen.

Fall simulieren

So simulieren Sie einen Fall in Google SecOps:

  1. Wählen Sie im linken Navigationsbereich Anfragen aus.

  2. Klicken Sie auf der Seite „Anfragen“ auf add > Anfragen simulieren.

  3. Wählen Sie einen der Standardfälle aus und klicken Sie auf Erstellen. Es spielt keine Rolle, welchen Fall Sie simulieren möchten.

  4. Klicken Sie auf Simulieren.

    Wenn Sie eine andere Umgebung als die Standardumgebung haben und diese verwenden möchten, wählen Sie die richtige Umgebung aus und klicken Sie auf Simulieren.

  5. Klicken Sie auf dem Tab Fälle auf Aktualisieren. Der simulierte Fall wird in der Fallliste angezeigt.

Aktion „OAuth-Autorisierungscode abrufen“ ausführen

Verwenden Sie den von Ihnen simulierten Google SecOps-Fall oder einen vorhandenen Fall, um die Aktion Get OAuth Authorization Code manuell auszuführen.

  1. Wählen Sie auf dem Tab Fälle den simulierten Fall aus, um eine Fallansicht zu öffnen.

  2. Klicken Sie auf Manuelle Aktion.

  3. Geben Sie im Suchfeld für manuelle Aktionen Azure Security Center ein.

  4. Wählen Sie in den Ergebnissen unter der Azure Security Center-Integration die Option OAuth-Autorisierungscode abrufen aus. Diese Aktion gibt einen Autorisierungslink zurück, mit dem Sie sich interaktiv in der Microsoft Entra-Anwendung anmelden können.

  5. Geben Sie im Parameterfeld Redirect URL die URL ein, die Sie beim Erstellen der Microsoft Entra-Anwendung verwendet haben.

  6. Klicken Sie auf Ausführen.

  7. Rufen Sie nach der Ausführung der Aktion das Fall-Repository Ihres simulierten Falls auf. Klicken Sie im Aktionsdatensatz Azure Security Center_Get OAuth Authorization Code auf Mehr anzeigen und kopieren Sie den Autorisierungslink.

  8. Öffnen Sie ein neues Browserfenster im Inkognitomodus und fügen Sie die generierte Autorisierungs-URL ein. Die Azure-Anmeldeseite wird geöffnet.

  9. Melden Sie sich mit den Nutzeranmeldedaten an, die Sie für die Integration ausgewählt haben. Nach der Anmeldung sollte Ihr Browser mit einem Code in der Adressleiste weitergeleitet werden.

    Hier ein Beispiel für die resultierende URL mit dem Code:

    http://localhost/?code=0.ATwAylKP1BpbCEeO0Ou5iiakalBV.......nIAA&state=12345&session_state=28084547-3dea-449a-8b4c-c1671342a39d#

  10. Kopieren Sie aus der URL den Teil des Zugriffscodes, der nach http://localhost/?code= kommt. Sie benötigen diesen Zugriffscode, um die Aktion OAuth-Aktualisierungstoken abrufen auszuführen.

Aktion „OAuth-Aktualisierungstoken abrufen“ ausführen

Verwenden Sie den von Ihnen simulierten Google SecOps-Fall, um die Aktion Get OAuth Aktualisierungstoken manuell auszuführen.

  1. Wählen Sie auf dem Tab Fälle den simulierten Fall aus, um eine Fallansicht zu öffnen.

  2. Klicken Sie auf Manuelle Aktion.

  3. Geben Sie im Feld Suchen für die manuelle Aktion Azure Security Center ein.

  4. Wählen Sie in den Ergebnissen unter der Azure Security Center-Integration die Option OAuth-Aktualisierungstoken abrufen aus.

  5. Geben Sie im Parameterfeld Authorization Code den Zugriffscode ein, den Sie nach dem Ausführen der Aktion OAuth-Autorisierungscode abrufen erhalten haben.

  6. Klicken Sie auf Ausführen.

  7. Rufen Sie nach der Ausführung der Aktion das Fall-Repository Ihres simulierten Falls auf. Klicken Sie im Aktionsdatensatz Azure Security Center_Get OAuth Aktualisierungstoken auf Mehr anzeigen.

  8. Kopieren Sie den gesamten Wert des generierten Aktualisierungstokens.

Parameter „Aktualisierungstoken“ konfigurieren

  1. Rufen Sie das Dialogfeld für die Konfiguration der Azure Security Center-Integration auf.

  2. Geben Sie den Wert des Aktualisierungstokens aus dem vorherigen Schritt in das Feld Aktualisierungstoken ein.

  3. Klicken Sie auf Speichern.

Microsoft Defender for Cloud in Google SecOps einbinden

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationseingaben

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Client-ID String – Ja Client-ID der Microsoft Entra-Anwendung.
Clientschlüssel Passwort – Ja Clientschlüssel der Microsoft Entra-Anwendung.
Nutzername String – Nein Nutzername des Microsoft Entra-Kontos.
Passwort Passwort – Nein Passwort des Microsoft Entra-Kontos.
Abo-ID String – Ja

Die ID des Abos, für das Sie Informationen abfragen möchten.

Hinweis: Wenn die Abo-ID sowohl auf Integrations- als auch auf Aktionsebene angegeben ist, hat die Aktionskonfiguration Vorrang.
Mandanten-ID String – Ja Mandanten-ID der Microsoft Entra-Anwendung.
Aktualisierungstoken Passwort – Ja Aktualisierungstoken für die OAuth-Autorisierung.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Microsoft Defender for Cloud-Server gültig ist.

Aktionen

OAuth-Autorisierungscode abrufen

Generieren Sie einen OAuth-Autorisierungscode, um ein Aktualisierungstoken zu erhalten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Weiterleitungs-URL String https://localhost Ja Geben Sie die Weiterleitungs-URL an, die beim Erstellen der Microsoft Entra-Anwendung verwendet wurde.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ (Entität \ Allgemein)
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: „Autorisierungscode-URL in Azure Security Center erfolgreich generiert. Kopieren Sie sie und fügen Sie sie in den Browser ein. Kopieren Sie anschließend den Teil „code“ aus der URL. Dieser Autorisierungscode wird in der Aktion „OAuth-Aktualisierungstoken abrufen“ verwendet. . Allgemein
Link

Name: Link zum Autorisierungscode
URL: {generierter Link}

OAuth-Aktualisierungstoken abrufen

Generieren Sie das Aktualisierungstoken, das für die Integrationskonfiguration erforderlich ist. Der Autorisierungscode kann mit der Aktion OAuth-Autorisierungscode abrufen generiert werden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Weiterleitungs-URL String https://localhost Ja Geben Sie die Weiterleitungs-URL an, die beim Erstellen der App verwendet wurde.
Autorisierungscode String Ja Geben Sie den Autorisierungscode aus der Aktion „OAuth-Autorisierungscode abrufen“ an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "token_type": "Bearer",
    "scope": "user_impersonation",
    "expires_in": "3599",
    "ext_expires_in": "3599",
    "expires_on": "1628514482",
    "not_before": "1628510582",
    "resource": "https://management.azure.com",
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Im5PbzNaRH",
    "refresh_token": "0.ATwAylKP1BpbCEeO0Ou5iiakalBVs4hy5YpMhS4OVguFb9Y8AGw",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiI4OGIzNTU1MC1"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ (Entität \ Allgemein)
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success = true): „Aktualisierungstoken wurde im Azure Security Center erfolgreich generiert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚OAuth-Aktualisierungstoken abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Statuscode nicht 200 ist: „Fehler beim Ausführen der Aktion ‚OAuth-Aktualisierungstoken abrufen‘. Reason: {0}''.format(error_description)

 Allgemein

Regulatorische Standards auflisten

Verfügbare regulatorische Standards in Microsoft Defender for Cloud auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abo-ID String – Nein

Geben Sie die ID des Abos an, für das Sie Informationen abfragen möchten.

Hinweis: Wenn die Abo-ID sowohl auf Integrations- als auch auf Aktionsebene angegeben ist, hat die Aktionskonfiguration Vorrang.
Statusfilter CSV Fehlgeschlagen Nein

Geben Sie die durch Kommas getrennte Liste der Statuswerte an. Beispiel: Fehlgeschlagen, Übersprungen. Es werden nur Standards mit dem übereinstimmenden Status zurückgegeben. Wenn Sie beispielsweise „Fehlgeschlagen“ angeben, werden nur fehlgeschlagene Standards zurückgegeben.

Mögliche Werte: Passed,Failed,Unsupported,Skipped
Maximale Anzahl zurückzugebender Standards String 50 Nein Geben Sie an, wie viele Standards zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "value": [
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ (Entität \ Allgemein)
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 lautet und nach dem Filtern Daten vorhanden sind : „Regulatorische Kontrollen für die angegebenen Standards im Microsoft Azure Security Center erfolgreich abgerufen“

Wenn der Statuscode 200 lautet und nach dem Filtern keine Daten vorhanden sind : „Im Microsoft Azure Security Center wurden keine regulatorischen Standards gefunden“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler oder ein SDK-Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Regulatorische Standards auflisten‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Statusfilter ungültige Werte enthält: „Fehler beim Ausführen der Aktion ‚Regulatorische Standards auflisten‘. Grund: Der Parameter „State Filter“ darf nur die folgenden Werte enthalten: „Passed“, „Failed“, „Skipped“, „Unsupported“.

 Allgemein
Tabelle mit Fall-Repository

Name: Regulatorische Standards

Spalte:

  • Name
  • Bundesland
  • Bestandene Kontrollen
  • Fehlgeschlagene Kontrollen
  • Übersprungene Kontrollen
  • Nicht unterstützte Steuerelemente
 Allgemein

Regulatorische Standardkontrollen auflisten

Verfügbare Kontrollen im Zusammenhang mit Standards in Microsoft Defender for Cloud auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abo-ID String – Nein

Geben Sie die ID des Abos an, für das Sie Informationen abfragen möchten.

Hinweis: Wenn die Abo-ID sowohl auf Integrations- als auch auf Aktionsebene angegeben ist, hat die Aktionskonfiguration Vorrang.
Standardnamen CSV Ja Geben Sie eine durch Kommas getrennte Liste von Standardnamen an, für die Sie Details abrufen möchten. Beispiel: Azure-CIS-1.1.0
Statusfilter CSV Fehlgeschlagen Nein

Geben Sie die durch Kommas getrennte Liste der Statuswerte an. Beispiel: Fehlgeschlagen, Übersprungen. Es werden nur Kontrollen mit dem übereinstimmenden Status zurückgegeben. Wenn Sie beispielsweise „Fehlgeschlagen“ angeben, werden nur fehlgeschlagene Kontrollen zurückgegeben.

Mögliche Werte: Passed,Failed,Unsupported,Skipped
Maximale Anzahl zurückzugebender Kontrollen String 50 Nein Geben Sie an, wie viele Kontrollen pro Standard zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "results": [
      "Name": "{Standard_name}",
      "Controls":
[
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ (Entität \ Allgemein)
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn der Statuscode 200 lautet und nach dem Filtern Daten für mindestens einen Standard vorhanden sind (is_success = true): „Successfully retrieved regulatory controls for the following standards in Microsoft Azure Security Center:\n {0}“ (Regulatorische Kontrollen für die folgenden Standards im Microsoft Azure Security Center wurden erfolgreich abgerufen:\n {0}).format(standard)

If fail for standard(is_success = true) : "Action wasn't able to retrieve regulatory controls for the following standards in Microsoft Azure Security Center:\n {0}".format(standard)

Wenn nach dem Filtern für einige Standards keine Daten gefunden werden (is_success=true): „Im Microsoft Azure Security Center wurden keine regulatorischen Kontrollen für die folgenden Standards gefunden:\n {0}“.format(standard)

Wenn für alle Standards basierend auf Filtern keine Daten gefunden werden: „Für die angegebenen Standards wurden keine regulatorischen Kontrollen gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler, ein SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Regulatorische Standardkontrollen auflisten‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Statusfilter ungültige Werte enthält: „Fehler beim Ausführen der Aktion ‚Regulatorische Standardkontrollen auflisten‘. Grund: Der Parameter „State Filter“ darf nur die folgenden Werte enthalten: „Passed“, „Failed“, „Skipped“, „Unsupported“.

 Allgemein
Tabelle mit Fall-Repository

Tabellenname: „Regulatorische Kontrollen: {0}“.format(Standard)

Spalte:

  • Name
  • Bundesland
  • Beschreibung
  • Bestandene Prüfungen
  • Fehlgeschlagene Bewertungen
  • Übersprungene Bewertungen
 Allgemein

Ping

Testen Sie die Verbindung zu Microsoft Defender for Cloud mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Verbindung zum Azure Security Center-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Verbindung zum Azure Security Center-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)

 Allgemein

Benachrichtigungsstatus aktualisieren

Aktualisieren Sie den Status der Benachrichtigung in Microsoft Defender for Cloud.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abo-ID String – Nein

Geben Sie die ID des Abos an, für das Sie Informationen abfragen möchten.

Hinweis: Wenn die Abo-ID sowohl auf Integrations- als auch auf Aktionsebene angegeben ist, hat die Aktionskonfiguration Vorrang.
Benachrichtigungs-ID String – Ja Geben Sie die ID der Benachrichtigung an, deren Status Sie aktualisieren möchten.
Standort String – Ja Geben Sie den Ort der Meldung an. Beispiel: centralus.
Status DDL

Klären

Mögliche Werte:

  • Schließen
  • Wieder aktivieren
  • Klären
 Ja Geben Sie den Status für die Benachrichtigung an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn Statuscode 204 (is_success = true) : „Successfully {0} alert with ID {1} in Microsoft Azure Security Center:\n {0}".format(dismissed/resolved/reactivated, alert_id)

Wenn die Antwort „errors“ enthält (is_success = false) : „Die Aktion konnte die Benachrichtigung mit der ID {1} in Microsoft Azure Security Center nicht {0}. Reason: {2}".format(dismiss/resolve/reactivate, alert_id, errors/message)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler oder ein SDK-Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Benachrichtigungsstatus aktualisieren‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Connectors

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Azure Security Center – Connector für Sicherheitswarnungen

Sicherheitswarnungen aus Microsoft Defender for Cloud abrufen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String resourceType Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
Client-ID String – Wahr Client-ID der Microsoft Entra-Anwendung.
Clientschlüssel Passwort – Wahr Clientschlüssel der Microsoft Entra-Anwendung.
Nutzername String – Wahr Nutzername des Microsoft Entra-Kontos.
Passwort Passwort – Wahr Passwort des Microsoft Entra-Kontos.
Abo-ID String – Wahr Abo-ID der Microsoft Entra-Anwendung
Mandanten-ID String – Wahr Mandanten-ID der Microsoft Entra-Anwendung.
Niedrigster abzurufender Schweregrad String Niedrig

Niedrigster Schweregrad, der zum Abrufen von Benachrichtigungen verwendet wird.

Mögliche Werte: Niedrig, Mittel, Hoch
Max. Anzahl der abzurufenden Benachrichtigungen Ganzzahl 50 Nein Wie viele Benachrichtigungen pro Connector-Iteration verarbeitet werden sollen.
Maximale Anzahl von Stunden rückwärts Ganzzahl 1 Nein Wie viele Stunden zurück Warnungen abgerufen werden sollen.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Microsoft Defender for Cloud-Server gültig ist.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.
Aktualisierungstoken Passwort – Nein Aktualisierungstoken für die OAuth-Autorisierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Jobs

Wenn Sie Jobs in Google SecOps konfigurieren möchten, rufen Sie Reaktion > Jobplaner auf.

Job zur Erneuerung des Aktualisierungstokens

Das Ziel des Jobs zur Erneuerung des Aktualisierungstokens ist es, das in der Integration verwendete Aktualisierungstoken regelmäßig zu aktualisieren.

Standardmäßig läuft das Aktualisierungstoken alle 90 Tage ab, sodass die Integration nach Ablauf nicht mehr verwendet werden kann. Es wird empfohlen, diesen Job alle 7 oder 14 Tage auszuführen, um sicherzustellen, dass das Aktualisierungstoken auf dem neuesten Stand ist.

Job-Eingaben

Verwenden Sie die folgenden Parameter, um den Job zu konfigurieren:

Parameter
Integrationsumgebungen Optional

Integrationsumgebungen, für die der Job die Aktualisierungstokens aktualisiert.

Dieser Parameter akzeptiert mehrere Werte als kommagetrennten String. Setzen Sie einzelne Werte in Anführungszeichen (" ").
Connector-Namen Optional

Connector-Namen, für die der Job die Aktualisierungstokens aktualisiert.

Dieser Parameter akzeptiert mehrere Werte als kommagetrennten String. Setzen Sie einzelne Werte in Anführungszeichen (" ").

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten