Microsoft Defender for Cloud

Questo documento descrive come integrare Microsoft Defender for Cloud con Google Security Operations.

Casi d'uso

  1. Importa gli avvisi di sicurezza in Google SecOps per l'indagine.

  2. Aggiornare gli avvisi.

  3. Recuperare informazioni sulla conformità agli standard.

Prerequisiti

Prima di configurare l'integrazione nella piattaforma Google SecOps, assicurati di concedere le autorizzazioni richieste all'account utente Azure e di configurare un'autenticazione con password o un'autenticazione OAuth.

Configura autorizzazioni

Questa integrazione richiede l'accesso delegato alle risorse Azure. Assicurati di concedere le seguenti autorizzazioni richieste all'account utente Azure utilizzato per configurare l'integrazione:

  1. L'account utente deve essere un membro attivo per i seguenti ruoli di Azure:

    • Security Reader
    • Security Admin

  2. A livello di abbonamento Azure, assicurati di concedere all'utente il seguente ruolo IAM: Management Group Reader.

Configura l'autenticazione tramite password

Per configurare l'autenticazione con password per Microsoft Defender for Cloud, completa i seguenti passaggi:

  1. Crea l'app Microsoft Entra.

  2. Configura le autorizzazioni API per la tua app.

  3. Crea un client secret.

  4. Utilizza l'ID della tua sottoscrizione Azure come valore per il parametro di integrazione corrispondente.

Crea un'app Microsoft Entra

  1. Accedi al portale di Azure come amministratore degli utenti o amministratore delle password.

  2. Seleziona Microsoft Entra ID.

  3. Vai ad App registrations (Registrazioni app) > New registration (Nuova registrazione).

  4. Inserisci il nome dell'app.

  5. Fai clic su Register (Registrati).

  6. Salva i valori ID applicazione (client) e ID directory (tenant) per utilizzarli in un secondo momento durante la configurazione dei parametri di integrazione.

Configura le autorizzazioni API

  1. Vai ad API Permissions (Autorizzazioni API) > Add a permission (Aggiungi un'autorizzazione).

  2. Seleziona Azure Service Management > Delegated permissions (Autorizzazioni delegate).

  3. Nella sezione Seleziona autorizzazioni, seleziona la seguente autorizzazione:

    • user_impersonation

  4. Seleziona Microsoft Graph > Delegated permissions (Autorizzazioni delegate).

  5. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All
    • User.Read

  6. Seleziona Microsoft Graph > Application permissions (Autorizzazioni applicazione).

  7. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All

  8. Fai clic su Aggiungi autorizzazioni.

  9. Fai clic su Concedi il consenso amministratore per YOUR_ORGANIZATION_NAME.

    Quando viene visualizzata la finestra di dialogo Grant admin consent confirmation (Conferma concessione del consenso amministratore), fai clic su Yes (Sì).

Crea client secret

  1. Vai a Certificates and secrets (Certificati e secret) > New client secret (Nuovo client secret).

  2. Fornisci una descrizione per un client secret e imposta la relativa scadenza.

  3. Fai clic su Aggiungi.

  4. Salva il valore del client secret (non l'ID secret) per utilizzarlo come valore parametro Client Secret durante la configurazione dell'integrazione. Il valore del client secret viene visualizzato una sola volta.

Configura l'integrazione con l'ID abbonamento Azure

  1. In Microsoft Defender for Cloud, vai alla scheda Panoramica.

  2. Fai clic su Abbonamenti Azure.

  3. Copia il valore dell'ID abbonamento Azure e inseriscilo nel parametro Subscription ID durante la configurazione dei parametri di integrazione.

Configura l'autenticazione OAuth

Per configurare l'autenticazione OAuth per Microsoft Defender for Cloud, completa i seguenti passaggi:

  1. Crea l'app Microsoft Entra.

  2. Configura le autorizzazioni API per la tua app.

  3. Crea un client secret.

  4. Utilizza l'ID della tua sottoscrizione Azure come valore per il parametro di integrazione corrispondente.

Crea un'app Microsoft Entra

Per creare un'applicazione e impersonare l'utente scelto, segui questi passaggi:

  1. Accedi al portale di Azure come amministratore degli utenti o amministratore delle password.

  2. Seleziona Microsoft Entra ID.

  3. Vai ad App registrations (Registrazioni app) > New registration (Nuova registrazione).

  4. Inserisci il nome dell'app.

  5. Seleziona i Tipi di account supportati appropriati.

  6. Per Redirect URL (URL di reindirizzamento), fornisci il seguente valore: http://localhost.

  7. Fai clic su Register (Registrati).

  8. Salva i valori ID applicazione (client) e ID directory (tenant) per utilizzarli in un secondo momento per configurare l'integrazione.

Configura le autorizzazioni API

  1. Vai ad API Permissions (Autorizzazioni API) > Add a permission (Aggiungi un'autorizzazione).

  2. Seleziona Azure Service Management (Gestione dei servizi di Azure) > Delegated permissions (Autorizzazioni delegate).

  3. Nella sezione Seleziona autorizzazioni, seleziona la seguente autorizzazione:

    • user_impersonation

  4. Seleziona Microsoft Graph > Delegated permissions (Autorizzazioni delegate).

  5. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All
    • User.Read

  6. Seleziona Microsoft Graph > Application permissions (Autorizzazioni applicazione).

  7. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni:

    • SecurityEvents.Read.All
    • SecurityEvents.ReadWrite.All

  8. Fai clic su Aggiungi autorizzazioni.

  9. Fai clic su Concedi il consenso amministratore per YOUR_ORGANIZATION_NAME.

    Quando viene visualizzata la finestra di dialogo Grant admin consent confirmation (Conferma concessione del consenso amministratore), fai clic su Yes (Sì).

Crea client secret

  1. Vai a Certificates and secrets (Certificati e secret) > New client secret (Nuovo client secret).

  2. Fornisci una descrizione per un client secret e imposta la relativa scadenza.

  3. Fai clic su Aggiungi.

  4. Salva il valore del client secret (non l'ID secret) per utilizzarlo come valore parametro Client Secret durante la configurazione dell'integrazione. Il valore del client secret viene visualizzato una sola volta.

Configura l'integrazione con l'ID abbonamento Azure

  1. In Microsoft Defender for Cloud, vai alla scheda Panoramica.

  2. Fai clic su Abbonamenti Azure.

  3. Copia il valore dell'ID abbonamento Azure e inseriscilo nel parametro Subscription ID durante la configurazione dell'integrazione.

Configura l'autenticazione OAuth in Google SecOps

Per configurare l'autenticazione OAuth per Microsoft Defender for Cloud nella piattaforma Google SecOps, completa i seguenti passaggi:

  1. Configura i parametri di integrazione e salvali.

  2. Genera un token di aggiornamento:

    • (Facoltativo) Simula una richiesta in Google SecOps.

    • Esegui manualmente l'azione Get OAuth Authorization Code (Recupera codice di autorizzazione OAuth).

    • Esegui manualmente l'azione Genera token.

  3. Inserisci il token di aggiornamento ottenuto come valore parametro del Refresh Token e salva la configurazione.

Configura i parametri di integrazione

In Google SecOps, configura i parametri di integrazione con i valori di ID client, client secret, ID tenant e ID abbonamento che hai ottenuto nei passaggi precedenti.

Genera token di aggiornamento

La generazione di un token di aggiornamento richiede l'esecuzione di azioni manuali su qualsiasi richiesta esistente. Se la tua istanza di Google SecOps è nuova e non contiene casi esistenti, simulane uno.

Simula richiesta

Per simulare una richiesta in Google SecOps, segui questi passaggi:

  1. Nel menu di navigazione a sinistra, seleziona Richieste.

  2. Nella pagina Richieste, fai clic su add > Simula richieste.

  3. Seleziona uno dei casi predefiniti e fai clic su Crea. Non importa quale caso scegli di simulare.

  4. Fai clic su Simula.

    Se hai un ambiente diverso da quello predefinito e vuoi utilizzarlo, seleziona l'ambiente corretto e fai clic su Simula.

  5. Nella scheda Richieste, fai clic su Aggiorna. La richiesta simulata viene visualizzata nell'elenco delle richieste.

Esegui l'azione Get OAuth Authorization Code (Ottieni codice di autorizzazione OAuth)

Utilizza la richiesta Google SecOps che hai simulato o una richiesta esistente per eseguire manualmente l'azione Get OAuth Authorization Code.

  1. Nella scheda Richieste, seleziona la richiesta simulata per aprire una visualizzazione della richiesta.

  2. Fai clic su Azione manuale.

  3. Nel campo Cerca dell'azione manuale, inserisci Azure Security Center.

  4. Nei risultati dell'integrazione di Azure Security Center, seleziona Ottieni codice di autorizzazione OAuth. Questa azione restituisce un link di autorizzazione utilizzato per accedere in modo interattivo all'app Microsoft Entra.

  5. Nel campo del parametro Redirect URL, inserisci l'URL che hai utilizzato durante la creazione dell'app Microsoft Entra.

  6. Fai clic su Esegui.

  7. Dopo l'esecuzione dell'azione, vai alla bacheca della richiesta simulata. Nel record dell'azione Azure Security Center_Get OAuth Authorization Code, fai clic su Visualizza altro e copia il link di autorizzazione.

  8. Apri una nuova finestra del browser in modalità Incognito e incolla l'URL di autorizzazione generato. Si apre la pagina di accesso ad Azure.

  9. Accedi con le credenziali utente che hai selezionato per l'integrazione. Dopo aver eseguito l'accesso, il browser dovrebbe essere reindirizzato con un codice nella barra degli indirizzi.

    Di seguito è riportato un esempio dell'URL risultante con il codice:

    http://localhost/?code=0.ATwAylKP1BpbCEeO0Ou5iiakalBV.......nIAA&state=12345&session_state=28084547-3dea-449a-8b4c-c1671342a39d#

  10. Dall'URL, copia la parte del codice di accesso che segue http://localhost/?code=. Questo codice di accesso è necessario per eseguire l'azione Ottieni token di aggiornamento OAuth.

Esegui l'azione Ottieni token di aggiornamento OAuth

Utilizza il caso Google SecOps che hai simulato per eseguire manualmente l'azione Get OAuth token di aggiornamento .

  1. Nella scheda Richieste, seleziona la richiesta simulata per aprire una visualizzazione della richiesta.

  2. Fai clic su Azione manuale.

  3. Nel campo Cerca dell'azione manuale, digita Azure Security Center.

  4. Nei risultati dell'integrazione di Azure Security Center, seleziona Get OAuth Refresh Token (Ottieni token di aggiornamento OAuth).

  5. Nel campo del parametro Authorization Code, inserisci il codice di accesso che hai ottenuto dopo aver eseguito l'azione Get OAuth Authorization Code.

  6. Fai clic su Esegui.

  7. Dopo l'esecuzione dell'azione, vai alla bacheca della richiesta simulata. Nel record dell'azione Azure Security Center_Get OAuth Token di aggiornamento, fai clic su Visualizza altro.

  8. Copia l'intero valore del token di aggiornamento generato.

Configura il parametro Token di aggiornamento

  1. Vai alla finestra di dialogo di configurazione per l'integrazione di Azure Security Center.

  2. Inserisci il valore del token di aggiornamento del passaggio precedente nel campo Token di aggiornamento.

  3. Fai clic su Salva.

Integra Microsoft Defender for Cloud con Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Input di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID client Stringa N/D Sì ID client dell'applicazione Microsoft Entra.
Client secret Password N/D Sì Client secret dell'applicazione Microsoft Entra.
Nome utente Stringa N/D No Nome utente dell'account Microsoft Entra.
Password Password N/D No Password dell'account Microsoft Entra.
ID abbonamento Stringa N/D Sì

L'ID dell'abbonamento per cui vuoi eseguire query sulle informazioni.

Nota: se l'ID abbonamento viene fornito a livello di integrazione e di azione, la priorità viene data alla configurazione dell'azione.
ID tenant Stringa N/D Sì ID tenant dell'applicazione Microsoft Entra.
Aggiorna token Password N/D Sì Token di aggiornamento per l'autorizzazione OAuth.
Verifica SSL Casella di controllo Deselezionata Sì Se abilitata, verifica che il certificato SSL per la connessione al server Microsoft Defender for Cloud sia valido.

Azioni

Ottieni il codice di autorizzazione OAuth

Genera un codice di autorizzazione OAuth per ottenere un token di aggiornamento.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
URL di reindirizzamento Stringa https://localhost Sì Specifica l'URL di reindirizzamento utilizzato durante la creazione dell'app Microsoft Entra.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Type (Entity \ General)
Messaggio di output* L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: "URL del codice di autorizzazione generato correttamente in Azure Security Center. Copialo e incollalo nel browser. Dopodiché, copia la parte "code" dall'URL. Questo codice di autorizzazione viene utilizzato nell'azione "Ottieni token di aggiornamento OAuth". . Generale
Link

Nome: Link al codice di autorizzazione
URL: {generated link}

Ottieni il token di aggiornamento OAuth

Genera il token di aggiornamento necessario per la configurazione dell'integrazione. Il codice di autorizzazione può essere generato utilizzando l'azione Get OAuth Authorization Code.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
URL di reindirizzamento Stringa https://localhost Sì Specifica l'URL di reindirizzamento utilizzato al momento della creazione dell'app.
Codice di autorizzazione Stringa Sì Specifica il codice di autorizzazione dell'azione "Ottieni codice di autorizzazione OAuth"

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "token_type": "Bearer",
    "scope": "user_impersonation",
    "expires_in": "3599",
    "ext_expires_in": "3599",
    "expires_on": "1628514482",
    "not_before": "1628510582",
    "resource": "https://management.azure.com",
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Im5PbzNaRH",
    "refresh_token": "0.ATwAylKP1BpbCEeO0Ou5iiakalBVs4hy5YpMhS4OVguFb9Y8AGw",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiI4OGIzNTU1MC1"
}
Bacheca casi
Tipo di risultato Valore/Descrizione Type (Entity \ General)
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se viene segnalato il codice di stato 200 (is_success = true): "Token di aggiornamento generato correttamente in Azure Security Center".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Get OAuth Refresh Token". Reason: {0}''.format(error.Stacktrace)

Se il codice di stato non è 200: "Errore durante l'esecuzione dell'azione "Ottieni token di aggiornamento OAuth". Reason: {0}''.format(error_description)

 Generale

Elenca gli standard normativi

Elenca gli standard normativi disponibili in Microsoft Defender for Cloud.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID abbonamento Stringa N/D No

Specifica l'ID della sottoscrizione per cui vuoi eseguire query sulle informazioni.

Nota: se l'ID abbonamento viene fornito a livello di integrazione e di azione, la priorità viene data alla configurazione dell'azione.
Filtro per stato CSV Non riuscito No

Specifica l'elenco di stati separati da virgole. Esempio: Non riuscita, Ignorata. Verranno restituiti solo gli standard con lo stato corrispondente. Ad esempio, se specifichi "Non riuscito", l'azione restituirà solo gli standard non riusciti.

Valori possibili: Passed,Failed,Unsupported,Skipped
Numero massimo di standard da restituire Stringa 50 No Specifica il numero di standard da restituire.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "value": [
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Type (Entity \ General)
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se il codice di stato è 200 e dopo il filtro abbiamo dati : "Controlli normativi recuperati correttamente per gli standard forniti in Microsoft Azure Security Center"

Se il codice di stato è 200 e dopo il filtro non abbiamo dati : "Non sono stati trovati standard normativi in Microsoft Azure Security Center"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca standard normativi". Reason: {0}''.format(error.Stacktrace)

Se il filtro Stato contiene valori non validi: "Errore durante l'esecuzione dell'azione "Elenca standard normativi". Motivo: il parametro "Filtro stato" deve contenere solo i seguenti valori: "Superato", "Non superato", "Ignorato", "Non supportato"."

 Generale
Tabella della bacheca casi

Nome: Standard normativi

Colonna:

  • Nome
  • Stato
  • Controlli superati
  • Controlli non riusciti
  • Controlli ignorati
  • Controlli non supportati
 Generale

Elenca i controlli degli standard normativi

Elenca i controlli disponibili relativi agli standard in Microsoft Defender for Cloud.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID abbonamento Stringa N/D No

Specifica l'ID della sottoscrizione per cui vuoi eseguire query sulle informazioni.

Nota: se l'ID abbonamento viene fornito a livello di integrazione e di azione, la priorità viene data alla configurazione dell'azione.
Nomi standard CSV Sì Specifica un elenco separato da virgole di nomi di standard per cui vuoi recuperare i dettagli. Esempio: Azure-CIS-1.1.0
Filtro per stato CSV Non riuscito No

Specifica l'elenco di stati separati da virgole. Esempio: Non riuscita, Ignorata. Verranno restituiti solo i controlli con lo stato corrispondente. Ad esempio, se specifichi "Non riuscito", l'azione restituirà solo i controlli non riusciti.

Valori possibili: Passed,Failed,Unsupported,Skipped
Numero massimo di controlli da restituire Stringa 50 No Specifica il numero di controlli da restituire per standard.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "results": [
      "Name": "{Standard_name}",
      "Controls":
[
        {
            "id": "/subscriptions/a052d33b-b7c4-4dc7-9e17-5c89ea594669/providers/Microsoft.Security/regulatoryComplianceStandards/Azure-CIS-1.1.0",
            "name": "Azure-CIS-1.1.0",
            "type": "Microsoft.Security/regulatoryComplianceStandards",
            "properties": {
                "state": "Failed",
                "passedControls": 21,
                "failedControls": 3,
                "skippedControls": 0,
                "unsupportedControls": 87
            }
        }
    ]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo (Entità \ Generale)
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se il codice di stato è 200 e dopo il filtro abbiamo dati per almeno uno standard(is_success = true): "Successfully retrieved regulatory controls for the following standards in Microsoft Azure Security Center:\n {0}".format(standard)

If fail for standard(is_success = true) : "Action wasn't able to retrieve regulatory controls for the following standards in Microsoft Azure Security Center:\n {0}".format(standard)

Se non vengono trovati dati per alcuni standard dopo il filtro (is_success=true): "Non sono stati trovati controlli normativi per i seguenti standard in Microsoft Azure Security Center:\n {0}".format(standard)

Se non vengono trovati dati per tutti gli standard in base ai filtri: "Non sono stati trovati controlli normativi per gli standard forniti."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca i controlli degli standard normativi". Reason: {0}''.format(error.Stacktrace)

Se il filtro dello stato contiene valori non validi: "Errore durante l'esecuzione dell'azione "Elenca i controlli degli standard normativi". Motivo: il parametro "Filtro stato" deve contenere solo i seguenti valori: "Superato", "Non superato", "Ignorato", "Non supportato"."

 Generale
Tabella della bacheca casi

Nome tabella: "Controlli normativi: {0}".format(Standard)

Colonna:

  • Nome
  • Stato
  • Descrizione
  • Test superati
  • Test non superati
  • Valutazioni ignorate
 Generale

Dindin

Testa la connettività a Microsoft Defender for Cloud con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

In caso di esito positivo: "Connessione al server Azure Security Center con i parametri di connessione forniti riuscita".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se l'operazione non va a buon fine: "Failed to connect to the Azure Security Center server! Error is {0}".format(exception.stacktrace)

 Generale

Aggiorna lo stato dell'avviso

Aggiorna lo stato dell'avviso in Microsoft Defender for Cloud.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID abbonamento Stringa N/D No

Specifica l'ID della sottoscrizione per cui vuoi eseguire query sulle informazioni.

Nota: se l'ID abbonamento viene fornito a livello di integrazione e di azione, la priorità viene data alla configurazione dell'azione.
ID avviso Stringa N/D Sì Specifica l'ID dell'avviso di cui vuoi aggiornare lo stato.
Località Stringa N/D Sì Specifica la posizione dell'avviso. Esempio: centralus.
Stato DDL

Risolvi

Valori possibili:

  • Ignora
  • Riattiva
  • Risolvi
 Sì Specifica lo stato dell'avviso.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se il codice di stato è 204 (is_success = true): "Successfully {0} alert with ID {1} in Microsoft Azure Security Center:\n {0}".format(dismissed/resolved/reactivated, alert_id)

If "errors" in the response (is_success = false) : "Action wasn't able to {0} alert with ID {1} in Microsoft Azure Security Center. Reason: {2}".format(dismiss/resolve/reactivate, alert_id, errors/message)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiorna stato avviso". Reason: {0}''.format(error.Stacktrace)

 Generale

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Azure Security Center - Security Alerts Connector

Estrai gli avvisi di sicurezza da Microsoft Defender for Cloud.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa resourceType Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
ID client Stringa N/D Vero ID client dell'applicazione Microsoft Entra.
Client secret Password N/D Vero Client secret dell'applicazione Microsoft Entra.
Nome utente Stringa N/D Vero Nome utente dell'account Microsoft Entra.
Password Password N/D Vero Password dell'account Microsoft Entra.
ID abbonamento Stringa N/D Vero ID abbonamento dell'applicazione Microsoft Entra
ID tenant Stringa N/D Vero ID tenant dell'applicazione Microsoft Entra.
Gravità minima da recuperare Stringa Bassa

La gravità più bassa che verrà utilizzata per recuperare l'avviso.

Valori possibili: Low, Medium, High
Numero massimo di avvisi da recuperare Numero intero 50 No Il numero di avvisi da elaborare per un'iterazione del connettore.
Numero massimo di ore indietro Numero intero 1 No Il numero di ore precedenti per recuperare gli avvisi.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se l'opzione è attiva, l'elenco dinamico verrà utilizzato come lista bloccata.
Verifica SSL Casella di controllo Deselezionata Sì Se abilitato, verifica che il certificato SSL per la connessione al server Microsoft Defender for Cloud sia valido.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.
Aggiorna token Password N/D No Token di aggiornamento per l'autorizzazione OAuth.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Job

Per configurare i job in Google SecOps, vai a Risposta > Pianificatore di job.

Job di rinnovo del token di aggiornamento

L'obiettivo del job di rinnovo del token di aggiornamento è aggiornare periodicamente il token di aggiornamento utilizzato nell'integrazione.

Per impostazione predefinita, il token di aggiornamento scade ogni 90 giorni, rendendo l'integrazione inutilizzabile alla scadenza. Ti consigliamo di eseguire questo job ogni 7 o 14 giorni per assicurarti che il token di aggiornamento sia aggiornato.

Input del job

Per configurare il job, utilizza i seguenti parametri:

Parametri
Ambienti di integrazione Optional

Ambienti di integrazione per i quali il job aggiorna i token di aggiornamento.

Questo parametro accetta più valori sotto forma di stringa separata da virgole. Racchiudi i singoli valori tra virgolette (" ").
Nomi dei connettori Optional

Nomi dei connettori per i quali il job aggiorna i token di aggiornamento.

Questo parametro accetta più valori sotto forma di stringa separata da virgole. Racchiudi i singoli valori tra virgolette (" ").

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.