Microsoft 365 Defender

Wichtig: In der Google SecOps-Plattform wird die Integration von Microsoft Defender for XDR als Microsoft 365 Defender bezeichnet.

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for XDR in Google Security Operations einbinden.

Anwendungsfälle

Die Einbindung von Microsoft Defender for XDR in Google SecOps kann Ihnen bei der Lösung der folgenden Anwendungsfälle helfen:

• Automatisierte Incident Response: Verwenden Sie die Google SecOps-Funktionen, um den betroffenen Endpunkt automatisch zu isolieren und einen Scan auf weitere Kompromittierungen zu starten.

• Phishing-Untersuchung und ‑Abhilfe: Verwenden Sie die Google SecOps-Funktionen, um automatisch relevante Informationen wie Absender, Betreff und Anhänge zu extrahieren und mit Threat Intelligence-Daten anzureichern.

• Verwaltung von Sicherheitslücken: Verwenden Sie die Google SecOps-Funktionen, um Workflows für das Scannen auf Sicherheitslücken und die Behebung von Sicherheitslücken zu automatisieren.

• Compliance-Berichte und ‑Audits: Mit den Google SecOps-Funktionen können Sie die Erfassung und Berichterstellung von Sicherheitsdaten aus Microsoft Defender for XDR automatisieren, Compliance-Audits vereinfachen und die Einhaltung von Sicherheitsstandards nachweisen.

• Priorisierung und Triage von Warnungen: Verwenden Sie die Google SecOps-Funktionen, um Warnungen von Microsoft Defender for XDR zu analysieren und nach Schweregrad und potenziellen Auswirkungen zu priorisieren.

• Automatisierte Malware-Analyse: Verwenden Sie die Google SecOps-Funktionen, um die Probe einer von Microsoft 365 Defender erkannten Malware automatisch an eine Sandbox-Umgebung für die dynamische Analyse zu senden.

Hinweis

Führen Sie die folgenden Schritte aus, bevor Sie die Integration in der Google SecOps-Plattform konfigurieren:

1. Erstellen Sie die Microsoft Entra-Anwendung.

2. Konfigurieren Sie die API-Berechtigungen für Ihre App.

3. Erstellen Sie einen Clientschlüssel.

Microsoft Entra-Anwendung erstellen

So erstellen Sie die Microsoft Entra-Anwendung:

1. Melden Sie sich im Azure-Portal als Nutzeradministrator oder Passwortadministrator an.

2. Wählen Sie Microsoft Entra ID aus.

3. Rufen Sie App-Registrierungen > Neue Registrierung auf.

4. Geben Sie den Namen der Anwendung ein.

5. Klicken Sie auf Registrieren.

6. Speichern Sie die Werte für die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant), um sie später beim Konfigurieren der Integrationsparameter zu verwenden.

API-Berechtigungen konfigurieren

So konfigurieren Sie die API-Berechtigungen für die Integration:

1. Rufen Sie im Azure-Portal Verwalten > API-Berechtigungen > Berechtigung hinzufügen auf.

2. Wählen Sie im Fenster API-Berechtigungen anfordern die Option Von meiner Organisation verwendete APIs aus.

3. Wählen Sie Microsoft Graph > Anwendungsberechtigungen aus.

4. Wählen Sie die folgenden Berechtigungen aus:

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Klicken Sie auf Berechtigungen hinzufügen.

6. Wählen Sie im Fenster API-Berechtigungen anfordern die Option Von meiner Organisation verwendete APIs aus.

7. Wählen Sie Microsoft Threat Protection > Anwendungsberechtigungen aus.

8. Wählen Sie die folgende Berechtigung aus:

   • ThreatHunting.Read.All

9. Klicken Sie auf Berechtigungen hinzufügen.

10. Klicken Sie auf Einwilligung des Administrators für YOUR_ORGANIZATION_NAME erteilen.

    Klicken Sie im Dialogfeld Bestätigung der Administratoreinwilligung erteilen auf Ja.

Clientschlüssel erstellen

So erstellen Sie einen Clientschlüssel:

1. Rufen Sie Zertifikate und Secrets > Neuer Clientschlüssel auf.

2. Geben Sie eine Beschreibung für einen Clientschlüssel an und legen Sie dessen Ablaufdatum fest.

3. Klicken Sie auf Hinzufügen.

4. Speichern Sie den Wert des Clientschlüssels (nicht die Secret-ID), um ihn beim Konfigurieren der Integration als Wert für den Parameter Client Secret zu verwenden.

   Der Wert des Clientschlüssels wird nur einmal angezeigt.

Microsoft Defender for XDR in Google SecOps einbinden

Wichtig: Wenn Sie nach der Konfiguration dieser Integration Änderungen an den Anwendungsberechtigungen oder API-Berechtigungen in Ihrer Microsoft Entra ID-Anwendungsregistrierung (Azure AD) vornehmen (z. B. eine neue Berechtigung für die Ausführung eines Jobs hinzufügen), müssen Sie Ihre Anmeldedaten in Google SecOps neu generieren und aktualisieren.

Das bedeutet in der Regel Folgendes:

• Generieren Sie einen neuen Clientschlüssel in Ihrer App-Registrierung.
• Aktualisieren Sie den Clientschlüssel (und generieren Sie gegebenenfalls das Aktualisierungstoken neu) in der Google SecOps-Integrationskonfiguration.

Wenn Sie die Aktualisierung nicht durchführen, werden neue Berechtigungen nicht angewendet, was zu Fehlern bei Aktionen führt.

Für die Integration von Microsoft Defender For XDR sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Login API Root	Erforderlich Das Stammverzeichnis der Login API der Microsoft Defender For XDR-Instanz. Der Standardwert ist https://login.microsoftonline.com.
Graph API Root	Erforderlich Der API-Stamm des Microsoft Graph-Dienstes. Der Standardwert ist https://graph.microsoft.com.
API Root	Erforderlich Der API-Stamm der Microsoft Defender for XDR-Instanz. Der Standardwert ist https://api.security.microsoft.com.
Tenant ID	Erforderlich Der Microsoft Entra ID-Wert (Mandanten-ID) Ihres Microsoft Entra ID-Kontos.
Client ID	Erforderlich Der Wert der Anwendungs-ID (Client-ID) Ihres Microsoft Entra ID-Kontos.
Client Secret	Erforderlich Der Clientschlüsselwert der Microsoft Entra ID-Anwendung.
Verify SSL	Optional Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum Microsoft Defender For XDR-Server gültig ist. Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion ausführen.

Kommentar zu Vorfall hinzufügen

Verwenden Sie die Aktion Kommentar zu Vorfall hinzufügen, um einem Vorfall in Microsoft Defender For XDR einen Kommentar hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Kommentar zu Vorfall hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Incident ID	Erforderlich Die ID des Vorfalls, dem der Kommentar hinzugefügt werden soll.
Comment	Erforderlich Der Kommentar, der dem Vorfall hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Kommentar zu Vorfall hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Add Comment To Incident kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added comment to incident INCIDENT_ID in Microsoft Defender XDR.	Die Aktion war erfolgreich.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Kommentar zu Vorfall hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Benutzerdefinierte Abfrage ausführen

Verwenden Sie die Aktion Benutzerdefinierte Abfrage ausführen, um eine benutzerdefinierte Hunting-Abfrage in Microsoft Defender for XDR auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benutzerdefinierte Abfrage ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Erforderlich Die Abfrage, die in Microsoft Defender for XDR zur Filterung der Ergebnisse ausgeführt werden soll.
Time Frame	Optional Der Zeitraum für die Abfrageergebnisse. Folgende Werte sind möglich: Select One Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Wenn Custom ausgewählt ist, müssen Sie Start Time festlegen. Wichtig: Wenn Sie diesen Parameter verwenden, dürfen Sie die Zeilen nicht einschränken (z. B. mit take oder top) oder im Parameter Query nach Timestamp filtern. Die Abfrage erfordert die intakte Spalte Timestamp, um ordnungsgemäß zu funktionieren. Der Standardwert ist Select One.
Start Time	Optional Die Startzeit für die Abfrageergebnisse im ISO 8601-Format. Wenn Time Frame auf Custom gesetzt ist, ist dieser Parameter erforderlich.
End Time	Optional Die Endzeit für die Abfrageergebnisse im ISO 8601-Format. Wenn kein Wert angegeben ist und Time Frame auf Custom gesetzt ist, wird für die Aktion die aktuelle Zeit verwendet.
Max Results To Return	Optional Die maximale Anzahl von Ergebnissen, die von der Abfrage zurückgegeben werden sollen. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Benutzerdefinierte Abfrage ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Benutzerdefinierte Abfrage ausführen empfangen wird:

[
  {
    "Timestamp": "2021-04-12T07:25:00Z",
    "AlertId": "fa7a318954-6c4c-eaab-yyy-yyyyyyyyyy",
    "Title": "CC_Sensitive information",
    "Category": "InitialAccess",
    "Severity": "Medium",
    "ServiceSource": "Microsoft Defender for Office 365",
    "DetectionSource": "Microsoft Defender for Office 365",
    "AttackTechniques": ""
  }
]

Ausgabenachrichten

Die Aktion Benutzerdefinierte Abfrage ausführen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender.	Die Aktion war erfolgreich.
Error executing action "Execute Custom Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Benutzerdefinierte Abfrage ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Entitätsabfrage ausführen

Verwenden Sie die Aktion Entitätsabfrage ausführen, um eine Hunting-Abfrage auszuführen, die auf Entitäten in Microsoft Defender for XDR basiert.

Für diese Aktion wird ein where-Filter verwendet, der auf Entitäten basiert.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP Address
• Host
• User
• Hash
• URL

Mit der Aktion Entitätsabfrage ausführen können Sie Informationen zu Entitäten abrufen, z. B. die Ergebnisse aus einer Tabelle abrufen und die Ergebnisse nach Entitäten filtern.

Im Gegensatz zur Aktion Abfrage ausführen, für die eine bestimmte Formatierung erforderlich ist, wird bei der Aktion Entitätsabfrage ausführen die Abfrageeingabe nicht verwendet.

Wenn Sie die Aktion Abfrage ausführen verwenden, um die Benachrichtigungen abzurufen, die sich auf einen Endpunkt beziehen, formatieren Sie die | where-Klausel so:

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Wenn Sie die Benachrichtigungen abrufen möchten, die sich auf einen Endpunkt beziehen, müssen Sie für die Aktion Entitätsabfrage ausführen die Parameter Table, IP Entity Key, Hostname Entity Key und Cross Entity Operator so konfigurieren:

Parameter	AlertInfo Wert
IP Entity Key	IPAddress
Hostname Entity Key	DeviceName
Cross Entity Operator	OR

Wenn Sie prüfen möchten, wie viele Endpunkte von den angegebenen Hashes betroffen sind, müssen Sie für die Aktion Entitätsabfrage ausführen den Wert SHA1 für den Parameter File Hash Entity Key eingeben.

Cross Entity Operator wirkt sich nur auf die Abfrage aus, wenn Sie mehrere Werte für den Parameter Entity Keys konfigurieren.

Aktionseingaben

Für die Aktion Entitätsabfrage ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Table Names	Erforderlich Eine durch Kommas getrennte Liste von Tabellen, die in Microsoft Defender for XDR abgefragt werden sollen.
Time Frame	Optional Der Zeitraum für die Abfrageergebnisse. Der Standardwert ist Last Hour. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional Der Beginn der Abfrageergebnisse. Wenn Sie den Parameter Time Frame auf Custom festlegen, ist dieser Parameter erforderlich.
End Time	Optional Die Endzeit für die Abfrageergebnisse. Wenn Sie keinen Wert festlegen und den Parameter Time Frame auf Custom setzen, wird dieser Parameter standardmäßig auf den aktuellen Zeitwert gesetzt.
Fields To Return	Optional Eine durch Kommas getrennte Liste der Felder, die in die Ergebnisse aufgenommen werden sollen.
Sort Field	Optional Das Feld, nach dem die Ergebnisse sortiert werden sollen. Der Standardwert ist Timestamp.
Sort Order	Optional Die Reihenfolge, in der die Ergebnisse sortiert werden sollen (aufsteigend oder absteigend). Der Standardwert ist ASC. Folgende Werte sind möglich: ASC DESC
Max Results To Return	Optional Die maximale Anzahl von zurückzugebenden Ergebnissen. Der Standardwert ist 50.
IP Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität IP Address verwendet werden soll.
Hostname Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität Hostname verwendet werden soll.
File Hash Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität File Hash verwendet werden soll.
User Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität User verwendet werden soll.
URL Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität URL verwendet werden soll.
Email Address Entity Key	Optional Der Schlüssel, der zum Filtern nach der Entität Email Address verwendet werden soll. Die Aktion akzeptiert die Entität User, die dem regulären Ausdruck für die E-Mail-Adresse entspricht.
Stop If Not Enough Entities	Optional Wenn diese Option ausgewählt ist, wird die Aktion ausgeführt, wenn alle angegebenen Entitätstypen vorhanden sind. Standardmäßig ausgewählt.
Cross Entity Operator	Erforderlich Der logische Operator, der zwischen verschiedenen Entitätstypen in der Abfrage verwendet werden soll. Der Standardwert ist OR. Folgende Werte sind möglich: OR AND

Aktionsausgaben

Die Aktion Entitätsabfrage ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Entitätsabfrage ausführen erhalten:

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Ausgabenachrichten

Die Aktion Entitätsabfrage ausführen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed query "QUERY" in Microsoft 365 Defender. Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY. No data was found for the query "QUERY" in Microsoft 365 Defender."	Die Aktion war erfolgreich.
Error executing action "Execute Entity Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitätsabfrage ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Abfrage ausführen

Verwenden Sie die Aktion Abfrage ausführen, um Hunting-Abfragen in Microsoft 365 Defender auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Abfrage ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Table Names	Erforderlich Eine durch Kommas getrennte Liste von Tabellennamen, die in Microsoft 365 Defender abgefragt werden sollen.
Query	Optional Eine Abfrage, die ausgeführt werden soll. Verwenden Sie diesen Parameter, um die | where-Klausel anzugeben. Der Zeitfilter, die Begrenzung und die Sortierung sind optional.
Time Frame	Optional Der Zeitraum für die Abfrageergebnisse. Der Standardwert ist Last Hour. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional Die Startzeit für die Abfrageergebnisse im ISO 8601-Format. Wenn Sie den Parameter Time Frame auf Custom festlegen, ist dieser Parameter erforderlich.
End Time	Optional Die Endzeit für die Abfrageergebnisse im ISO 8601-Format. Wenn Sie keinen Wert festlegen und den Parameter Time Frame auf Custom setzen, wird dieser Parameter standardmäßig auf den aktuellen Zeitwert gesetzt.
Fields To Return	Optional Eine durch Kommas getrennte Liste der Felder, die in die Ergebnisse aufgenommen werden sollen.
Sort Field	Optional Das Feld, nach dem die Ergebnisse sortiert werden sollen. Der Standardwert ist Timestamp.
Sort Order	Optional Die Reihenfolge, in der die Ergebnisse sortiert werden sollen (aufsteigend oder absteigend). Der Standardwert ist ASC. Folgende Werte sind möglich: ASC DESC
Max Results To Return	Optional Die maximale Anzahl von zurückzugebenden Ergebnissen. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Abfrage ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Abfrage ausführen empfangen wird:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Ausgabenachrichten

Die Aktion Abfrage ausführen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender."	Die Aktion war erfolgreich.
Error executing action "Execute Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Abfrage ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Microsoft Defender for XDR zu testen.

Die Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Ping empfangen wird:

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters!	Die Aktion war erfolgreich.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses	Wert
is_success	True oder False

Vorfall aktualisieren

Verwenden Sie die Aktion Vorfall aktualisieren, um Vorfälle in Microsoft Defender for XDR zu aktualisieren.

Gemäß den API-Limits schlägt diese Aktion auch dann nicht fehl, wenn Sie für den Parameter Assign To einen ungültigen Nutzernamen festlegen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Vorfall aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Incident ID	Erforderlich Die ID des Vorfalls, der in Microsoft Defender for XDR aktualisiert werden soll.
Status	Optional Der Status, der für den Vorfall in Microsoft Defender For XDR festgelegt werden soll. Der Standardwert ist Select One. Folgende Werte sind möglich: Select One Active Resolved
Classification	Optional Die Klassifizierung, die für den Vorfall in Microsoft Defender for XDR festgelegt werden soll. Der Standardwert ist Select One. Folgende Werte sind möglich: Select One False Positive True Positive
Determination	Optional Die Entscheidung, die für den Vorfall in Microsoft Defender For XDR festgelegt werden soll. Dieser Parameter gilt nur, wenn der Wert des Parameters Classification True Positive ist. Der Standardwert ist Select One. Folgende Werte sind möglich: Select One Not Available Apt Malware Security Personnel Security Testing Unwanted Software Other
Assign To	Optional Der Nutzer, dem der Vorfall in Microsoft Defender for XDR zugewiesen werden soll.

Aktionsausgaben

Die Aktion Vorfall aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Vorfall aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender.	Die Aktion war erfolgreich.
Error executing action "Update Incident". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Connectors

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Microsoft 365 Defender – Incidents Connector

Mit dem Microsoft 365 Defender – Incidents Connector können Sie Informationen zu Vorfällen und den zugehörigen Benachrichtigungen aus Microsoft Defender XDR abrufen.

Die dynamische Liste funktioniert mit einem Vorfallnamen.

Einschränkungen des Connectors

Der Microsoft 365 Defender – Incidents Connector verwendet API-Anfragen mit strengen API-Limits. Legen Sie den Parameter Max Incidents To Fetch auf 10 und den Parameter Run Every auf 1 minute fest, um den Connector zu stabilisieren. Sie können die Ratenbegrenzung trotzdem erreichen, da der Microsoft Graph API-Endpunkt, der zum Abrufen von Benachrichtigungen verwendet wird, nur 20 Anfragen pro Minute zulässt.

Um Datenverlust beim Erreichen des Ratenlimits zu vermeiden, beendet der Connector die Verarbeitung des aktuellen Vorfalls und wartet 90 Sekunden, bevor er einen anderen Vorfall verarbeitet. Nach 90 Sekunden wird die Ratenbegrenzung auf den maximalen Wert zurückgesetzt und der Connector verarbeitet den Vorfall, der in der vorherigen Iteration nicht ordnungsgemäß verarbeitet wurde, noch einmal.

Connector-Eingaben

Für den Microsoft 365 Defender – Incidents Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Erforderlich Der Name des Felds, in dem der Produktname gespeichert ist. Der Standardwert ist event_type.
Event Field Name	Erforderlich Der Feldname, der zur Bestimmung des Ereignisnamens (Untertyp) verwendet wird. Der Standardwert ist @odata.type.
Login API Root	Erforderlich Das Stammverzeichnis der Login API der Microsoft Defender For XDR-Instanz. Aktualisieren Sie diesen Parameter, wenn Sie einen GCC High-Mandanten verwenden. Der Standardwert ist https://login.microsoftonline.com.
Graph API Root	Erforderlich Der API-Stamm des Microsoft Graph-Dienstes. Aktualisieren Sie diesen Parameter, wenn Sie einen GCC High-Mandanten verwenden. Der Standardwert ist https://graph.microsoft.com.
API Root	Erforderlich Der API-Stamm der Microsoft Defender XDR-Instanz. Aktualisieren Sie diesen Parameter, wenn Sie einen GCC High-Mandanten verwenden. Der Standardwert ist https://api.security.microsoft.com.
Tenant ID	Erforderlich Der Microsoft Entra ID-Wert (Mandanten-ID) Ihres Microsoft Entra ID-Kontos.
Client ID	Erforderlich Der Wert der Anwendungs-ID (Client-ID) Ihres Microsoft Entra ID-Kontos.
Client Secret	Erforderlich Der Clientschlüsselwert der Microsoft Entra ID-Anwendung.
Verify SSL	Optional Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum Microsoft Defender For XDR-Server gültig ist. Standardmäßig ausgewählt.
Lowest Severity To Fetch	Optional Der niedrigste Schweregrad der abzurufenden Vorfälle.
Max Hours Backwards	Optional Die Anzahl der Stunden vor der ersten Connector-Iteration, aus der Vorfälle abgerufen werden sollen. Dieser Parameter gilt für die erste Connector-Iteration, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel. Der Standardwert ist 1.
Max Incidents To Fetch	Optional Die maximale Anzahl von Vorfällen, die bei jeder Connector-Iteration abgerufen werden sollen. Der Standardwert ist 10.
Incident Status Filter	Optional Eine durch Kommas getrennte Liste der Vorfallstatus, die aufgenommen werden sollen. Der Standardwert ist active, inProgress. Folgende Werte sind möglich: active inProgress resolved redirected Weitergeleitete Vorfälle können in den meisten Fällen leer sein.
Assigned To	Optional Eine durch Kommas getrennte Liste der zugewiesenen Nutzerkonten oder E‑Mail-Adressen, die zum Filtern von Vorfällen während der Aufnahme über die Microsoft Graph API verwendet werden.
Tags	Optional Eine durch Kommas getrennte Liste von Tags, mit denen Vorfälle gefiltert werden, die von Microsoft 365 Defender abgerufen wurden.
Use whitelist as a blacklist	Optional Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Lowest Alert Severity To Fetch	Optional Der niedrigste Schweregrad der abzurufenden Benachrichtigungen.
Disable Alert Tracking	Optional Wenn diese Option aktiviert ist, werden Aktualisierungen für Benachrichtigungen nicht mehr erfasst. Standardmäßig deaktiviert.
Environment Field Name	Optional Der Name des Felds, das den Umgebungsnamen enthält.
Environment Regex Pattern	Optional Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
PythonProcessTimeout	Erforderlich Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
Dynamic List Field	Optional Der Wert, den die dynamische Liste zum Filtern verwendet. Die möglichen Werte sind Incident Name und Alert Name. Der Standardwert ist Incident Name.
Alert Detection Source Filter	Optional Eine durch Kommas getrennte Liste von Quellen für die Benachrichtigungserkennung, die aufgenommen werden sollen, z. B. antivirus, microsoftDefenderForEndpoint.
Alert Service Source Filter	Optional Eine durch Kommas getrennte Liste von Quellen für den Benachrichtigungsdienst, die aufgenommen werden sollen, z. B. antivirus, microsoftDefenderForEndpoint.
Disable Overflow	Optional Wenn diese Option ausgewählt ist, ignoriert der Connector beim Erstellen von Benachrichtigungen den Überlaufmechanismus von Google SecOps. Standardmäßig aktiviert.
Proxy Server Address	Optional Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

• Der Connector unterstützt Proxys.
• Der Connector unterstützt dynamische Listen und Sperrlisten.
• Der Connector unterstützt GCC High-Mandanten.

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Microsoft 365 Defender – Meldungen synchronisieren

Verwenden Sie den Job Microsoft 365 Defender – Benachrichtigungen synchronisieren, um Benachrichtigungen, Kommentare und Status bidirektional zwischen Google SecOps und Microsoft Defender XDR zu synchronisieren.

Jobanforderungen

Damit der Job die richtigen Daten identifiziert und synchronisiert, müssen die folgenden Bedingungen erfüllt sein:

• Der Google SecOps-Fall muss das Tag Microsoft Defender XDR Alert enthalten.

• Wenn die Benachrichtigung nicht vom Microsoft 365 Defender – Incidents Connector stammt, müssen Sie der Benachrichtigung einen Alert_ID-Kontextwert hinzufügen.

• Die Synchronisierung der zugewiesenen Person erfolgt ausschließlich von Microsoft Defender XDR zu Google SecOps.

Jobparameter

Für den Job Microsoft 365 Defender – Benachrichtigungen synchronisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Environment Name	Pflichtangabe. Der Name der Umgebung, aus der Benachrichtigungen synchronisiert werden sollen. Der Standardwert ist Default Environment.
Login API Root	Pflichtangabe. Das Stammverzeichnis der Login API der Microsoft Defender XDR-Instanz. Der Standardwert ist https://login.microsoftonline.com.
Graph API Root	Pflichtangabe. Der API-Stamm des Microsoft Graph-Dienstes. Der Standardwert ist https://graph.microsoft.com.
API Root	Pflichtangabe. Der API-Stamm der Microsoft Defender XDR-Instanz. Der Standardwert ist https://api.security.microsoft.com.
Tenant ID	Pflichtangabe. Die Mandanten-ID des Microsoft Defender XDR-Kontos.
Client ID	Pflichtangabe. Die Client-ID des Microsoft Defender XDR-Kontos.
Client Secret	Pflichtangabe. Der Clientschlüssel des Microsoft Defender XDR-Kontos.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden, für die Benachrichtigungen vor der aktuellen Zeit während der ersten Jobiteration synchronisiert werden sollen. Der Standardwert ist 24.
Sync Assignee	Optional. Wenn diese Option ausgewählt ist, wird der zugewiesene Nutzer von Microsoft Defender XDR mit Google SecOps synchronisiert.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung mit dem Microsoft Defender XDR-Server validiert. Standardmäßig aktiviert.
Sync Direction	Optional. Die JSON-Zuordnung, mit der die Synchronisierungsrichtung für jedes Feature gesteuert wird. Die unterstützten Schlüssel sind Status und Comments. Folgende Werte sind möglich: Bidirectional toXDR toSecOps None Wenn ein Schlüssel auf None oder einen ungültigen Wert gesetzt ist, wird die Synchronisierung für dieses Feature deaktiviert. Wenn kein Wert angegeben wird, werden sowohl Status als auch Kommentare bidirektional synchronisiert. Nicht angegebene Schlüssel werden standardmäßig auf Bidirectional gesetzt. Beispiel: {"Status": "toXDR"}: Synchronisiert den Status von Google SecOps mit Microsoft Defender XDR, während Kommentare weiterhin bidirektional synchronisiert werden. {"Comments": "toSecOps"}: Kommentare werden von Microsoft Defender XDR mit Google SecOps synchronisiert, während der Status weiterhin bidirektional synchronisiert wird. Der Standardwert ist {"Status": "Bidirectional", "Comments": "Bidirectional"}.
Closed Reason Mapping	Optional. Die JSON-Zuordnung von Google SecOps-Closure Reason|RootCause-Paaren zur Microsoft Defender XDR-Klassifizierung und -Bestimmung. Dieser Parameter gilt nur für die Synchronisierung benutzerdefinierter Schließungsgründe von Google SecOps mit Microsoft Defender XDR. Standardverhalten oder Verhalten bei leerem Feld: Wenn dieser Parameter leer bleibt oder die Standardzuordnung verwendet wird, werden die Schließungsgründe im Job so zugeordnet: Malicious → truePositive, maliciousUserActivity Not Malicious → falsePositive, notMalicious Maintenance oder Inconclusive → unknownFutureValue, other (entspricht Nicht klassifiziert in Microsoft Defender) Suchreihenfolge: Wenn eine Benachrichtigung in Google SecOps geschlossen wird, wertet der Job die Schließungsdetails in der folgenden Reihenfolge aus: Genaue Paarübereinstimmung ("{Reason} | {Root Cause}"): Es wird nach einer genauen Paarübereinstimmung gesucht (z. B. "{Malicious} | {Misconfigured system}"). Übereinstimmung mit einem einzelnen Grund ("Reason"): Wenn keine genaue Übereinstimmung gefunden wird, wird nach einer Übereinstimmung mit einem einzelnen Grundschlüssel (z. B. "Malicious") gesucht. Fallback: Wenn keine der beiden Optionen zutrifft oder der angegebene classification- oder determination-Wert von der Microsoft Defender API nicht akzeptiert wird, verwendet der Job den Eintrag Fallback. Hinweis: Der Eintrag Fallback ist erforderlich. Wenn keine Angabe gemacht wird, schlägt der Job fehl. Die Werte classification und determination müssen in camelCase angegeben werden, wie es die Microsoft Defender API erfordert. Der Standardwert ist {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten