Microsoft 365 Defender

Important : Dans la plate-forme Google SecOps, l'intégration de Microsoft Defender for XDR s'appelle Microsoft 365 Defender.

Ce document explique comment intégrer Microsoft Defender pour XDR à Google Security Operations.

Cas d'utilisation

L'intégration de Microsoft Defender pour XDR à Google SecOps peut vous aider à résoudre les cas d'utilisation suivants :

• Réponse automatisée aux incidents : utilisez les fonctionnalités de Google SecOps pour isoler automatiquement le point de terminaison concerné et lancer une analyse pour détecter d'autres compromissions.

• Investigation et correction des attaques par hameçonnage : utilisez les fonctionnalités de Google SecOps pour extraire automatiquement les informations pertinentes, telles que l'expéditeur, l'objet et les pièces jointes, et les enrichir avec des données de renseignement sur les menaces.

• Gestion des failles : utilisez les fonctionnalités de Google SecOps pour automatiser l'analyse des failles et les workflows de correction.

• Rapports et audits de conformité : utilisez les fonctionnalités de Google SecOps pour automatiser la collecte et la création de rapports sur les données de sécurité de Microsoft Defender pour XDR, ce qui simplifie les audits de conformité et démontre le respect des normes de sécurité.

• Hiérarchisation et tri des alertes : utilisez les fonctionnalités de Google SecOps pour analyser les alertes de Microsoft Defender pour XDR et les hiérarchiser en fonction de leur gravité et de leur impact potentiel.

• Analyse automatisée des logiciels malveillants : utilisez les fonctionnalités de Google SecOps pour envoyer automatiquement l'échantillon d'un logiciel malveillant détecté par Microsoft 365 Defender à un environnement de bac à sable pour une analyse dynamique.

Avant de commencer

Avant de configurer l'intégration dans la plate-forme Google SecOps, procédez comme suit :

1. Créez l'application Microsoft Entra.

2. Configurez les autorisations de l'API pour votre application.

3. Créez un code secret du client.

Créer l'application Microsoft Entra

Pour créer l'application Microsoft Entra, procédez comme suit :

1. Connectez-vous au portail Azure en tant qu'administrateur d'utilisateurs ou administrateur de mots de passe.

2. Sélectionnez Microsoft Entra ID.

3. Accédez à Inscriptions d'applications > Nouvelle inscription.

4. Saisissez le nom de l'application.

5. Cliquez sur S'inscrire.

6. Enregistrez les valeurs ID (client) de l'application et ID (de locataire) du répertoire pour les utiliser ultérieurement lors de la configuration des paramètres d'intégration.

Configurer les autorisations de l'API

Pour configurer les autorisations d'API pour l'intégration, procédez comme suit :

1. Sur le portail Azure, accédez à Gérer > Autorisations d'API > Ajouter une autorisation.

2. Dans la fenêtre Demander des autorisations d'API, sélectionnez API utilisées par mon organisation.

3. Sélectionnez Microsoft Graph> Autorisations de l'application.

4. Sélectionnez les autorisations suivantes :

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Cliquez sur Ajouter des autorisations.

6. Dans la fenêtre Demander des autorisations d'API, sélectionnez API utilisées par mon organisation.

7. Sélectionnez Microsoft Threat Protection > Autorisations de l'application.

8. Sélectionnez l'autorisation suivante :

   • ThreatHunting.Read.All

9. Cliquez sur Ajouter des autorisations.

10. Cliquez sur Accorder le consentement administrateur pour YOUR_ORGANIZATION_NAME.

    Lorsque la boîte de dialogue Grant admin consent confirmation (Confirmer l'octroi du consentement administrateur) s'affiche, cliquez sur Yes (Oui).

Créer un code secret du client

Pour créer un code secret du client, procédez comme suit :

1. Accédez à Certificates and secrets > New client secret (Certificats et codes secrets > Nouveau code secret du client).

2. Fournissez une description pour un code secret du client et définissez sa date d'expiration.

3. Cliquez sur Ajouter.

4. Enregistrez la valeur du code secret du client (et non l'ID du secret) pour l'utiliser comme valeur de paramètre Client Secret lors de la configuration de l'intégration.

   La valeur du code secret du client n'est affichée qu'une seule fois.

Intégrer Microsoft Defender pour XDR à Google SecOps

Important : Si vous modifiez les autorisations de l'application ou les autorisations de l'API dans l'enregistrement de votre application Microsoft Entra ID (Azure AD) après avoir configuré cette intégration (par exemple, en ajoutant une autorisation pour l'exécution d'un job), vous devez régénérer et mettre à jour vos identifiants dans Google SecOps.

Cela signifie généralement que :

• Générez un code secret du client dans l'enregistrement de votre application.
• Mettre à jour le code secret du client (et régénérer le jeton d'actualisation, le cas échéant) dans la configuration de l'intégration Google SecOps.

Si vous ne mettez pas à jour l'agent, les nouvelles autorisations ne seront pas appliquées, ce qui entraînera l'échec des actions.

L'intégration de Microsoft Defender pour XDR nécessite les paramètres suivants :

Paramètre	Description
Login API Root	Obligatoire Racine de l'API de connexion de l'instance Microsoft Defender pour XDR. La valeur par défaut est https://login.microsoftonline.com.
Graph API Root	Obligatoire La racine de l'API du service Microsoft Graph. La valeur par défaut est https://graph.microsoft.com.
API Root	Obligatoire Racine de l'API de l'instance Microsoft Defender pour XDR. La valeur par défaut est https://api.security.microsoft.com.
Tenant ID	Obligatoire Valeur Microsoft Entra ID (ID de locataire) de votre compte Microsoft Entra ID.
Client ID	Obligatoire ID d'application (client) de votre compte Microsoft Entra ID.
Client Secret	Obligatoire Valeur du code secret du client de l'application Microsoft Entra ID.
Verify SSL	Optional Si cette option est sélectionnée, l'intégration vérifie que le certificat SSL de connexion au serveur Microsoft Defender for XDR est valide. Cette option est sélectionnée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la compatibilité de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Effectuer une action manuelle.

Ajouter un commentaire à l'incident

Utilisez l'action Ajouter un commentaire à l'incident pour ajouter un commentaire à un incident dans Microsoft Defender pour XDR.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter un commentaire à l'incident nécessite les paramètres suivants :

Paramètre	Description
Incident ID	Obligatoire ID de l'incident auquel ajouter le commentaire.
Comment	Obligatoire Commentaire à ajouter à l'incident.

Sorties de l'action

L'action Ajouter un commentaire à l'incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un commentaire à l'incident peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added comment to incident INCIDENT_ID in Microsoft Defender XDR.	L'action a réussi.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ajouter un commentaire à l'incident :

Nom du résultat du script	Valeur
is_success	True ou False

Exécuter une requête personnalisée

Utilisez l'action Exécuter une requête personnalisée pour exécuter une requête de chasse personnalisée dans Microsoft Defender pour XDR.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Exécuter une requête personnalisée nécessite les paramètres suivants :

Paramètre	Description
Query	Obligatoire Requête à exécuter dans Microsoft Defender pour XDR pour filtrer les résultats.
Time Frame	Optional Période pour les résultats de la requête. Les valeurs possibles sont les suivantes : Select One Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Si Custom est sélectionné, vous devez définir Start Time. Important : Lorsque vous utilisez ce paramètre, ne limitez pas les lignes (par exemple, en utilisant take ou top) et ne filtrez pas par Timestamp dans le paramètre Query. La requête nécessite que la colonne Timestamp soit intacte pour fonctionner correctement. La valeur par défaut est Select One.
Start Time	Optional Heure de début des résultats de la requête au format ISO 8601. Si Time Frame est défini sur Custom, ce paramètre est obligatoire.
End Time	Optional Heure de fin des résultats de la requête au format ISO 8601. Si aucune valeur n'est fournie et que Time Frame est défini sur Custom, l'action utilise l'heure actuelle.
Max Results To Return	Optional Nombre maximal de résultats à renvoyer pour la requête. La valeur par défaut est 50.

Sorties de l'action

L'action Exécuter une requête personnalisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une requête personnalisée :

[
  {
    "Timestamp": "2021-04-12T07:25:00Z",
    "AlertId": "fa7a318954-6c4c-eaab-yyy-yyyyyyyyyy",
    "Title": "CC_Sensitive information",
    "Category": "InitialAccess",
    "Severity": "Medium",
    "ServiceSource": "Microsoft Defender for Office 365",
    "DetectionSource": "Microsoft Defender for Office 365",
    "AttackTechniques": ""
  }
]

Messages de sortie

L'action Exécuter une requête personnalisée peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender.	L'action a réussi.
Error executing action "Execute Custom Query". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exécuter une requête personnalisée :

Nom du résultat du script	Valeur
is_success	True ou False

Exécuter une requête d'entité

Utilisez l'action Exécuter une requête d'entité pour exécuter une requête de chasse basée sur des entités dans Microsoft Defender pour XDR.

Cette action utilise un filtre where basé sur des entités.

Cette action s'exécute sur les entités Google SecOps suivantes :

• IP Address
• Host
• User
• Hash
• URL

Vous pouvez utiliser l'action Exécuter une requête d'entité pour récupérer des informations liées aux entités, par exemple pour récupérer les résultats d'une table et les filtrer en fonction des entités.

Contrairement à l'action Exécuter une requête, qui nécessite l'utilisation d'une mise en forme spécifique, l'action Exécuter une requête d'entité n'utilise pas l'entrée de requête.

Lorsque vous utilisez l'action Exécuter la requête pour récupérer les alertes liées à un point de terminaison, mettez en forme la clause | where comme suit :

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Pour récupérer les alertes liées à un point de terminaison, l'action Exécuter une requête d'entité nécessite de configurer les paramètres Table, IP Entity Key, Hostname Entity Key et Cross Entity Operator comme suit :

Paramètre	Valeur AlertInfo
IP Entity Key	IPAddress
Hostname Entity Key	DeviceName
Cross Entity Operator	OR

Pour vérifier le nombre de points de terminaison affectés par les hachages fournis, l'action Exécuter une requête d'entité nécessite de saisir la valeur SHA1 pour le paramètre File Hash Entity Key.

Cross Entity Operator n'a d'impact sur la requête que lorsque vous configurez plusieurs valeurs pour le paramètre Entity Keys.

Entrées de l'action

L'action Exécuter une requête d'entité nécessite les paramètres suivants :

Paramètre	Description
Table Names	Obligatoire Liste des tables à interroger dans Microsoft Defender pour XDR, séparées par une virgule.
Time Frame	Optional Période pour les résultats de la requête. La valeur par défaut est Last Hour. Les valeurs possibles sont les suivantes : Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional Heure de début des résultats de la requête. Si vous définissez le paramètre Time Frame sur Custom, ce paramètre est obligatoire.
End Time	Optional Heure de fin des résultats de la requête. Si vous ne définissez pas de valeur et que vous définissez le paramètre Time Frame sur Custom, l'action définit ce paramètre sur la valeur de l'heure actuelle par défaut.
Fields To Return	Optional Liste de champs séparés par une virgule à inclure dans les résultats.
Sort Field	Optional Champ utilisé pour trier les résultats. La valeur par défaut est Timestamp.
Sort Order	Optional Ordre de tri des résultats (croissant ou décroissant). La valeur par défaut est ASC. Les valeurs possibles sont les suivantes : ASC DESC
Max Results To Return	Optional Nombre maximal de résultats à renvoyer. La valeur par défaut est 50.
IP Entity Key	Optional Clé à utiliser pour filtrer par l'entité IP Address.
Hostname Entity Key	Optional Clé à utiliser pour filtrer par l'entité Hostname.
File Hash Entity Key	Optional Clé à utiliser pour filtrer par l'entité File Hash.
User Entity Key	Optional Clé à utiliser pour filtrer par l'entité User.
URL Entity Key	Optional Clé à utiliser pour filtrer par l'entité URL.
Email Address Entity Key	Optional Clé à utiliser pour filtrer par l'entité Email Address. L'action accepte l'entité User qui correspond à l'expression régulière de l'adresse e-mail.
Stop If Not Enough Entities	Optional Si cette option est sélectionnée, l'action s'exécute si tous les types d'entités spécifiés sont présents. Cette option est sélectionnée par défaut.
Cross Entity Operator	Obligatoire Opérateur logique à utiliser entre différents types d'entités dans la requête. La valeur par défaut est OR. Les valeurs possibles sont les suivantes : OR AND

Sorties de l'action

L'action Exécuter une requête d'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une requête d'entité :

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Messages de sortie

L'action Exécuter une requête d'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully executed query "QUERY" in Microsoft 365 Defender. Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY. No data was found for the query "QUERY" in Microsoft 365 Defender."	L'action a réussi.
Error executing action "Execute Entity Query". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exécuter une requête d'entité :

Nom du résultat du script	Valeur
is_success	True ou False

Exécuter la requête

Utilisez l'action Exécuter la requête pour exécuter des requêtes de recherche dans Microsoft 365 Defender.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Exécuter la requête nécessite les paramètres suivants :

Paramètre	Description
Table Names	Obligatoire Liste de noms de tables à interroger dans Microsoft 365 Defender, séparés par une virgule.
Query	Optional Requête à exécuter. Utilisez ce paramètre pour fournir la clause | where. Le filtre temporel, la limitation et le tri sont facultatifs.
Time Frame	Optional Période pour les résultats de la requête. La valeur par défaut est Last Hour. Les valeurs possibles sont les suivantes : Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional Heure de début des résultats de la requête au format ISO 8601. Si vous définissez le paramètre Time Frame sur Custom, ce paramètre est obligatoire.
End Time	Optional Heure de fin des résultats de la requête au format ISO 8601. Si vous ne définissez pas de valeur et que vous définissez le paramètre Time Frame sur Custom, l'action définit ce paramètre sur la valeur de l'heure actuelle par défaut.
Fields To Return	Optional Liste de champs séparés par une virgule à inclure dans les résultats.
Sort Field	Optional Champ utilisé pour trier les résultats. La valeur par défaut est Timestamp.
Sort Order	Optional Ordre de tri des résultats (croissant ou décroissant). La valeur par défaut est ASC. Les valeurs possibles sont les suivantes : ASC DESC
Max Results To Return	Optional Nombre maximal de résultats à renvoyer. La valeur par défaut est 50.

Sorties de l'action

L'action Exécuter la requête fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Exécuter une requête :

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messages de sortie

L'action Exécuter la requête peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender."	L'action a réussi.
Error executing action "Execute Query". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exécuter la requête :

Nom du résultat du script	Valeur
is_success	True ou False

Ping

Utilisez l'action Ping pour tester la connectivité à Microsoft Defender pour XDR.

L'action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Ping :

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters!	L'action a réussi.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	True ou False

Mettre à jour l'incident

Utilisez l'action Mettre à jour l'incident pour mettre à jour les incidents dans Microsoft Defender pour XDR.

En raison des limites de l'API, cette action n'échoue pas même si vous définissez une valeur de nom d'utilisateur non valide pour le paramètre Assign To.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre à jour l'incident nécessite les paramètres suivants :

Paramètre	Description
Incident ID	Obligatoire ID de l'incident à mettre à jour dans Microsoft Defender pour XDR.
Status	Optional État à définir pour l'incident dans Microsoft Defender pour XDR. La valeur par défaut est Select One. Les valeurs possibles sont les suivantes : Select One Active Resolved
Classification	Optional Classification à définir pour l'incident dans Microsoft Defender pour XDR. La valeur par défaut est Select One. Les valeurs possibles sont les suivantes : Select One False Positive True Positive
Determination	Optional Détermination à définir pour l'incident dans Microsoft Defender pour XDR. Ce paramètre ne s'applique que si la valeur du paramètre Classification est True Positive. La valeur par défaut est Select One. Les valeurs possibles sont les suivantes : Select One Not Available Apt Malware Security Personnel Security Testing Unwanted Software Other
Assign To	Optional Utilisateur auquel attribuer l'incident dans Microsoft Defender pour XDR.

Sorties de l'action

L'action Mettre à jour l'incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre à jour l'incident peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender.	L'action a réussi.
Error executing action "Update Incident". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Connecteurs

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Ingérer vos données (connecteurs).

Microsoft 365 Defender – Connecteur d'incidents

Utilisez le connecteur d'incidents Microsoft 365 Defender pour extraire des informations sur les incidents et les alertes associées de Microsoft Defender XDR.

La liste dynamique fonctionne avec un nom d'incident.

Limites du connecteur

Le connecteur d'incidents Microsoft 365 Defender utilise les requêtes API avec des limites d'API strictes. Pour stabiliser le connecteur, définissez le paramètre Max Incidents To Fetch sur 10 et le paramètre Run Every sur 1 minute. Vous pouvez toujours atteindre la limite de débit, car le point de terminaison de l'API Microsoft Graph utilisé pour récupérer les alertes n'autorise que 20 requêtes par minute.

Pour éviter toute perte de données lorsque la limite de débit est atteinte, le connecteur arrête de traiter l'incident en cours et attend 90 secondes avant de traiter tout autre incident. Au bout de 90 secondes, la limite de débit revient à sa valeur maximale et le connecteur traite à nouveau l'incident qui n'a pas été correctement traité lors de l'itération précédente.

Entrées du connecteur

Le connecteur Microsoft 365 Defender – Incidents nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire Nom du champ dans lequel le nom du produit est stocké. La valeur par défaut est event_type.
Event Field Name	Obligatoire Nom du champ utilisé pour déterminer le nom de l'événement (sous-type). La valeur par défaut est @odata.type.
Login API Root	Obligatoire Racine de l'API de connexion de l'instance Microsoft Defender pour XDR. Mettez à jour ce paramètre si vous utilisez un locataire GCC High. La valeur par défaut est https://login.microsoftonline.com.
Graph API Root	Obligatoire La racine de l'API du service Microsoft Graph. Mettez à jour ce paramètre si vous utilisez un locataire GCC High. La valeur par défaut est https://graph.microsoft.com.
API Root	Obligatoire Racine de l'API de l'instance Microsoft Defender XDR. Mettez à jour ce paramètre si vous utilisez un locataire GCC High. La valeur par défaut est https://api.security.microsoft.com.
Tenant ID	Obligatoire Valeur Microsoft Entra ID (ID de locataire) de votre compte Microsoft Entra ID.
Client ID	Obligatoire ID d'application (client) de votre compte Microsoft Entra ID.
Client Secret	Obligatoire Valeur du code secret du client de l'application Microsoft Entra ID.
Verify SSL	Optional Si cette option est sélectionnée, l'intégration vérifie que le certificat SSL de connexion au serveur Microsoft Defender for XDR est valide. Cette option est sélectionnée par défaut.
Lowest Severity To Fetch	Optional Niveau de gravité le plus faible des incidents à récupérer.
Max Hours Backwards	Optional Nombre d'heures avant la première itération du connecteur à partir de laquelle récupérer les incidents. Ce paramètre s'applique à l'itération initiale du connecteur après l'activation du connecteur pour la première fois ou à la valeur de remplacement d'un code temporel de connecteur expiré. La valeur par défaut est 1.
Max Incidents To Fetch	Optional Nombre maximal d'incidents à extraire pour chaque itération du connecteur. La valeur par défaut est 10.
Incident Status Filter	Optional Liste d'états d'incidents à ingérer, séparés par une virgule. La valeur par défaut est active, inProgress. Les valeurs possibles sont les suivantes : active inProgress resolved redirected Dans la plupart des cas, les incidents redirigés peuvent être vides.
Assigned To	Optional Liste d'adresses e-mail ou de comptes utilisateur attribués, séparés par une virgule, utilisée pour filtrer les incidents lors de l'ingestion via l'API Microsoft Graph.
Tags	Optional Liste de tags séparés par une virgule, utilisée pour filtrer les incidents récupérés depuis Microsoft 365 Defender.
Use whitelist as a blacklist	Optional Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage. Non sélectionné par défaut.
Lowest Alert Severity To Fetch	Optional Niveau de gravité le plus faible des alertes à récupérer.
Disable Alert Tracking	Optional Si cette option est activée, le connecteur arrête de suivre les mises à jour des alertes. Désactivé par défaut
Environment Field Name	Optional Nom du champ contenant le nom de l'environnement.
Environment Regex Pattern	Optional Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat de l'environnement final est l'environnement par défaut.
PythonProcessTimeout	Obligatoire Délai avant expiration en secondes du processus Python qui exécute le script actuel. La valeur par défaut est 180.
Dynamic List Field	Optional Valeur utilisée par la liste dynamique pour le filtrage. Les valeurs possibles sont Incident Name et Alert Name. La valeur par défaut est Incident Name.
Alert Detection Source Filter	Optional Liste de sources de détection d'alertes à ingérer, séparées par une virgule, par exemple antivirus, microsoftDefenderForEndpoint.
Alert Service Source Filter	Optional Liste de sources de services d'alerte à ingérer, séparées par une virgule, par exemple antivirus, microsoftDefenderForEndpoint.
Disable Overflow	Optional Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps lors de la création de l'alerte. Cette option est activée par défaut.
Proxy Server Address	Optional Adresse du serveur proxy à utiliser.
Proxy Username	Optional Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Optional Mot de passe du proxy pour l'authentification.

Règles du connecteur

• Le connecteur est compatible avec les proxys.
• Le connecteur est compatible avec les listes dynamiques et les listes de blocage.
• Le connecteur est compatible avec les locataires GCC High.

Jobs

Pour en savoir plus sur les jobs, consultez Configurer un nouveau job et Planification avancée.

Microsoft 365 Defender – Synchroniser les alertes

Utilisez le job Microsoft 365 Defender - Sync Alerts pour synchroniser les alertes, les commentaires et les états de manière bidirectionnelle entre Google SecOps et Microsoft Defender XDR.

Exigences de l'emploi

Pour que le job identifie et synchronise les données correctes, les conditions suivantes doivent être remplies :

• La demande Google SecOps doit contenir le tag Microsoft Defender XDR Alert.

• Si l'alerte ne provient pas du connecteur d'incidents Microsoft 365 Defender, vous devez ajouter une valeur de contexte Alert_ID à l'alerte.

• La synchronisation des personnes responsables s'effectue exclusivement de Microsoft Defender XDR vers Google SecOps.

Paramètres du job

Le job Microsoft 365 Defender - Sync Alerts nécessite les paramètres suivants :

Paramètre	Description
Environment Name	Obligatoire. Nom de l'environnement à partir duquel synchroniser les alertes. La valeur par défaut est Default Environment.
Login API Root	Obligatoire. Racine de l'API de connexion de l'instance Microsoft Defender XDR. La valeur par défaut est https://login.microsoftonline.com.
Graph API Root	Obligatoire. La racine de l'API du service Microsoft Graph. La valeur par défaut est https://graph.microsoft.com.
API Root	Obligatoire. Racine de l'API de l'instance Microsoft Defender XDR. La valeur par défaut est https://api.security.microsoft.com.
Tenant ID	Obligatoire. ID de locataire du compte Microsoft Defender XDR.
Client ID	Obligatoire. ID client du compte Microsoft Defender XDR.
Client Secret	Obligatoire. Code secret du client du compte Microsoft Defender XDR.
Max Hours Backwards	Obligatoire. Nombre d'heures de synchronisation des alertes avant l'heure actuelle lors de la première itération du job. La valeur par défaut est 24.
Sync Assignee	Facultatif. Si cette option est sélectionnée, l'action synchronise le cessionnaire de Microsoft Defender XDR vers Google SecOps.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Microsoft Defender XDR. Cette option est activée par défaut.
Sync Direction	Facultatif. Mappage JSON utilisé pour contrôler la direction de synchronisation de chaque fonctionnalité. Les clés acceptées sont Status et Comments. Les valeurs possibles sont les suivantes : Bidirectional toXDR toSecOps None Si une clé est définie sur None ou sur une valeur non valide, la synchronisation est désactivée pour cette fonctionnalité. Si aucune valeur n'est fournie, l'état et les commentaires sont synchronisés de manière bidirectionnelle. Les clés non spécifiées sont définies par défaut sur Bidirectional. Exemple : {"Status": "toXDR"} : synchronise l'état de Google SecOps vers Microsoft Defender XDR, tandis que les commentaires continuent d'être synchronisés de manière bidirectionnelle. {"Comments": "toSecOps"} : synchronise les commentaires de Microsoft Defender XDR vers Google SecOps, tandis que l'état continue de se synchroniser de manière bidirectionnelle. La valeur par défaut est {"Status": "Bidirectional", "Comments": "Bidirectional"}.
Closed Reason Mapping	Facultatif. Mappage JSON des paires Closure Reason|RootCause Google SecOps avec la classification et la détermination de Microsoft Defender XDR. Ce paramètre ne s'applique qu'à la synchronisation des motifs de clôture personnalisés de Google SecOps vers Microsoft Defender XDR. Comportement par défaut ou vide : si ce paramètre est laissé vide ou utilise le mappage par défaut, le job mappe les motifs de fermeture comme suit : Malicious → truePositive, maliciousUserActivity Not Malicious → falsePositive, notMalicious Maintenance ou Inconclusive → unknownFutureValue, other (correspond à Non classé dans Microsoft Defender) Ordre de recherche : lorsqu'une alerte est fermée dans Google SecOps, le job évalue les détails de la fermeture dans l'ordre suivant : Correspondance exacte de paire ("{Reason} | {Root Cause}") : recherche une correspondance exacte de paire (par exemple, "{Malicious} | {Misconfigured system}"). Correspondance pour une seule raison ("Reason") : si aucune paire exacte ne correspond, vérifie s'il existe une correspondance pour une seule clé de raison (par exemple, "Malicious"). Création de remplacement : si aucune correspondance n'est trouvée, ou si la valeur classification ou determination spécifiée n'est pas acceptée par l'API Microsoft Defender, le job utilise l'entrée Fallback. Remarque : L'entrée Fallback est obligatoire. En cas d'omission, le job échoue. Les valeurs classification et determination doivent être fournies dans camelCase, comme l'exige l'API Microsoft Defender. La valeur par défaut est {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.