Microsoft 365 Defender

Penting: Di platform Google SecOps, integrasi Microsoft Defender For XDR disebut Microsoft 365 Defender.

Dokumen ini menjelaskan cara mengintegrasikan Microsoft Defender For XDR dengan Google Security Operations.

Kasus penggunaan

Mengintegrasikan Microsoft Defender For XDR dengan Google SecOps dapat membantu Anda menyelesaikan kasus penggunaan berikut:

• Respons insiden otomatis: gunakan kemampuan Google SecOps untuk otomatis mengisolasi endpoint yang terpengaruh dan memulai pemindaian untuk mendeteksi penyusupan lebih lanjut.

• Investigasi dan remediasi phishing: menggunakan kemampuan Google SecOps untuk otomatis mengekstrak informasi yang relevan, seperti pengirim, subjek, dan lampiran, serta memperkayanya dengan data threat intelligence.

• Pengelolaan kerentanan: gunakan kemampuan Google SecOps untuk mengotomatiskan alur kerja pemindaian dan perbaikan kerentanan.

• Pelaporan dan audit kepatuhan: gunakan kemampuan Google SecOps untuk mengotomatiskan pengumpulan dan pelaporan data keamanan dari Microsoft Defender For XDR, menyederhanakan audit kepatuhan, dan menunjukkan kepatuhan terhadap standar keamanan.

• Penentuan prioritas dan triase pemberitahuan: gunakan kemampuan Google SecOps untuk menganalisis pemberitahuan dari Microsoft Defender For XDR dan memprioritaskannya berdasarkan tingkat keparahan dan potensi dampak.

• Analisis malware otomatis: gunakan kemampuan Google SecOps untuk otomatis mengirimkan sampel malware yang telah dideteksi Microsoft 365 Defender ke lingkungan sandbox untuk analisis dinamis.

Sebelum memulai

Sebelum mengonfigurasi integrasi di platform Google SecOps, selesaikan langkah-langkah berikut:

1. Buat aplikasi Microsoft Entra.

2. Konfigurasikan izin API untuk aplikasi Anda.

3. Buat rahasia klien.

Membuat aplikasi Microsoft Entra

Untuk membuat aplikasi Microsoft Entra, selesaikan langkah-langkah berikut:

1. Login ke portal Azure sebagai administrator pengguna atau administrator sandi.

2. Pilih Microsoft Entra ID.

3. Buka App registrations > New registration.

4. Masukkan nama aplikasi.

5. Klik Daftar.

6. Simpan nilai Application (client) ID dan Directory (tenant) ID untuk digunakan nanti saat mengonfigurasi parameter integrasi.

Mengonfigurasi izin API

Untuk mengonfigurasi izin API untuk integrasi, selesaikan langkah-langkah berikut:

1. Di portal Azure, buka Manage > API Permissions > Add a permission.

2. Di jendela Request API permissions, pilih APIs my organization uses.

3. Pilih Microsoft Graph > Application permissions.

4. Pilih izin berikut:

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Klik Add permissions.

6. Di jendela Request API permissions, pilih APIs my organization uses.

7. Pilih Microsoft Threat Protection > Application permissions.

8. Pilih izin berikut:

   • ThreatHunting.Read.All

9. Klik Add permissions.

10. Klik Grant admin consent for YOUR_ORGANIZATION_NAME.

    Saat dialog Grant admin consent confirmation muncul, klik Yes.

Membuat rahasia klien

Untuk membuat rahasia klien, selesaikan langkah-langkah berikut:

1. Buka Certificates and secrets > Rahasia klien baru.

2. Berikan deskripsi untuk rahasia klien dan tetapkan batas waktu masa berlakunya.

3. Klik Tambahkan.

4. Simpan nilai rahasia klien (bukan ID rahasia) untuk digunakan sebagai nilai parameter Client Secret saat mengonfigurasi integrasi.

   Nilai rahasia klien hanya ditampilkan sekali.

Mengintegrasikan Microsoft Defender For XDR dengan Google SecOps

Penting: Jika Anda membuat perubahan apa pun pada Application Permissions atau API Permissions di Pendaftaran Aplikasi Microsoft Entra ID (Azure AD) setelah mengonfigurasi integrasi ini (misalnya, menambahkan izin baru untuk menjalankan tugas), Anda harus membuat ulang dan memperbarui kredensial di Google SecOps.

Hal ini biasanya berarti:

• Membuat rahasia klien baru di Pendaftaran Aplikasi Anda.
• Memperbarui rahasia klien (dan membuat ulang token refresh, jika berlaku) dalam konfigurasi integrasi Google SecOps.

Jika gagal memperbarui, izin baru tidak akan diterapkan, sehingga menyebabkan tindakan gagal.

Integrasi Microsoft Defender For XDR memerlukan parameter berikut:

Parameter	Deskripsi
Login API Root	Wajib Root API login instance Microsoft Defender For XDR. Nilai defaultnya adalah https://login.microsoftonline.com.
Graph API Root	Wajib Root API layanan Microsoft Graph. Nilai defaultnya adalah https://graph.microsoft.com.
API Root	Wajib Root API instance Microsoft Defender For XDR. Nilai defaultnya adalah https://api.security.microsoft.com.
Tenant ID	Wajib Nilai Microsoft Entra ID (ID tenant) akun Microsoft Entra ID Anda.
Client ID	Wajib Nilai ID aplikasi (klien) akun Microsoft Entra ID Anda.
Client Secret	Wajib Nilai rahasia klien aplikasi Microsoft Entra ID.
Verify SSL	Opsional Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk terhubung ke server Microsoft Defender For XDR valid. Dipilih secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Melakukan tindakan manual.

Menambahkan Komentar ke Insiden

Gunakan tindakan Add Comment To Incident untuk menambahkan komentar ke insiden di Microsoft Defender For XDR.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Add Comment To Incident memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib ID insiden yang akan ditambahi komentar.
Comment	Wajib Komentar yang akan ditambahkan ke insiden.

Output tindakan

Tindakan Add Comment To Incident memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Add Comment To Incident dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to incident INCIDENT_ID in Microsoft Defender XDR.	Tindakan berhasil.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Add Comment To Incident:

Nama hasil skrip	Nilai
is_success	True atau False

Menjalankan Kueri Kustom

Gunakan tindakan Execute Custom Query untuk menjalankan kueri perburuan kustom di Microsoft Defender For XDR.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Execute Custom Query memerlukan parameter berikut:

Parameter	Deskripsi
Query	Wajib Kueri yang akan dijalankan di Microsoft Defender For XDR untuk pemfilteran hasil.
Time Frame	Opsional Jangka waktu untuk hasil kueri. Kemungkinan nilainya adalah sebagai berikut: Select One Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Jika Custom dipilih, Anda harus menetapkan Start Time. Penting: Saat menggunakan parameter ini, jangan batasi baris (seperti menggunakan take atau top) atau filter menurut Timestamp di dalam parameter Query. Kueri memerlukan kolom Timestamp yang utuh agar dapat berfungsi dengan baik. Nilai defaultnya adalah Select One.
Start Time	Opsional Waktu mulai untuk hasil kueri dalam format ISO 8601. Jika Time Frame ditetapkan ke Custom, parameter ini wajib diisi.
End Time	Opsional Waktu berakhir untuk hasil kueri dalam format ISO 8601. Jika tidak ada nilai yang diberikan dan Time Frame ditetapkan ke Custom, tindakan akan menggunakan waktu saat ini.
Max Results To Return	Opsional Jumlah hasil maksimum yang akan ditampilkan dari kueri. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute Custom Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Execute Custom Query:

[
  {
    "Timestamp": "2021-04-12T07:25:00Z",
    "AlertId": "fa7a318954-6c4c-eaab-yyy-yyyyyyyyyy",
    "Title": "CC_Sensitive information",
    "Category": "InitialAccess",
    "Severity": "Medium",
    "ServiceSource": "Microsoft Defender for Office 365",
    "DetectionSource": "Microsoft Defender for Office 365",
    "AttackTechniques": ""
  }
]

Pesan output

Tindakan Execute Custom Query dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender.	Tindakan berhasil.
Error executing action "Execute Custom Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Execute Custom Query:

Nama hasil skrip	Nilai
is_success	True atau False

Menjalankan Kueri Entity

Gunakan tindakan Execute Entity Query untuk menjalankan kueri perburuan yang didasarkan pada entity di Microsoft Defender For XDR.

Tindakan ini menggunakan filter where yang didasarkan pada entity.

Tindakan ini berjalan di entity Google SecOps berikut:

• IP Address
• Host
• User
• Hash
• URL

Anda dapat menggunakan tindakan Execute Entity Query untuk mengambil informasi yang terkait dengan entity, seperti mengambil hasil dari tabel dan memfilter hasil berdasarkan entity.

Tidak seperti tindakan Execute Query yang mengharuskan Anda menggunakan pemformatan tertentu, tindakan Execute Entity Query tidak menggunakan input kueri.

Saat menggunakan tindakan Execute Query untuk mengambil pemberitahuan yang terkait dengan endpoint, format klausa | where sebagai berikut:

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Untuk mengambil pemberitahuan yang terkait dengan endpoint, tindakan Execute Entity Query mengharuskan Anda mengonfigurasi parameter Table, IP Entity Key, Hostname Entity Key, dan Cross Entity Operator sebagai berikut:

Parameter	Nilai AlertInfo
IP Entity Key	IPAddress
Hostname Entity Key	DeviceName
Cross Entity Operator	OR

Untuk memeriksa jumlah endpoint yang terpengaruh oleh hash yang diberikan, tindakan Execute Entity Query mengharuskan Anda memasukkan nilai SHA1 untuk parameter File Hash Entity Key.

Cross Entity Operator hanya memengaruhi kueri saat Anda mengonfigurasi beberapa nilai untuk parameter Entity Keys.

Input tindakan

Tindakan Execute Entity Query memerlukan parameter berikut:

Parameter	Deskripsi
Table Names	Wajib Daftar tabel yang dipisahkan koma untuk dikueri di Microsoft Defender For XDR.
Time Frame	Opsional Jangka waktu untuk hasil kueri. Nilai defaultnya adalah Last Hour. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Opsional Waktu mulai untuk hasil kueri. Jika Anda menetapkan parameter Time Frame ke Custom, parameter ini wajib diisi.
End Time	Opsional Waktu akhir untuk hasil kueri. Jika Anda tidak menetapkan nilai dan menetapkan parameter Time Frame ke Custom, tindakan akan menetapkan parameter ini ke nilai waktu saat ini secara default.
Fields To Return	Opsional Daftar kolom yang dipisahkan koma untuk disertakan dalam hasil.
Sort Field	Opsional Kolom untuk mengurutkan hasil. Nilai defaultnya adalah Timestamp.
Sort Order	Opsional Urutan untuk mengurutkan hasil (menaik atau menurun). Nilai defaultnya adalah ASC. Kemungkinan nilainya adalah sebagai berikut: ASC DESC
Max Results To Return	Opsional Jumlah hasil maksimum yang akan ditampilkan. Nilai defaultnya adalah 50.
IP Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity IP Address.
Hostname Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity Hostname.
File Hash Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity File Hash.
User Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity User.
URL Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity URL.
Email Address Entity Key	Opsional Kunci yang akan digunakan untuk memfilter menurut entity Email Address. Tindakan ini menerima entity User yang cocok dengan ekspresi reguler email.
Stop If Not Enough Entities	Opsional Jika dipilih, tindakan akan berjalan jika semua jenis entity yang ditentukan ada. Dipilih secara default.
Cross Entity Operator	Wajib Operator logis yang akan digunakan di antara berbagai jenis entity dalam kueri. Nilai defaultnya adalah OR. Kemungkinan nilainya adalah sebagai berikut: OR AND

Output tindakan

Tindakan Execute Entity Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Execute Entity Query:

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Pesan output

Tindakan Execute Entity Query dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed query "QUERY" in Microsoft 365 Defender. Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY. No data was found for the query "QUERY" in Microsoft 365 Defender."	Tindakan berhasil.
Error executing action "Execute Entity Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Execute Entity Query:

Nama hasil skrip	Nilai
is_success	True atau False

Menjalankan Kueri

Gunakan tindakan Execute Query untuk menjalankan kueri perburuan di Microsoft 365 Defender.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Execute Query memerlukan parameter berikut:

Parameter	Deskripsi
Table Names	Wajib Daftar nama tabel yang dipisahkan koma untuk dikueri di Microsoft 365 Defender.
Query	Opsional Kueri yang akan dijalankan. Gunakan parameter ini untuk memberikan klausa | where. Filter waktu, pembatasan, dan pengurutan bersifat opsional.
Time Frame	Opsional Jangka waktu untuk hasil kueri. Nilai defaultnya adalah Last Hour. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Opsional Waktu mulai untuk hasil kueri dalam format ISO 8601. Jika Anda menetapkan parameter Time Frame ke Custom, parameter ini wajib diisi.
End Time	Opsional Waktu akhir untuk hasil kueri dalam format ISO 8601. Jika Anda tidak menetapkan nilai dan menetapkan parameter Time Frame ke Custom, tindakan akan menetapkan parameter ini ke nilai waktu saat ini secara default.
Fields To Return	Opsional Daftar kolom yang dipisahkan koma untuk disertakan dalam hasil.
Sort Field	Opsional Kolom untuk mengurutkan hasil. Nilai defaultnya adalah Timestamp.
Sort Order	Opsional Urutan untuk mengurutkan hasil (menaik atau menurun). Nilai defaultnya adalah ASC. Kemungkinan nilainya adalah sebagai berikut: ASC DESC
Max Results To Return	Opsional Jumlah hasil maksimum yang akan ditampilkan. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Execute Query:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Pesan output

Tindakan Execute Query dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender."	Tindakan berhasil.
Error executing action "Execute Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Execute Query:

Nama hasil skrip	Nilai
is_success	True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Microsoft Defender For XDR.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Ping:

Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	True atau False

Perbarui Insiden

Gunakan tindakan Update Incident untuk memperbarui insiden di Microsoft Defender For XDR.

Sesuai dengan batasan API, tindakan ini tidak akan gagal meskipun Anda menetapkan nilai nama pengguna yang tidak valid ke parameter Assign To.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update Incident memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib ID insiden yang akan diperbarui di Microsoft Defender For XDR.
Status	Opsional Status yang akan ditetapkan untuk insiden di Microsoft Defender For XDR. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Select One Active Resolved
Classification	Opsional Klasifikasi yang akan ditetapkan untuk insiden di Microsoft Defender For XDR. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Select One False Positive True Positive
Determination	Opsional Keputusan yang akan ditetapkan untuk insiden di Microsoft Defender For XDR. Parameter ini hanya berlaku jika nilai parameter Classification adalah True Positive. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Select One Not Available Apt Malware Security Personnel Security Testing Unwanted Software Other
Assign To	Opsional Pengguna yang akan diberi tugas insiden di Microsoft Defender For XDR.

Output tindakan

Tindakan Update Incident memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Update Incident dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender.	Tindakan berhasil.
Error executing action "Update Incident". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Konektor

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Microsoft 365 Defender – Incidents Connector

Gunakan Microsoft 365 Defender – Incidents Connector untuk mengambil informasi tentang insiden dan pemberitahuan terkait dari Microsoft Defender XDR.

Daftar dinamis berfungsi dengan nama insiden.

Batasan konektor

Microsoft 365 Defender – Incidents Connector menggunakan permintaan API dengan batas API yang ketat. Untuk menstabilkan konektor, tetapkan parameter Max Incidents To Fetch ke 10 dan parameter Run Every ke 1 minute. Anda masih dapat mencapai batas kapasitas karena endpoint Microsoft Graph API yang digunakan untuk mengambil pemberitahuan hanya mengizinkan 20 permintaan per menit.

Untuk mencegah kehilangan data saat mencapai batas kapasitas, konektor akan berhenti memproses insiden saat ini dan menunggu selama 90 detik sebelum memproses insiden lainnya. Dalam 90 detik, pembatasan kapasitas akan kembali ke nilai maksimumnya dan konektor akan memproses ulang insiden yang tidak diproses dengan benar pada iterasi sebelumnya.

Input konektor

Microsoft 365 Defender – Incidents Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib Nama kolom tempat nama produk disimpan. Nilai defaultnya adalah event_type.
Event Field Name	Wajib Nama kolom yang digunakan untuk menentukan nama peristiwa (subjenis). Nilai defaultnya adalah @odata.type.
Login API Root	Wajib Root API login instance Microsoft Defender For XDR. Perbarui parameter ini jika menggunakan tenant GCC High. Nilai defaultnya adalah https://login.microsoftonline.com.
Graph API Root	Wajib Root API layanan Microsoft Graph. Perbarui parameter ini jika menggunakan tenant GCC High. Nilai defaultnya adalah https://graph.microsoft.com.
API Root	Wajib Root API instance Microsoft Defender XDR. Perbarui parameter ini jika menggunakan tenant GCC High. Nilai defaultnya adalah https://api.security.microsoft.com.
Tenant ID	Wajib Nilai Microsoft Entra ID (ID tenant) akun Microsoft Entra ID Anda.
Client ID	Wajib Nilai ID aplikasi (klien) akun Microsoft Entra ID Anda.
Client Secret	Wajib Nilai rahasia klien aplikasi Microsoft Entra ID.
Verify SSL	Opsional Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk terhubung ke server Microsoft Defender For XDR valid. Dipilih secara default.
Lowest Severity To Fetch	Opsional Tingkat keparahan insiden terendah yang akan diambil.
Max Hours Backwards	Opsional Jumlah jam sebelum iterasi konektor pertama untuk mengambil insiden. Parameter ini berlaku untuk iterasi konektor awal setelah Anda mengaktifkan konektor untuk pertama kalinya atau nilai pengganti untuk stempel waktu konektor yang sudah tidak berlaku. Nilai defaultnya adalah 1.
Max Incidents To Fetch	Opsional Jumlah maksimum insiden yang akan diambil untuk setiap iterasi konektor. Nilai defaultnya adalah 10.
Incident Status Filter	Opsional Daftar status insiden yang dipisahkan koma untuk diserap. Nilai defaultnya adalah active, inProgress. Kemungkinan nilainya adalah sebagai berikut: active inProgress resolved redirected Insiden yang dialihkan dapat kosong dalam sebagian besar kasus.
Assigned To	Opsional Daftar akun pengguna atau alamat email yang ditetapkan dan dipisahkan koma, yang digunakan untuk memfilter insiden selama penyerapan melalui Microsoft Graph API.
Tags	Opsional Daftar tag yang dipisahkan koma yang digunakan untuk memfilter insiden yang diambil dari Microsoft 365 Defender.
Use whitelist as a blacklist	Opsional Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan. Tidak dipilih secara default.
Lowest Alert Severity To Fetch	Opsional Tingkat keparahan pemberitahuan terendah yang akan diambil.
Disable Alert Tracking	Opsional Jika diaktifkan, konektor akan berhenti melacak update untuk notifikasi. Dinonaktifkan secara default.
Environment Field Name	Opsional Nama kolom yang berisi nama lingkungan.
Environment Regex Pattern	Opsional Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
PythonProcessTimeout	Wajib Batas waktu tunggu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
Dynamic List Field	Opsional Nilai yang digunakan daftar dinamis untuk pemfilteran. Nilai yang mungkin adalah Incident Name dan Alert Name. Nilai defaultnya adalah Incident Name.
Alert Detection Source Filter	Opsional Daftar sumber deteksi pemberitahuan yang dipisahkan koma untuk diserap, seperti antivirus, microsoftDefenderForEndpoint.
Alert Service Source Filter	Opsional Daftar sumber layanan pemberitahuan yang dipisahkan koma untuk diserap, seperti antivirus, microsoftDefenderForEndpoint.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps selama pembuatan pemberitahuan. Diaktifkan secara default.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.

Aturan konektor

• Konektor mendukung proxy.
• Konektor ini mendukung daftar dinamis dan daftar yang tidak diizinkan.
• Konektor ini mendukung tenant GCC High.

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Microsoft 365 Defender - Menyinkronkan Pemberitahuan

Gunakan tugas Microsoft 365 Defender - Sync Alerts untuk menyinkronkan pemberitahuan, komentar, dan status secara dua arah antara Google SecOps dan Microsoft Defender XDR.

Persyaratan pekerjaan

Untuk memastikan tugas mengidentifikasi dan menyinkronkan data yang benar, kondisi berikut harus dipenuhi:

• Kasus Google SecOps harus berisi tag Microsoft Defender XDR Alert.

• Jika pemberitahuan tidak berasal dari Microsoft 365 Defender - Incidents Connector, Anda harus menambahkan nilai konteks Alert_ID ke pemberitahuan.

• Sinkronisasi penerima tugas terjadi secara eksklusif dari Microsoft Defender XDR ke Google SecOps.

Parameter tugas

Tugas Microsoft 365 Defender - Sync Alerts memerlukan parameter berikut:

Parameter	Deskripsi
Environment Name	Wajib. Nama lingkungan tempat pemberitahuan akan disinkronkan. Nilai defaultnya adalah Default Environment.
Login API Root	Wajib. Root Login API instance Microsoft Defender XDR. Nilai defaultnya adalah https://login.microsoftonline.com.
Graph API Root	Wajib. Root API layanan Microsoft Graph. Nilai defaultnya adalah https://graph.microsoft.com.
API Root	Wajib. Root API instance Microsoft Defender XDR. Nilai defaultnya adalah https://api.security.microsoft.com.
Tenant ID	Wajib. ID tenant akun Microsoft Defender XDR.
Client ID	Wajib. Client ID akun Microsoft Defender XDR.
Client Secret	Wajib. Rahasia klien akun Microsoft Defender XDR.
Max Hours Backwards	Wajib. Jumlah jam untuk menyinkronkan pemberitahuan sebelum waktu saat ini selama iterasi tugas pertama. Nilai defaultnya adalah 24.
Sync Assignee	Opsional. Jika dipilih, tindakan ini akan menyinkronkan penerima tugas dari Microsoft Defender XDR ke Google SecOps.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Microsoft Defender XDR. Diaktifkan secara default.
Sync Direction	Opsional. Pemetaan JSON yang digunakan untuk mengontrol arah sinkronisasi untuk setiap fitur. Kunci yang didukung adalah Status dan Comments. Kemungkinan nilainya adalah sebagai berikut: Bidirectional toXDR toSecOps None Jika kunci ditetapkan ke None atau nilai yang tidak valid, sinkronisasi akan dinonaktifkan untuk fitur tersebut. Jika tidak ada nilai yang diberikan, status dan komentar akan disinkronkan secara dua arah. Kunci yang tidak ditentukan ditetapkan secara default ke Bidirectional. Contoh: {"Status": "toXDR"}: Menyinkronkan status dari Google SecOps ke Microsoft Defender XDR, sementara komentar terus disinkronkan secara dua arah. {"Comments": "toSecOps"}: Menyinkronkan komentar dari Microsoft Defender XDR ke Google SecOps, sementara status terus disinkronkan secara dua arah. Nilai defaultnya adalah {"Status": "Bidirectional", "Comments": "Bidirectional"}.
Closed Reason Mapping	Opsional. Pemetaan JSON dari pasangan Closure Reason|RootCause Google SecOps ke klasifikasi dan penentuan Microsoft Defender XDR. Parameter ini hanya berlaku untuk sinkronisasi alasan penutupan kustom dari Google SecOps ke Microsoft Defender XDR. Perilaku default atau kosong: Jika parameter ini dibiarkan kosong atau menggunakan pemetaan default, tugas akan memetakan alasan penutupan sebagai berikut: Malicious → truePositive, maliciousUserActivity Not Malicious → falsePositive, notMalicious Maintenance atau Inconclusive → unknownFutureValue, other (sesuai dengan Unclassified di Microsoft Defender) Urutan pencarian: Saat pemberitahuan ditutup di Google SecOps, tugas akan mengevaluasi detail penutupan dalam urutan berikut: Pencocokan pasangan persis ("{Reason} | {Root Cause}"): Memeriksa pencocokan pasangan persis (seperti "{Malicious} | {Misconfigured system}"). Kecocokan alasan tunggal ("Reason"): Jika tidak ada pasangan yang sama persis, periksa kecocokan kunci alasan tunggal (seperti "Malicious"). Penggantian: Jika tidak ada yang cocok, atau jika nilai classification atau determination yang ditentukan tidak diterima oleh Microsoft Defender API, tugas akan menggunakan entri Fallback. Catatan: Entri Fallback wajib diisi. Jika dihilangkan, tugas akan gagal. Nilai classification dan determination harus diberikan dalam camelCase seperti yang diwajibkan oleh Microsoft Defender API. Nilai defaultnya adalah {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.