Microsoft 365 Defender

Importante: nella piattaforma Google SecOps, l'integrazione di Microsoft Defender For XDR è chiamata Microsoft 365 Defender.

Questo documento descrive come integrare Microsoft Defender for XDR con Google Security Operations.

Casi d'uso

L'integrazione di Microsoft Defender per XDR con Google SecOps può aiutarti a risolvere i seguenti casi d'uso:

• Risposta automatica agli incidenti: utilizza le funzionalità di Google SecOps per isolare automaticamente l'endpoint interessato e avviare una scansione per rilevare ulteriori compromissioni.

• Indagine e correzione del phishing: utilizza le funzionalità di Google SecOps per estrarre automaticamente le informazioni pertinenti, come mittente, oggetto e allegati, e arricchirle con i dati di threat intelligence.

• Gestione delle vulnerabilità: utilizza le funzionalità di Google SecOps per automatizzare i flussi di lavoro di analisi e correzione delle vulnerabilità.

• Reporting e controllo della conformità: utilizza le funzionalità di Google SecOps per automatizzare la raccolta e la generazione di report sui dati di sicurezza di Microsoft Defender For XDR, semplificando i controlli di conformità e dimostrando l'aderenza agli standard di sicurezza.

• Assegnazione della priorità e triage degli avvisi: utilizza le funzionalità di Google SecOps per analizzare gli avvisi di Microsoft Defender For XDR e assegnare loro la priorità in base alla gravità e al potenziale impatto.

• Analisi automatizzata del malware: utilizza le funzionalità di Google SecOps per inviare automaticamente il campione di un malware rilevato da Microsoft 365 Defender a un ambiente sandbox per l'analisi dinamica.

Prima di iniziare

Prima di configurare l'integrazione nella piattaforma Google SecOps, completa i seguenti passaggi:

1. Crea l'applicazione Microsoft Entra.

2. Configura le autorizzazioni API per la tua app.

3. Crea un client secret.

Crea l'applicazione Microsoft Entra

Per creare l'applicazione Microsoft Entra, completa i seguenti passaggi:

1. Accedi al portale di Azure come amministratore utente o amministratore password.

2. Seleziona Microsoft Entra ID.

3. Vai ad App registrations (Registrazioni app) > New registration (Nuova registrazione).

4. Inserisci il nome dell'applicazione.

5. Fai clic su Register (Registrati).

6. Salva i valori ID applicazione (client) e ID directory (tenant) per utilizzarli in un secondo momento durante la configurazione dei parametri di integrazione.

Configura le autorizzazioni API

Per configurare le autorizzazioni API per l'integrazione, completa i seguenti passaggi:

1. Nel portale di Azure, vai a Gestisci > Autorizzazioni API > Aggiungi un'autorizzazione.

2. Nella finestra Richiedi autorizzazioni API, seleziona API usate dall'organizzazione.

3. Seleziona Microsoft Graph > Application permissions (Autorizzazioni applicazione).

4. Seleziona le seguenti autorizzazioni:

   • SecurityAlert.Read.All
   • SecurityIncident.ReadWrite.All

5. Fai clic su Aggiungi autorizzazioni.

6. Nella finestra Richiedi autorizzazioni API, seleziona API usate dall'organizzazione.

7. Seleziona Microsoft Threat Protection > Application permissions (Autorizzazioni applicazione).

8. Seleziona la seguente autorizzazione:

   • ThreatHunting.Read.All

9. Fai clic su Aggiungi autorizzazioni.

10. Fai clic su Concedi il consenso amministratore per YOUR_ORGANIZATION_NAME.

    Quando viene visualizzata la finestra di dialogo Grant admin consent confirmation (Conferma concessione del consenso amministratore), fai clic su Yes (Sì).

Crea un client secret

Per creare un client secret, completa i seguenti passaggi:

1. Vai a Certificates and secrets (Certificati e secret) > New client secret (Nuovo client secret).

2. Fornisci una descrizione per un client secret e imposta la scadenza.

3. Fai clic su Aggiungi.

4. Salva il valore del client secret (non l'ID secret) per utilizzarlo come valore parametro Client Secret durante la configurazione dell'integrazione.

   Il valore del client secret viene visualizzato una sola volta.

Integra Microsoft Defender per XDR con Google SecOps

Importante: se apporti modifiche alle Autorizzazioni dell'applicazione o alle Autorizzazioni API nella registrazione dell'app Microsoft Entra ID (Azure AD) dopo aver configurato questa integrazione (ad esempio, aggiungendo una nuova autorizzazione per l'esecuzione di un job), devi rigenerare e aggiornare le credenziali in Google SecOps.

In genere, questo significa che:

• Generando un nuovo client secret nella registrazione dell'app.
• Aggiornamento del client secret (e rigenerazione del token di aggiornamento, se applicabile) nella configurazione dell'integrazione di Google SecOps.

Se non esegui l'aggiornamento, non sarà possibile applicare le nuove autorizzazioni e le azioni non andranno a buon fine.

L'integrazione di Microsoft Defender For XDR richiede i seguenti parametri:

Parametro	Descrizione
Login API Root	Obbligatorio La radice dell'API di accesso dell'istanza Microsoft Defender For XDR. Il valore predefinito è https://login.microsoftonline.com.
Graph API Root	Obbligatorio La radice dell'API del servizio Microsoft Graph. Il valore predefinito è https://graph.microsoft.com.
API Root	Obbligatorio La radice dell'API dell'istanza di Microsoft Defender for XDR. Il valore predefinito è https://api.security.microsoft.com.
Tenant ID	Obbligatorio Il valore dell'ID Microsoft Entra ID (ID tenant) del tuo account Microsoft Entra ID.
Client ID	Obbligatorio Il valore dell'ID applicazione (client) del tuo account Microsoft Entra ID.
Client Secret	Obbligatorio Il valore del client secret dell'applicazione Microsoft Entra ID.
Verify SSL	Optional Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server Microsoft Defender For XDR sia valido. Questo tipo di annuncio sarà selezionato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per ulteriori informazioni sulla configurazione e sul supporto di più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla tua scrivania ed Esegui un'azione manuale.

Aggiungi commento all'incidente

Utilizza l'azione Aggiungi commento all'incidente per aggiungere un commento a un incidente in Microsoft Defender For XDR.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiungi commento all'incidente richiede i seguenti parametri:

Parametro	Descrizione
Incident ID	Obbligatorio L'ID dell'incidente a cui aggiungere il commento.
Comment	Obbligatorio Il commento da aggiungere all'incidente.

Output azione

L'azione Aggiungi commento all'incidente fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Aggiungi commento all'incidente può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully added comment to incident INCIDENT_ID in Microsoft Defender XDR.	L'azione è andata a buon fine.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Aggiungi commento all'incidente:

Nome del risultato dello script	Valore
is_success	True o False

Esegui query personalizzata

Utilizza l'azione Esegui query personalizzata per eseguire una query di ricerca personalizzata in Microsoft Defender For XDR.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query personalizzata richiede i seguenti parametri:

Parametro	Descrizione
Query	Obbligatorio La query da eseguire in Microsoft Defender For XDR per filtrare i risultati.
Time Frame	Optional Il periodo di tempo per i risultati della query. I valori possibili sono: Select One Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Se è selezionato Custom, devi impostare Start Time. Importante: Quando si utilizza questo parametro, non limitare le righe (ad esempio utilizzandotake Otop ) o filtra perTimestamp all'interno delQuery parametro. La query richiede la colonna Timestamp intatta per funzionare correttamente. Il valore predefinito è Select One.
Start Time	Optional L'ora di inizio dei risultati della query in formato ISO 8601. Se Time Frame è impostato su Custom, questo parametro è obbligatorio.
End Time	Optional L'ora di fine dei risultati della query in formato ISO 8601. Se non viene fornito alcun valore e Time Frame è impostato su Custom, l'azione utilizza l'ora corrente.
Max Results To Return	Optional Il numero massimo di risultati da restituire dalla query. Il valore predefinito è 50.

Output azione

L'azione Esegui query personalizzata fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui query personalizzata:

[
  {
    "Timestamp": "2021-04-12T07:25:00Z",
    "AlertId": "fa7a318954-6c4c-eaab-yyy-yyyyyyyyyy",
    "Title": "CC_Sensitive information",
    "Category": "InitialAccess",
    "Severity": "Medium",
    "ServiceSource": "Microsoft Defender for Office 365",
    "DetectionSource": "Microsoft Defender for Office 365",
    "AttackTechniques": ""
  }
]

Messaggi di output

L'azione Esegui query personalizzata può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender.	L'azione è andata a buon fine.
Error executing action "Execute Custom Query". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Esegui query personalizzata:

Nome del risultato dello script	Valore
is_success	True o False

Esegui query entità

Utilizza l'azione Esegui query entità per eseguire una query di ricerca basata su entità in Microsoft Defender For XDR.

Questa azione utilizza un filtro where basato sulle entità.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• IP Address
• Host
• User
• Hash
• URL

Puoi utilizzare l'azione Esegui query entità per recuperare informazioni correlate alle entità, ad esempio recuperare i risultati da una tabella e filtrarli in base alle entità.

A differenza dell'azione Esegui query, che richiede l'utilizzo di una formattazione specifica, l'azione Esegui query entità non utilizza l'input della query.

Quando utilizzi l'azione Esegui query per recuperare gli avvisi correlati a un endpoint, formatta la clausola | where come segue:

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Per recuperare gli avvisi correlati a un endpoint, l'azione Esegui query entità richiede di configurare i parametri Table, IP Entity Key, Hostname Entity Key e Cross Entity Operator come segue:

Parametro	Valore AlertInfo
IP Entity Key	IPAddress
Hostname Entity Key	DeviceName
Cross Entity Operator	OR

Per verificare quanti endpoint sono interessati dagli hash forniti, l'azione Esegui query entità richiede di inserire il valore SHA1 per il parametro File Hash Entity Key.

Cross Entity Operator influisce sulla query solo quando configuri più valori per il parametro Entity Keys.

Input azione

L'azione Esegui query entità richiede i seguenti parametri:

Parametro	Descrizione
Table Names	Obbligatorio Un elenco separato da virgole di tabelle su cui eseguire query in Microsoft Defender For XDR.
Time Frame	Optional Il periodo di tempo per i risultati della query. Il valore predefinito è Last Hour. I valori possibili sono: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional L'ora di inizio dei risultati della query. Se imposti il parametro Time Frame su Custom, questo parametro è obbligatorio.
End Time	Optional L'ora di fine dei risultati della query. Se non imposti un valore e imposti il parametro Time Frame su Custom, l'azione imposta questo parametro sul valore dell'ora corrente per impostazione predefinita.
Fields To Return	Optional Un elenco separato da virgole di campi da includere nei risultati.
Sort Field	Optional Il campo in base al quale ordinare i risultati. Il valore predefinito è Timestamp.
Sort Order	Optional L'ordine di visualizzazione dei risultati (crescente o decrescente). Il valore predefinito è ASC. I valori possibili sono: ASC DESC
Max Results To Return	Optional Il numero massimo di risultati da restituire. Il valore predefinito è 50.
IP Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità IP Address.
Hostname Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità Hostname.
File Hash Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità File Hash.
User Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità User.
URL Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità URL.
Email Address Entity Key	Optional La chiave da utilizzare per filtrare in base all'entità Email Address. L'azione accetta l'entità User che corrisponde all'espressione regolare dell'email.
Stop If Not Enough Entities	Optional Se selezionata, l'azione viene eseguita se sono presenti tutti i tipi di entità specificati. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
Cross Entity Operator	Obbligatorio L'operatore logico da utilizzare tra i diversi tipi di entità nella query. Il valore predefinito è OR. I valori possibili sono: OR AND

Output azione

L'azione Esegui query entità fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui query entità:

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }

Messaggi di output

L'azione Esegui query entità può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully executed query "QUERY" in Microsoft 365 Defender. Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY. No data was found for the query "QUERY" in Microsoft 365 Defender."	L'azione è andata a buon fine.
Error executing action "Execute Entity Query". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Esegui query entità:

Nome del risultato dello script	Valore
is_success	True o False

Esegui query

Utilizza l'azione Esegui query per eseguire query di ricerca in Microsoft 365 Defender.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query richiede i seguenti parametri:

Parametro	Descrizione
Table Names	Obbligatorio Un elenco separato da virgole di nomi di tabelle su cui eseguire query in Microsoft 365 Defender.
Query	Optional Una query da eseguire. Utilizza questo parametro per fornire la clausola | where. Il filtro temporale, la limitazione e l'ordinamento sono facoltativi.
Time Frame	Optional Il periodo di tempo per i risultati della query. Il valore predefinito è Last Hour. I valori possibili sono: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Optional L'ora di inizio dei risultati della query nel formato ISO 8601. Se imposti il parametro Time Frame su Custom, questo parametro è obbligatorio.
End Time	Optional L'ora di fine dei risultati della query nel formato ISO 8601. Se non imposti un valore e imposti il parametro Time Frame su Custom, l'azione imposta questo parametro sul valore dell'ora corrente per impostazione predefinita.
Fields To Return	Optional Un elenco separato da virgole di campi da includere nei risultati.
Sort Field	Optional Il campo in base al quale ordinare i risultati. Il valore predefinito è Timestamp.
Sort Order	Optional L'ordine di visualizzazione dei risultati (crescente o decrescente). Il valore predefinito è ASC. I valori possibili sono: ASC DESC
Max Results To Return	Optional Il numero massimo di risultati da restituire. Il valore predefinito è 50.

Output azione

L'azione Esegui query fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui query:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}

Messaggi di output

L'azione Esegui query può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully executed query "QUERY" in Microsoft 365 Defender. No data was found for the query "QUERY" in Microsoft 365 Defender."	L'azione è andata a buon fine.
Error executing action "Execute Query". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Esegui query:

Nome del risultato dello script	Valore
is_success	True o False

Dindin

Utilizza l'azione Ping per testare la connettività a Microsoft Defender For XDR.

L'azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Ping:

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters!	L'azione è andata a buon fine.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Aggiorna incidente

Utilizza l'azione Aggiorna incidente per aggiornare gli incidenti in Microsoft Defender For XDR.

In base alle limitazioni dell'API, questa azione non genera un errore anche se imposti un valore del nome utente non valido per il parametro Assign To.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiorna incidente richiede i seguenti parametri:

Parametro	Descrizione
Incident ID	Obbligatorio L'ID dell'incidente da aggiornare in Microsoft Defender For XDR.
Status	Optional Lo stato da impostare per l'incidente in Microsoft Defender For XDR. Il valore predefinito è Select One. I valori possibili sono: Select One Active Resolved
Classification	Optional La classificazione da impostare per l'incidente in Microsoft Defender For XDR. Il valore predefinito è Select One. I valori possibili sono: Select One False Positive True Positive
Determination	Optional La determinazione da impostare per l'incidente in Microsoft Defender For XDR. Questo parametro si applica solo se il valore del parametro Classification è True Positive. Il valore predefinito è Select One. I valori possibili sono: Select One Not Available Apt Malware Security Personnel Security Testing Unwanted Software Other
Assign To	Optional L'utente a cui assegnare l'incidente in Microsoft Defender For XDR.

Output azione

L'azione Aggiorna incidente fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Aggiorna incidente può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender.	L'azione è andata a buon fine.
Error executing action "Update Incident". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Importa i dati (connettori).

Microsoft 365 Defender – Incidents Connector

Utilizza il connettore Microsoft 365 Defender - Incidents per estrarre informazioni sugli incidenti e sui relativi avvisi da Microsoft Defender XDR.

L'elenco dinamico funziona con un nome di incidente.

Limitazioni del connettore

Il connettore Microsoft 365 Defender - Incidents utilizza le richieste API con limiti API rigorosi. Per stabilizzare il connettore, imposta il parametro Max Incidents To Fetch su 10 e il parametro Run Every su 1 minute. Puoi comunque raggiungere il limite di frequenza perché l'endpoint API Microsoft Graph utilizzato per recuperare gli avvisi consente solo 20 richieste al minuto.

Per evitare la perdita di dati quando viene raggiunto il limite di frequenza, il connettore interrompe l'elaborazione dell'incidente corrente e attende 90 secondi prima di elaborare qualsiasi altro incidente. In 90 secondi, la limitazione di frequenza torna al valore massimo e il connettore rielabora l'incidente che non è stato elaborato correttamente nell'iterazione precedente.

Input del connettore

Il connettore Microsoft 365 Defender - Incidents richiede i seguenti parametri:

Parametro	Descrizione
Product Field Name	Obbligatorio Il nome del campo in cui è memorizzato il nome del prodotto. Il valore predefinito è event_type.
Event Field Name	Obbligatorio Il nome del campo utilizzato per determinare il nome evento (sottotipo). Il valore predefinito è @odata.type.
Login API Root	Obbligatorio La radice dell'API di accesso dell'istanza Microsoft Defender For XDR. Aggiorna questo parametro se utilizzi un tenant GCC High. Il valore predefinito è https://login.microsoftonline.com.
Graph API Root	Obbligatorio La radice dell'API del servizio Microsoft Graph. Aggiorna questo parametro se utilizzi un tenant GCC High. Il valore predefinito è https://graph.microsoft.com.
API Root	Obbligatorio La radice dell'API dell'istanza Microsoft Defender XDR. Aggiorna questo parametro se utilizzi un tenant GCC High. Il valore predefinito è https://api.security.microsoft.com.
Tenant ID	Obbligatorio Il valore dell'ID Microsoft Entra ID (ID tenant) del tuo account Microsoft Entra ID.
Client ID	Obbligatorio Il valore dell'ID applicazione (client) del tuo account Microsoft Entra ID.
Client Secret	Obbligatorio Il valore del client secret dell'applicazione Microsoft Entra ID.
Verify SSL	Optional Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server Microsoft Defender For XDR sia valido. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
Lowest Severity To Fetch	Optional La gravità più bassa degli incidenti da recuperare.
Max Hours Backwards	Optional Il numero di ore prima della prima iterazione del connettore da cui recuperare gli incidenti. Questo parametro si applica all'iterazione iniziale del connettore dopo l'attivazione del connettore per la prima volta o al valore di riserva per un timestamp del connettore scaduto. Il valore predefinito è 1.
Max Incidents To Fetch	Optional Il numero massimo di incidenti da recuperare per ogni iterazione del connettore. Il valore predefinito è 10.
Incident Status Filter	Optional Un elenco separato da virgole di stati degli incidenti da importare. Il valore predefinito è active, inProgress. I valori possibili sono: active inProgress resolved redirected Nella maggior parte dei casi, gli incidenti reindirizzati possono essere vuoti.
Assigned To	Optional Un elenco separato da virgole di account utente o indirizzi email assegnati utilizzati per filtrare gli incidenti durante l'importazione tramite l'API Microsoft Graph.
Tags	Optional Un elenco separato da virgole di tag utilizzati per filtrare gli incidenti recuperati da Microsoft 365 Defender.
Use whitelist as a blacklist	Optional Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata. Non selezionato per impostazione predefinita.
Lowest Alert Severity To Fetch	Optional La gravità minima degli avvisi da recuperare.
Disable Alert Tracking	Optional Se questa opzione è abilitata, il connettore interrompe il monitoraggio degli aggiornamenti per gli avvisi. Disattivato per impostazione predefinita.
Environment Field Name	Optional Il nome del campo contenente il nome dell'ambiente.
Environment Regex Pattern	Optional Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto. Se il pattern dell'espressione regolare è null o vuoto o se il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito.
PythonProcessTimeout	Obbligatorio Il limite di timeout in secondi per il processo Python che esegue lo script corrente. Il valore predefinito è 180.
Dynamic List Field	Optional Il valore utilizzato dall'elenco dinamico per il filtro. I valori possibili sono Incident Name e Alert Name. Il valore predefinito è Incident Name.
Alert Detection Source Filter	Optional Un elenco separato da virgole di origini di rilevamento degli avvisi da importare, ad esempio antivirus, microsoftDefenderForEndpoint.
Alert Service Source Filter	Optional Un elenco separato da virgole di origini del servizio di avviso da importare, ad esempio antivirus, microsoftDefenderForEndpoint.
Disable Overflow	Optional Se selezionata, il connettore ignora il meccanismo di overflow di Google SecOps durante la creazione degli avvisi. Abilitato per impostazione predefinita.
Proxy Server Address	Optional L'indirizzo del server proxy da utilizzare.
Proxy Username	Optional Il nome utente del proxy con cui eseguire l'autenticazione.
Proxy Password	Optional La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

• Il connettore supporta i proxy.
• Il connettore supporta le liste dinamiche e le liste bloccate.
• Il connettore supporta i tenant GCC High.

Job

Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.

Microsoft 365 Defender - Sincronizza gli avvisi

Utilizza il job Microsoft 365 Defender - Sync Alerts per sincronizzare avvisi, commenti e stati in modo bidirezionale tra Google SecOps e Microsoft Defender XDR.

Requisiti per il lavoro

Per garantire che il job identifichi e sincronizzi i dati corretti, devono essere soddisfatte le seguenti condizioni:

• La richiesta Google SecOps deve contenere il tag Microsoft Defender XDR Alert.

• Se l'avviso non proviene dal connettore Microsoft 365 Defender - Incidents, devi aggiungere un valore di contesto Alert_ID all'avviso.

• La sincronizzazione degli assegnatari avviene esclusivamente da Microsoft Defender XDR a Google SecOps.

Parametri del job

Il job Microsoft 365 Defender - Sync Alerts richiede i seguenti parametri:

Parametro	Descrizione
Environment Name	Obbligatorio. Il nome dell'ambiente da cui sincronizzare gli avvisi. Il valore predefinito è Default Environment.
Login API Root	Obbligatorio. La radice dell'API di accesso dell'istanza Microsoft Defender XDR. Il valore predefinito è https://login.microsoftonline.com.
Graph API Root	Obbligatorio. La radice dell'API del servizio Microsoft Graph. Il valore predefinito è https://graph.microsoft.com.
API Root	Obbligatorio. La radice dell'API dell'istanza Microsoft Defender XDR. Il valore predefinito è https://api.security.microsoft.com.
Tenant ID	Obbligatorio. L'ID tenant dell'account Microsoft Defender XDR.
Client ID	Obbligatorio. L'ID client dell'account Microsoft Defender XDR.
Client Secret	Obbligatorio. Il client secret dell'account Microsoft Defender XDR.
Max Hours Backwards	Obbligatorio. Il numero di ore per sincronizzare gli avvisi prima dell'ora corrente durante la prima iterazione del job. Il valore predefinito è 24.
Sync Assignee	Facoltativo. Se selezionata, l'azione sincronizza l'assegnatario da Microsoft Defender XDR a Google SecOps.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Microsoft Defender XDR. Abilitato per impostazione predefinita.
Sync Direction	Facoltativo. La mappatura JSON utilizzata per controllare la direzione di sincronizzazione per ogni funzionalità. Le chiavi supportate sono Status e Comments. I valori possibili sono: Bidirectional toXDR toSecOps None Se una chiave è impostata su None o su un valore non valido, la sincronizzazione viene disattivata per la funzionalità. Se non viene fornito alcun valore, sia lo stato che i commenti vengono sincronizzati in modo bidirezionale. Le chiavi non specificate vengono impostate su Bidirectional per impostazione predefinita. Ad esempio: {"Status": "toXDR"}: sincronizza lo stato da Google SecOps a Microsoft Defender XDR, mentre i commenti continuano a essere sincronizzati in modo bidirezionale. {"Comments": "toSecOps"}: sincronizza i commenti da Microsoft Defender XDR a Google SecOps, mentre lo stato continua a essere sincronizzato in modo bidirezionale. Il valore predefinito è {"Status": "Bidirectional", "Comments": "Bidirectional"}.
Closed Reason Mapping	Facoltativo. La mappatura JSON delle coppie Closure Reason|RootCause di Google SecOps alla classificazione e alla determinazione di Microsoft Defender XDR. Questo parametro si applica solo alla sincronizzazione dei motivi di chiusura personalizzati da Google SecOps a Microsoft Defender XDR. Comportamento predefinito o vuoto: se questo parametro viene lasciato vuoto o utilizza la mappatura predefinita, il job mappa i motivi di chiusura come segue: Malicious → truePositive, maliciousUserActivity Not Malicious → falsePositive, notMalicious Maintenance o Inconclusive → unknownFutureValue, other (corrisponde a Non classificato in Microsoft Defender) Ordine di ricerca: quando un avviso viene chiuso in Google SecOps, il job valuta i dettagli di chiusura nel seguente ordine: Corrispondenza esatta della coppia ("{Reason} | {Root Cause}"): verifica la presenza di una corrispondenza esatta della coppia (ad esempio "{Malicious} | {Misconfigured system}"). Corrispondenza per un singolo motivo ("Reason"): se non viene trovata una coppia esatta, verifica la presenza di una corrispondenza per una singola chiave del motivo (ad esempio "Malicious"). Fallback: se non viene trovata alcuna corrispondenza o se il valore classification o determination specificato non viene accettato dall'API Microsoft Defender, il job utilizza la voce Fallback. Nota: La voce Fallback è obbligatoria. Se omesso, il job non va a buon fine. I valori classification e determination devono essere forniti in camelCase, come richiesto dall'API Microsoft Defender. Il valore predefinito è {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.