Microsoft 365 Defender

이 문서에서는 Microsoft Defender For XDR을 Google Security Operations와 통합하는 방법을 설명합니다.

사용 사례

Microsoft Defender For XDR을 Google SecOps와 통합하면 다음 사용 사례를 해결할 수 있습니다.

  • 자동화된 사고 대응: Google SecOps 기능을 사용하여 영향을 받은 엔드포인트를 자동으로 격리하고 추가 침해를 검사합니다.

  • 피싱 조사 및 해결: Google SecOps 기능을 사용하여 발신자, 제목, 첨부파일과 같은 관련 정보를 자동으로 추출하고 위협 인텔리전스 데이터로 보강합니다.

  • 취약점 관리: Google SecOps 기능을 사용하여 취약점 스캔 및 해결 워크플로를 자동화합니다.

  • 규정 준수 보고 및 감사: Google SecOps 기능을 사용하여 Microsoft Defender For XDR의 보안 데이터 수집 및 보고를 자동화하고 규정 준수 감사를 간소화하며 보안 표준 준수를 입증합니다.

  • 알림 우선순위 지정 및 분류: Google SecOps 기능을 사용하여 Microsoft Defender For XDR의 알림을 분석하고 심각도와 잠재적 영향을 기준으로 우선순위를 지정합니다.

  • 자동 멀웨어 분석: Google SecOps 기능을 사용하여 Microsoft 365 Defender에서 감지한 멀웨어 샘플을 동적 분석을 위해 샌드박스 환경에 자동으로 제출합니다.

시작하기 전에

Google SecOps 플랫폼에서 통합을 구성하기 전에 다음 단계를 완료하세요.

  1. Microsoft Entra 애플리케이션을 만듭니다.

  2. 앱의 API 권한을 구성합니다.

  3. 클라이언트 보안 비밀번호를 만듭니다.

Microsoft Entra 애플리케이션 만들기

Microsoft Entra 애플리케이션을 만들려면 다음 단계를 완료합니다.

  1. 사용자 관리자 또는 비밀번호 관리자로 Azure 포털에 로그인합니다.

  2. Microsoft Entra ID를 선택합니다.

  3. 앱 등록 > 새 등록으로 이동합니다.

  4. 애플리케이션 이름을 입력합니다.

  5. 등록을 클릭합니다.

  6. 나중에 통합 매개변수를 구성할 때 사용할 수 있도록 애플리케이션 (클라이언트) ID 및 디렉터리 (테넌트) ID 값을 저장합니다.

API 권한 구성

통합에 대한 API 권한을 구성하려면 다음 단계를 완료합니다.

  1. Azure 포털에서 관리 > API 권한 > 권한 추가로 이동합니다.

  2. API 권한 요청 창에서 내 조직에서 사용하는 API를 선택합니다.

  3. Microsoft Graph > 애플리케이션 권한을 선택합니다.

  4. 다음 권한을 선택합니다.

    • SecurityAlert.Read.All
    • SecurityIncident.ReadWrite.All

  5. 권한 추가를 클릭합니다.

  6. API 권한 요청 창에서 내 조직에서 사용하는 API를 선택합니다.

  7. Microsoft Threat Protection > Application permissions(애플리케이션 권한)를 선택합니다.

  8. 다음 권한을 선택합니다.

    • ThreatHunting.Read.All

  9. 권한 추가를 클릭합니다.

  10. YOUR_ORGANIZATION_NAME에 대해 관리자의 동의 제출을 클릭합니다.

    관리자 동의 허용 확인 대화상자가 표시되면 예를 클릭합니다.

클라이언트 보안 비밀번호 만들기

클라이언트 보안 비밀번호를 만들려면 다음 단계를 완료하세요.

  1. 인증서 및 보안 비밀 > 새 클라이언트 보안 비밀번호로 이동합니다.

  2. 클라이언트 보안 비밀번호에 대한 설명을 입력하고 만료 기한을 설정합니다.

  3. 추가를 클릭합니다.

  4. 클라이언트 보안 비밀번호 값 (보안 비밀 ID 아님)을 저장하여 통합을 구성할 때 Client Secret 파라미터 값으로 사용합니다.

    클라이언트 보안 비밀번호 값은 한 번만 표시됩니다.

Microsoft Defender For XDR을 Google SecOps와 통합

Microsoft Defender For XDR 통합에는 다음 매개변수가 필요합니다.

매개변수 설명
Login API Root 필수

Microsoft Defender For XDR 인스턴스의 로그인 API 루트입니다.

기본값은 https://login.microsoftonline.com입니다.
Graph API Root 필수

Microsoft Graph 서비스의 API 루트입니다.

기본값은 https://graph.microsoft.com입니다.
API Root 필수

Microsoft Defender For XDR 인스턴스의 API 루트입니다.

기본값은 https://api.security.microsoft.com입니다.
Tenant ID 필수

Microsoft Entra ID 계정의 Microsoft Entra ID (테넌트 ID) 값입니다.
Client ID 필수

Microsoft Entra ID 계정의 애플리케이션 (클라이언트) ID 값입니다.
Client Secret 필수

Microsoft Entra ID 애플리케이션의 클라이언트 보안 비밀번호 값입니다.
Verify SSL 선택사항

선택하면 통합에서 Microsoft Defender For XDR 서버 연결에 사용되는 SSL 인증서가 유효한지 확인합니다.

이 설정은 기본적으로 선택됩니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참조하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스 구성 및 지원에 대한 자세한 내용은 다중 인스턴스 지원을 참조하세요.

작업

작업에 대한 자세한 내용은 Workdesk의 대기 중인 작업에 응답 및 수동 작업 실행을 참조하세요.

사고에 댓글 추가

사고에 댓글 추가 작업을 사용하여 Microsoft Defender For XDR의 사고에 댓글을 추가합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

사고에 댓글 추가 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Incident ID 필수

댓글을 추가할 이슈의 ID입니다.
Comment 필수

이슈에 추가할 댓글입니다.

작업 출력

사고에 댓글 추가 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

사고에 댓글 추가 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명
Successfully added comment to incident INCIDENT_ID in Microsoft Defender XDR. 작업이 완료되었습니다.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 사고에 댓글 추가 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

커스텀 쿼리 실행

커스텀 쿼리 실행 작업을 사용하여 Microsoft Defender For XDR에서 커스텀 헌팅 쿼리를 실행합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

커스텀 쿼리 실행 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Query 필수

결과 필터링을 위해 Microsoft Defender For XDR에서 실행할 쿼리입니다.
Time Frame 선택사항

쿼리 결과의 기간입니다.

가능한 값은 다음과 같습니다.

  • Select One
  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

Custom를 선택한 경우 Start Time를 설정해야 합니다.

기본값은 Select One입니다.
Start Time 선택사항

쿼리 결과의 시작 시간입니다(ISO 8601 형식).

Time Frame가 Custom로 설정된 경우 이 파라미터는 필수입니다.
End Time 선택사항

쿼리 결과의 종료 시간입니다(ISO 8601 형식).

값을 제공하지 않고 Time Frame가 Custom로 설정된 경우 작업은 현재 시간을 사용합니다.
Max Results To Return 선택사항

쿼리에서 반환할 최대 결과 수입니다.

기본값은 50입니다.

작업 출력

커스텀 쿼리 실행 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시에서는 커스텀 쿼리 실행 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
  {
    "Timestamp": "2021-04-12T07:25:00Z",
    "AlertId": "fa7a318954-6c4c-eaab-yyy-yyyyyyyyyy",
    "Title": "CC_Sensitive information",
    "Category": "InitialAccess",
    "Severity": "Medium",
    "ServiceSource": "Microsoft Defender for Office 365",
    "DetectionSource": "Microsoft Defender for Office 365",
    "AttackTechniques": ""
  }
]
출력 메시지

커스텀 쿼리 실행 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully executed query "QUERY" in Microsoft 365 Defender.

No data was found for the query "QUERY" in Microsoft 365 Defender.

 작업이 완료되었습니다.
Error executing action "Execute Custom Query". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 커스텀 쿼리 실행 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

항목 쿼리 실행

항목 쿼리 실행 작업을 사용하여 Microsoft Defender For XDR의 항목을 기반으로 하는 헌팅 쿼리를 실행합니다.

이 작업은 항목을 기반으로 하는 where 필터를 사용합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

  • IP Address
  • Host
  • User
  • Hash
  • URL

항목 쿼리 실행 작업을 사용하여 테이블에서 결과를 검색하고 항목을 기준으로 결과를 필터링하는 등 항목과 관련된 정보를 검색할 수 있습니다.

특정 형식을 사용해야 하는 쿼리 실행 작업과 달리 항목 쿼리 실행 작업은 쿼리 입력을 사용하지 않습니다.

쿼리 실행 작업을 사용하여 엔드포인트와 관련된 알림을 검색할 때는 다음과 같이 | where 절의 형식을 지정합니다.

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

엔드포인트와 관련된 알림을 검색하려면 항목 쿼리 실행 작업에서 다음과 같이 Table, IP Entity Key, Hostname Entity Key, Cross Entity Operator 매개변수를 구성해야 합니다.

매개변수 AlertInfo 값
IP Entity Key IPAddress
Hostname Entity Key DeviceName
Cross Entity Operator OR

제공된 해시가 영향을 미치는 엔드포인트 수를 확인하려면 항목 쿼리 실행 작업에서 File Hash Entity Key 매개변수의 SHA1 값을 입력해야 합니다.

Cross Entity Operator은 Entity Keys 매개변수에 여러 값을 구성하는 경우에만 쿼리에 영향을 미칩니다.

작업 입력

항목 쿼리 실행 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Table Names 필수

Microsoft Defender For XDR에서 쿼리할 테이블의 쉼표로 구분된 목록입니다.
Time Frame 선택사항

쿼리 결과의 기간입니다.

기본값은 Last Hour입니다.

가능한 값은 다음과 같습니다.

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
Start Time 선택사항

쿼리 결과의 시작 시간입니다.

Time Frame 매개변수를 Custom로 설정하는 경우 이 매개변수는 필수입니다.
End Time 선택사항

쿼리 결과의 종료 시간입니다.

값을 설정하지 않고 Time Frame 매개변수를 Custom로 설정하면 작업은 기본적으로 이 매개변수를 현재 시간 값으로 설정합니다.
Fields To Return 선택사항

결과에 포함할 필드의 쉼표로 구분된 목록입니다.
Sort Field 선택사항

결과를 정렬할 필드입니다.

기본값은 Timestamp입니다.
Sort Order 선택사항

결과를 정렬할 순서 (오름차순 또는 내림차순)입니다.

기본값은 ASC입니다.

가능한 값은 다음과 같습니다.

  • ASC
  • DESC
Max Results To Return 선택사항

반환할 최대 결과 수입니다.

기본값은 50입니다.
IP Entity Key 선택사항

IP Address 항목으로 필터링하는 데 사용할 키입니다.
Hostname Entity Key 선택사항

Hostname 항목으로 필터링하는 데 사용할 키입니다.
File Hash Entity Key 선택사항

File Hash 항목으로 필터링하는 데 사용할 키입니다.
User Entity Key 선택사항

User 항목으로 필터링하는 데 사용할 키입니다.
URL Entity Key 선택사항

URL 항목으로 필터링하는 데 사용할 키입니다.
Email Address Entity Key 선택사항

Email Address 항목으로 필터링하는 데 사용할 키입니다. 작업은 이메일 정규 표현식과 일치하는 User 항목을 허용합니다.
Stop If Not Enough Entities 선택사항

선택하면 지정된 모든 항목 유형이 있는 경우 작업이 실행됩니다.

이 설정은 기본적으로 선택됩니다.
Cross Entity Operator 필수

쿼리의 여러 항목 유형 간에 사용할 논리 연산자입니다.

기본값은 OR입니다.

가능한 값은 다음과 같습니다.

  • OR
  • AND

작업 출력

항목 쿼리 실행 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시에서는 항목 쿼리 실행 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }
출력 메시지

항목 쿼리 실행 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully executed query "QUERY" in Microsoft 365 Defender.

Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY.

No data was found for the query "QUERY" in Microsoft 365 Defender."

 작업이 완료되었습니다.
Error executing action "Execute Entity Query". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 항목 쿼리 실행 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

쿼리 실행

쿼리 실행 작업을 사용하여 Microsoft 365 Defender에서 헌팅 쿼리를 실행합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

쿼리 실행 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Table Names 필수

Microsoft 365 Defender에서 쿼리할 테이블 이름의 쉼표로 구분된 목록입니다.
Query 선택사항

실행할 쿼리입니다.

이 파라미터를 사용하여 | where 절을 제공합니다. 시간 필터, 제한, 정렬은 선택사항입니다.
Time Frame 선택사항

쿼리 결과의 기간입니다.

기본값은 Last Hour입니다.

가능한 값은 다음과 같습니다.

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
Start Time 선택사항

쿼리 결과의 시작 시간입니다(ISO 8601 형식).

Time Frame 매개변수를 Custom로 설정하는 경우 이 매개변수는 필수입니다.
End Time 선택사항

ISO 8601 형식의 쿼리 결과 종료 시간입니다.

값을 설정하지 않고 Time Frame 매개변수를 Custom로 설정하면 작업은 기본적으로 이 매개변수를 현재 시간 값으로 설정합니다.
Fields To Return 선택사항

결과에 포함할 필드의 쉼표로 구분된 목록입니다.
Sort Field 선택사항

결과를 정렬할 필드입니다.

기본값은 Timestamp입니다.
Sort Order 선택사항

결과를 정렬할 순서 (오름차순 또는 내림차순)입니다.

기본값은 ASC입니다.

가능한 값은 다음과 같습니다.

  • ASC
  • DESC
Max Results To Return 선택사항

반환할 최대 결과 수입니다.

기본값은 50입니다.

작업 출력

쿼리 실행 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시는 쿼리 실행 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}
출력 메시지

쿼리 실행 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully executed query "QUERY" in Microsoft 365 Defender.

No data was found for the query "QUERY" in Microsoft 365 Defender."

 작업이 완료되었습니다.
Error executing action "Execute Query". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 쿼리 실행 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

핑

핑 작업을 사용하여 Microsoft Defender For XDR에 대한 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

핑 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시는 Ping 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

출력 메시지

Ping 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters! 작업이 완료되었습니다.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 핑 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

사고 업데이트

사고 업데이트 작업을 사용하여 Microsoft Defender For XDR에서 사고를 업데이트합니다.

API 제한사항에 따라 Assign To 매개변수에 잘못된 사용자 이름 값을 설정해도 이 작업은 실패하지 않습니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

사고 업데이트 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Incident ID 필수

Microsoft Defender For XDR에서 업데이트할 사고의 ID입니다.
Status 선택사항

Microsoft Defender For XDR에서 이슈에 설정할 상태입니다.

기본값은 Select One입니다.

가능한 값은 다음과 같습니다.

  • Select One
  • Active
  • Resolved
Classification 선택사항

Microsoft Defender For XDR에서 사고에 설정할 분류입니다.

기본값은 Select One입니다.

가능한 값은 다음과 같습니다.

  • Select One
  • False Positive
  • True Positive
Determination 선택사항

Microsoft Defender For XDR에서 사고에 설정할 결정입니다.

이 파라미터는 Classification 파라미터 값이 True Positive인 경우에만 적용됩니다.

기본값은 Select One입니다.

가능한 값은 다음과 같습니다.

  • Select One
  • Not Available
  • Apt
  • Malware
  • Security Personnel
  • Security Testing
  • Unwanted Software
  • Other
Assign To 선택사항

Microsoft Defender For XDR에서 사고를 할당할 사용자입니다.

작업 출력

사고 업데이트 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

사고 업데이트 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender. 작업이 완료되었습니다.
Error executing action "Update Incident". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.

커넥터

Google SecOps에서 커넥터를 구성하는 방법에 대한 자세한 내용은 데이터 수집(커넥터)을 참조하세요.

Microsoft 365 Defender – Incidents 커넥터

Microsoft 365 Defender – Incidents Connector를 사용하여 Microsoft Defender XDR에서 사고 및 관련 알림에 대한 정보를 가져옵니다.

동적 목록은 사고 이름과 함께 작동합니다.

커넥터 제한사항

Microsoft 365 Defender – Incidents Connector는 엄격한 API 한도가 있는 API 요청을 사용합니다. 커넥터를 안정화하려면 Max Incidents To Fetch 매개변수를 10로, Run Every 매개변수를 1 minute로 설정합니다. 알림을 가져오는 데 사용되는 Microsoft Graph API 엔드포인트는 분당 20개의 요청만 허용하므로 비율 제한에 도달할 수 있습니다.

비율 제한에 도달할 때 데이터 손실을 방지하기 위해 커넥터는 현재 이슈 처리를 중지하고 다른 이슈를 처리하기 전에 90초 동안 대기합니다. 90초 후에 비율 제한이 최댓값으로 돌아가고 커넥터는 이전 반복에서 제대로 처리되지 않은 이슈를 다시 처리합니다.

커넥터 입력

Microsoft 365 Defender – Incidents 커넥터에는 다음 매개변수가 필요합니다.

매개변수 설명
Product Field Name 필수

제품 이름이 저장된 필드의 이름입니다.

기본값은 event_type입니다.
Event Field Name 필수

이벤트 이름(하위 유형)을 결정하는 데 사용되는 필드 이름입니다.

기본값은 @odata.type입니다.
Login API Root 필수

Microsoft Defender For XDR 인스턴스의 로그인 API 루트입니다. GCC High 테넌트를 사용하는 경우 이 매개변수를 업데이트합니다.

기본값은 https://login.microsoftonline.com입니다.
Graph API Root 필수

Microsoft Graph 서비스의 API 루트입니다. GCC High 테넌트를 사용하는 경우 이 매개변수를 업데이트합니다.

기본값은 https://graph.microsoft.com입니다.
API Root 필수

Microsoft Defender XDR 인스턴스의 API 루트입니다. GCC High 테넌트를 사용하는 경우 이 매개변수를 업데이트합니다.

기본값은 https://api.security.microsoft.com입니다.
Tenant ID 필수

Microsoft Entra ID 계정의 Microsoft Entra ID (테넌트 ID) 값입니다.
Client ID 필수

Microsoft Entra ID 계정의 애플리케이션 (클라이언트) ID 값입니다.
Client Secret 필수

Microsoft Entra ID 애플리케이션의 클라이언트 보안 비밀번호 값입니다.
Verify SSL 선택사항

선택하면 통합에서 Microsoft Defender For XDR 서버 연결에 사용되는 SSL 인증서가 유효한지 확인합니다.

이 설정은 기본적으로 선택됩니다.
Lowest Severity To Fetch 선택사항

가져올 사고의 가장 낮은 심각도입니다.
Max Hours Backwards 선택사항

사고를 가져올 첫 번째 커넥터 반복 전의 시간입니다. 이 매개변수는 커넥터를 처음 사용 설정한 후의 초기 커넥터 반복 또는 만료된 커넥터 타임스탬프의 대체 값에 적용됩니다.

기본값은 1입니다.
Max Incidents To Fetch 선택사항

커넥터 반복마다 가져올 최대 이슈 수입니다.

기본값은 10입니다.
Incident Status Filter 선택사항

수집할 사고 상태의 쉼표로 구분된 목록입니다.

기본값은 active, inProgress입니다.

가능한 값은 다음과 같습니다.

  • active
  • inProgress
  • resolved
  • redirected

대부분의 경우 리디렉션된 이슈는 비어 있을 수 있습니다.
Assigned To 선택사항

Microsoft Graph API를 통해 수집하는 동안 이슈를 필터링하는 데 사용되는 할당된 사용자 계정 또는 이메일 주소의 쉼표로 구분된 목록입니다.
Tags 선택사항

Microsoft 365 Defender에서 가져온 이슈를 필터링하는 데 사용되는 쉼표로 구분된 태그 목록입니다.
Use whitelist as a blacklist 선택사항

선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다.

기본적으로 선택되지 않습니다.
Lowest Alert Severity To Fetch 선택사항

가져올 알림의 가장 낮은 심각도입니다.
Disable Alert Tracking 선택사항

사용 설정하면 커넥터가 알림 업데이트 추적을 중지합니다.

기본적으로 사용 중지됩니다.
Environment Field Name 선택사항

환경 이름이 포함된 필드의 이름입니다.
Environment Regex Pattern 선택사항

Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다.

기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다.

정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
PythonProcessTimeout 필수

현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다.

기본값은 180입니다.
Dynamic List Field 선택사항

동적 목록에서 필터링에 사용하는 값입니다.

지정할 수 있는 값은 Incident Name 및 Alert Name입니다.

기본값은 Incident Name입니다.
Alert Detection Source Filter 선택사항

수집할 알림 감지 소스의 쉼표로 구분된 목록입니다(예: antivirus, microsoftDefenderForEndpoint).
Alert Service Source Filter 선택사항

수집할 알림 서비스 소스의 쉼표로 구분된 목록입니다(예: antivirus, microsoftDefenderForEndpoint).
Disable Overflow 선택사항

선택하면 커넥터가 알림 생성 중에 Google SecOps 오버플로 메커니즘을 무시합니다.

기본적으로 사용 설정됩니다.
Proxy Server Address 선택사항

사용할 프록시 서버의 주소입니다.
Proxy Username 선택사항

인증할 프록시 사용자 이름입니다.
Proxy Password 선택사항

인증할 프록시 비밀번호입니다.

커넥터 규칙

  • 커넥터가 프록시를 지원합니다.
  • 커넥터는 동적 목록과 차단 목록을 지원합니다.
  • 커넥터는 GCC High 테넌트를 지원합니다.

작업

작업에 대한 자세한 내용은 새 작업 구성 및 고급 예약을 참조하세요.

Microsoft 365 Defender - 알림 동기화

Microsoft 365 Defender - 알림 동기화 작업을 사용하여 Google SecOps와 Microsoft Defender XDR 간에 알림, 댓글, 상태를 양방향으로 동기화합니다.

직무 요건

작업이 올바른 데이터를 식별하고 동기화하려면 다음 조건을 충족해야 합니다.

  • Google SecOps 케이스에는 Microsoft Defender XDR Alert 태그가 포함되어야 합니다.

  • 알림이 Microsoft 365 Defender - Incidents Connector에서 시작되지 않은 경우 알림에 Alert_ID 컨텍스트 값을 추가해야 합니다.

  • 담당자 동기화는 Microsoft Defender XDR에서 Google SecOps로만 수행됩니다.

작업 매개변수

Microsoft 365 Defender - 알림 동기화 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Environment Name

필수 입력란입니다.

알림을 동기화할 환경의 이름입니다.

기본값은 Default Environment입니다.
Login API Root

필수 입력란입니다.

Microsoft Defender XDR 인스턴스의 로그인 API 루트입니다.

기본값은 https://login.microsoftonline.com입니다.
Graph API Root

필수 입력란입니다.

Microsoft Graph 서비스의 API 루트입니다.

기본값은 https://graph.microsoft.com입니다.
API Root

필수 입력란입니다.

Microsoft Defender XDR 인스턴스의 API 루트입니다.

기본값은 https://api.security.microsoft.com입니다.
Tenant ID

필수 입력란입니다.

Microsoft Defender XDR 계정 테넌트 ID입니다.
Client ID

필수 입력란입니다.

Microsoft Defender XDR 계정 클라이언트 ID입니다.
Client Secret

필수 입력란입니다.

Microsoft Defender XDR 계정 클라이언트 보안 비밀번호입니다.
Max Hours Backwards

필수 입력란입니다.

첫 번째 작업 반복 중에 현재 시간 이전에 알림을 동기화할 시간입니다.

기본값은 24입니다.
Sync Assignee

(선택사항)

선택하면 이 작업은 Microsoft Defender XDR에서 Google SecOps로 담당자를 동기화합니다.
Verify SSL

필수 입력란입니다.

선택하면 통합에서 Microsoft Defender XDR 서버에 연결할 때 SSL 인증서를 검증합니다.

기본적으로 사용 설정됩니다.
Sync Direction

(선택사항)

각 기능의 동기화 방향을 제어하는 데 사용되는 JSON 매핑입니다.

지원되는 키는 Status 및 Comments입니다.

가능한 값은 다음과 같습니다.

  • Bidirectional
  • toXDR
  • toSecOps
  • None

키가 None 또는 잘못된 값으로 설정되면 해당 기능의 동기화가 사용 중지됩니다.

값이 제공되지 않으면 상태와 댓글이 모두 양방향으로 동기화됩니다.

지정되지 않은 키는 기본적으로 Bidirectional입니다. 예를 들면 다음과 같습니다.

  • {"Status": "toXDR"}: Google SecOps에서 Microsoft Defender XDR로 상태를 동기화하고 댓글은 계속 양방향으로 동기화됩니다.
  • {"Comments": "toSecOps"}: Microsoft Defender XDR의 댓글을 Google SecOps에 동기화하고 상태는 계속 양방향으로 동기화됩니다.

기본값은 {"Status": "Bidirectional", "Comments": "Bidirectional"}입니다.
Closed Reason Mapping

(선택사항)

Microsoft Defender XDR 분류 및 결정에 대한 Google SecOps Closure Reason|RootCause 쌍의 JSON 매핑입니다. 이 매개변수는 Google SecOps에서 Microsoft Defender XDR로의 커스텀 종료 사유 동기화에만 적용됩니다.

기본 또는 빈 동작: 이 매개변수를 비워 두거나 기본 매핑을 사용하는 경우 작업은 다음과 같이 종료 사유를 매핑합니다.

  • Malicious → truePositive, maliciousUserActivity
  • Not Malicious → falsePositive, notMalicious
  • Maintenance 또는 Inconclusive → unknownFutureValue, other (Microsoft Defender의 분류되지 않음에 해당)

조회 순서: Google SecOps에서 알림이 종료되면 작업은 다음 순서로 종료 세부정보를 평가합니다.

  1. 정확한 쌍 일치 ("{Reason} | {Root Cause}"): 정확한 쌍 일치 (예: "{Malicious} | {Misconfigured system}")를 확인합니다.
  2. 단일 이유 일치 ("Reason"): 정확한 쌍이 일치하지 않으면 단일 이유 키 일치 (예: "Malicious")를 확인합니다.
  3. 대체: 일치하는 항목이 없거나 지정된 classification 또는 determination 값이 Microsoft Defender API에서 허용되지 않으면 작업에서 Fallback 항목을 사용합니다.

기본값은 {"{reason} | {root cause}": {"classification": "unknownFutureValue", "determination": "other"}, "Malicious": {"classification": "truePositive", "determination": "maliciousUserActivity"}, "NotMalicious": {"classification": "falsePositive", "determination": "notMalicious"}, "Fallback": {"classification": "unknownFutureValue", "determination": "other"}}입니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.