Microsoft 365 Defender

Este documento descreve como integrar o Microsoft 365 Defender com o Google Security Operations (Google SecOps).

Versão da integração: 19.0

Exemplos de utilização

A integração do Microsoft 365 Defender com o Google SecOps pode ajudar a resolver os seguintes exemplos de utilização:

  • Resposta a incidentes automatizada: use as capacidades do Google SecOps para isolar automaticamente o ponto final afetado e iniciar uma análise para deteção de mais comprometimentos.

  • Investigação e remediação de phishing: use as capacidades do Google SecOps para extrair automaticamente informações relevantes, como o remetente, o assunto e os anexos, e enriquecê-las com dados de informações sobre ameaças.

  • Gestão de vulnerabilidades: use as capacidades do Google SecOps para automatizar a análise de vulnerabilidades e os fluxos de trabalho de remediação.

  • Relatórios e auditorias de conformidade: use as capacidades do Google SecOps para automatizar a recolha e a criação de relatórios de dados de segurança do Microsoft 365 Defender, simplificando as auditorias de conformidade e demonstrando a adesão às normas de segurança.

  • Prioritização e triagem de alertas: use as capacidades do Google SecOps para analisar alertas do Microsoft 365 Defender e priorizá-los com base na gravidade e no potencial impacto.

  • Análise automatizada de software malicioso: use as capacidades do Google SecOps para enviar automaticamente a amostra de um software malicioso que o Microsoft 365 Defender detetou para um ambiente de sandbox para análise dinâmica.

Antes de começar

Antes de configurar a integração na plataforma Google SecOps, conclua os seguintes passos:

  1. Crie a aplicação Microsoft Entra.

  2. Configure as autorizações da API para a sua app.

  3. Crie um segredo do cliente.

Crie a aplicação Microsoft Entra

Para criar a aplicação Microsoft Entra, conclua os seguintes passos:

  1. Inicie sessão no portal do Azure como administrador de utilizadores ou administrador de palavras-passe.

  2. Selecione Microsoft Entra ID.

  3. Aceda a Registos de apps > Novo registo.

  4. Introduza o nome da aplicação.

  5. Clique em Registar.

  6. Guarde os valores do ID da aplicação (cliente) e do ID do diretório (inquilino) para os usar mais tarde quando configurar os parâmetros de integração.

Configure as autorizações da API

Para configurar as autorizações da API para a integração, conclua os seguintes passos:

  1. No portal do Azure, aceda a Gerir > Autorizações de API > Adicionar uma autorização.

  2. Na janela Pedir autorizações da API, selecione APIs que a minha organização usa.

  3. Selecione Microsoft Graph > Autorizações da aplicação.

  4. Selecione as seguintes autorizações:

    • SecurityAlert.Read.All
    • SecurityIncident.ReadWrite.All

  5. Clique em Adicionar autorizações.

  6. Na janela Pedir autorizações da API, selecione APIs que a minha organização usa.

  7. Selecione Microsoft Threat Protection > Autorizações de aplicações.

  8. Selecione a seguinte autorização:

    • ThreatHunting.Read.All

  9. Clique em Adicionar autorizações.

  10. Clique em Conceder consentimento de administrador para YOUR_ORGANIZATION_NAME.

    Quando for apresentada a caixa de diálogo Confirmação de concessão de consentimento do administrador, clique em Sim.

Crie um segredo do cliente

Para criar um segredo do cliente, conclua os seguintes passos:

  1. Navegue para Certificados e segredos > Novo segredo do cliente.

  2. Forneça uma descrição para um segredo do cliente e defina o respetivo prazo de validade.

  3. Clique em Adicionar.

  4. Guarde o valor do segredo do cliente (não o ID do segredo) para o usar como o valor do parâmetro Client Secret ao configurar a integração.

    O valor do segredo do cliente só é apresentado uma vez.

Integre o Microsoft 365 Defender com o Google SecOps

A integração do Microsoft 365 Defender requer os seguintes parâmetros:

Parâmetro Descrição
Login API Root Obrigatório

A raiz da API de início de sessão da instância do Microsoft 365 Defender.

O valor predefinido é https://login.microsoftonline.com.
Graph API Root Obrigatório

A raiz da API do serviço Microsoft Graph.

O valor predefinido é https://graph.microsoft.com.
API Root Obrigatório

A raiz da API da instância do Microsoft 365 Defender.

O valor predefinido é https://api.security.microsoft.com.
Tenant ID Obrigatório

O valor do Microsoft Entra ID (ID do inquilino) da sua conta do Microsoft Entra ID.
Client ID Obrigatório

O valor do ID da aplicação (cliente) da sua conta do Microsoft Entra ID.
Client Secret Obrigatório

O valor do segredo do cliente da aplicação Microsoft Entra ID.
Verify SSL Opcional

Se esta opção estiver selecionada, a integração verifica se o certificado SSL para estabelecer ligação ao servidor do Microsoft 365 Defender é válido.

Selecionado por predefinição.

Para ver instruções sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Se necessário, pode fazer alterações numa fase posterior. Depois de configurar uma instância de integração, pode usá-la em manuais de soluções. Para mais informações sobre a configuração e o suporte de várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Para mais informações sobre ações, consulte os artigos Responda a ações pendentes a partir do seu espaço de trabalho e Execute uma ação manual.

Adicionar comentário ao incidente

Use a ação Adicionar comentário ao incidente para adicionar um comentário a um incidente no Microsoft 365 Defender.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Add Comment To Incident requer os seguintes parâmetros:

Parâmetro Descrição
Incident ID Obrigatório

O ID do incidente ao qual adicionar o comentário.
Comment Obrigatório

O comentário a adicionar ao incidente.

Resultados da ação

A ação Adicionar comentário ao incidente fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Adicionar comentário ao incidente pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully added comment to incident INCIDENT_ID in Microsoft 365 Defender. A ação foi bem-sucedida.
Error executing action "Add Comment To Incident". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Add Comment To Incident:

Nome do resultado do script Valor
is_success True ou False

Executar consulta personalizada

Use a ação Executar consulta personalizada para executar uma consulta de deteção personalizada no Microsoft 365 Defender.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Execute Custom Query requer os seguintes parâmetros:

Parâmetro Descrição
Query Obrigatório

A consulta a executar no Microsoft 365 Defender para filtrar os resultados.
Max Results To Return Opcional

O número máximo de resultados a devolver da consulta.

O valor predefinido é `50`.

Resultados da ação

A ação Executar consulta personalizada fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Execute Custom Query:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}
Mensagens de saída

A ação Execute Custom Query pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully executed query "QUERY" in Microsoft 365 Defender.

No data was found for the query "QUERY" in Microsoft 365 Defender.

 A ação foi bem-sucedida.
Error executing action "Execute Custom Query". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor da saída do resultado do script quando usa a ação Execute Custom Query:

Nome do resultado do script Valor
is_success True ou False

Execute uma consulta de entidade

Use a ação Execute Entity Query para executar uma consulta de deteção baseada em entidades no Microsoft 365 Defender.

Esta ação usa um filtro where baseado em entidades.

Esta ação é executada nas seguintes entidades do Google SecOps:

  • IP Address
  • Host
  • User
  • Hash
  • URL

Pode usar a ação Execute Entity Query para obter informações relacionadas com entidades, como obter os resultados de uma tabela e filtrar os resultados com base nas entidades.

Ao contrário da ação Execute Query, que requer a utilização de uma formatação específica, a ação Execute Entity Query não usa a entrada de consulta.

Quando usar a ação Execute Query para obter os alertas relacionados com um ponto final, formate a cláusula | where da seguinte forma:

AlertInfo | where DeviceName == "Host-1" or IPAddress == "192.0.2.1" | top 100
by Timestamp desc

Para obter os alertas relacionados com um ponto final, a ação Execute Entity Query requer que configure os parâmetros Table, IP Entity Key, Hostname Entity Key e Cross Entity Operator da seguinte forma:

Parâmetro Valor: AlertInfo
IP Entity Key IPAddress
Hostname Entity Key DeviceName
Cross Entity Operator OR

Para verificar quantos pontos finais os hashes fornecidos afetam, a ação Execute Entity Query requer que introduza o valor SHA1 para o parâmetro File Hash Entity Key.

O Cross Entity Operator só afeta a consulta quando configura vários valores para o parâmetro Entity Keys.

Dados de ações

A ação Execute Entity Query requer os seguintes parâmetros:

Parâmetro Descrição
Table Names Obrigatório

Uma lista de tabelas separadas por vírgulas para consultar no Microsoft 365 Defender.
Time Frame Opcional

O período dos resultados da consulta.

O valor predefinido é Last Hour.

Os valores possíveis são os seguintes:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
Start Time Opcional

A hora de início dos resultados da consulta.

Se definir o parâmetro Time Frame como Custom, este parâmetro é obrigatório.
End Time Opcional

A hora de fim dos resultados da consulta.

Se não predefinir um valor e predefinir o parâmetro Time Frame como Custom, a ação predefine este parâmetro como o valor da hora atual.
Fields To Return Opcional

Uma lista de campos separada por vírgulas a incluir nos resultados.
Sort Field Opcional

O campo pelo qual os resultados devem ser ordenados.

O valor predefinido é Timestamp.
Sort Order Opcional

A ordem para ordenar os resultados (ascendente ou descendente).

O valor predefinido é ASC.

Os valores possíveis são os seguintes:

  • ASC
  • DESC
Max Results To Return Opcional

O número máximo de resultados a devolver.

O valor predefinido é 50.
IP Entity Key Opcional

A chave a usar para filtrar pela entidade IP Address.
Hostname Entity Key Opcional

A chave a usar para filtrar pela entidade Hostname.
File Hash Entity Key Opcional

A chave a usar para filtrar pela entidade File Hash.
User Entity Key Opcional

A chave a usar para filtrar pela entidade User.
URL Entity Key Opcional

A chave a usar para filtrar pela entidade URL.
Email Address Entity Key Opcional

A chave a usar para filtrar pela entidade Email Address. A ação aceita a entidade User que corresponde à expressão regular de email.
Stop If Not Enough Entities Opcional

Se estiver selecionada, a ação é executada se todos os tipos de entidades especificados estiverem presentes.

Selecionado por predefinição.
Cross Entity Operator Obrigatório

O operador lógico a usar entre diferentes tipos de entidades na consulta.

O valor predefinido é OR.

Os valores possíveis são os seguintes:

  • OR
  • AND

Resultados da ação

A ação Execute Entity Query fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Execute Entity Query:

 {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
  }
Mensagens de saída

A ação Execute Entity Query pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully executed query "QUERY" in Microsoft 365 Defender.

Action wasn't able to build the query, because not enough entity types were supplied for the specified "ENTITY_KEYS". Please disable the "Stop If Not Enough Entities" parameter or provide at least one entity for each specified ENTITY_KEY.

No data was found for the query "QUERY" in Microsoft 365 Defender."

 A ação foi bem-sucedida.
Error executing action "Execute Entity Query". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Execute Entity Query:

Nome do resultado do script Valor
is_success True ou False

Executar consulta

Use a ação Execute Query para executar consultas de deteção no Microsoft 365 Defender.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Execute Query requer os seguintes parâmetros:

Parâmetro Descrição
Table Names Obrigatório

Uma lista de nomes de tabelas separados por vírgulas para consultar no Microsoft 365 Defender.
Query Opcional

Uma consulta a executar.

Use este parâmetro para fornecer a cláusula | where. A filtragem por tempo, a limitação e a ordenação são opcionais.
Time Frame Opcional

O período dos resultados da consulta.

O valor predefinido é Last Hour.

Os valores possíveis são os seguintes:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
Start Time Opcional

A hora de início para os resultados da consulta no formato ISO 8601.

Se definir o parâmetro Time Frame como Custom, este parâmetro é obrigatório.
End Time Opcional

A hora de fim dos resultados da consulta no formato ISO 8601.

Se não predefinir um valor e definir o parâmetro Time Frame como Custom, a ação predefine este parâmetro para o valor de tempo atual.
Fields To Return Opcional

Uma lista de campos separada por vírgulas a incluir nos resultados.
Sort Field Opcional

O campo pelo qual os resultados devem ser ordenados.

O valor predefinido é Timestamp.
Sort Order Opcional

A ordem para ordenar os resultados (ascendente ou descendente).

O valor predefinido é ASC.

Os valores possíveis são os seguintes:

  • ASC
  • DESC
Max Results To Return Opcional

O número máximo de resultados a devolver.

O valor predefinido é 50.

Resultados da ação

A ação Executar consulta fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Execute Query:

{"Results": [
    {
        "Timestamp": "2021-04-12T07:25:00Z",
        "AlertId": "fa7a318954-6c4c-eaab-3200-08d8fd82af35",
        "Title": "CC_Sensitive information",
        "Category": "InitialAccess",
        "Severity": "Medium",
        "ServiceSource": "Microsoft Defender for Office 365",
        "DetectionSource": "Microsoft Defender for Office 365",
        "AttackTechniques": ""
    }
]}
Mensagens de saída

A ação Executar consulta pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully executed query "QUERY" in Microsoft 365 Defender.

No data was found for the query "QUERY" in Microsoft 365 Defender."

 A ação foi bem-sucedida.
Error executing action "Execute Query". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor da saída do resultado do script quando usa a ação Execute Query:

Nome do resultado do script Valor
is_success True ou False

Tchim-tchim

Use a ação Ping para testar a conetividade ao Microsoft 365 Defender.

A ação não é executada em entidades do Google SecOps.

Dados de ações

Nenhum.

Resultados da ação

A ação Ping fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Ping:

Mensagens de saída

A ação Ping pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully connected to the Microsoft 365 Defender server with the provided connection parameters! A ação foi bem-sucedida.
Failed to connect to the Microsoft 365 Defender server! Error is ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Atualizar incidente

Use a ação Atualizar incidente para atualizar incidentes no Microsoft 365 Defender.

Seguindo as limitações da API, esta ação não falha, mesmo que defina um valor de nome de utilizador inválido para o parâmetro Assign To.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Atualizar incidente requer os seguintes parâmetros:

Parâmetro Descrição
Incident ID Obrigatório

O ID do incidente a atualizar no Microsoft 365 Defender.
Status Opcional

O estado a definir para o incidente no Microsoft 365 Defender.

O valor predefinido é Select One.

Os valores possíveis são os seguintes:

  • Select One
  • Active
  • Resolved
Classification Opcional

A classificação a definir para o incidente no Microsoft 365 Defender.

O valor predefinido é Select One.

Os valores possíveis são os seguintes:

  • Select One
  • False Positive
  • True Positive
Determination Opcional

A determinação a definir para o incidente no Microsoft 365 Defender.

Este parâmetro só se aplica se o valor do parâmetro Classification for True Positive.

O valor predefinido é Select One.

Os valores possíveis são os seguintes:

  • Select One
  • Not Available
  • Apt
  • Malware
  • Security Personnel
  • Security Testing
  • Unwanted Software
  • Other
Assign To Opcional

O utilizador ao qual atribuir o incidente no Microsoft 365 Defender.

Resultados da ação

A ação Atualizar incidente fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Atualizar incidente pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully updated incident INCIDENT_ID in Microsoft 365 Defender. A ação foi bem-sucedida.
Error executing action "Update Incident". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.

Conetores

Para ver instruções detalhadas sobre como configurar um conector no Google SecOps, consulte o artigo Carregue os seus dados (conectores).

Microsoft 365 Defender – Conetor de incidentes

Use o Microsoft 365 Defender – Conetor de incidentes para extrair informações sobre incidentes e os respetivos alertas relacionados do Microsoft 365 Defender.

A lista dinâmica funciona com um nome de incidente.

Limitações do conector

O Microsoft 365 Defender – Incidents Connector usa os pedidos de API com limites de API rigorosos. Para estabilizar o conetor, defina o parâmetro Max Incidents To Fetch como 10 e o parâmetro Run Every como 1 minute. Ainda pode atingir o limite de taxa porque o ponto final da API Microsoft Graph usado para obter alertas só permite 20 pedidos por minuto.

Para evitar a perda de dados quando atinge o limite de taxa, o conector para de processar o incidente atual e aguarda 90 segundos antes de processar qualquer outro incidente. Em 90 segundos, o limite de taxa regressa ao valor máximo e o conetor volta a processar o incidente que não foi processado corretamente na iteração anterior.

Entradas do conetor

O Microsoft 365 Defender – Incidents Connector requer os seguintes parâmetros:

Na maioria dos casos, os incidentes redirecionados podem estar vazios.

Parâmetro Descrição
Product Field Name Obrigatório

O nome do campo onde o nome do produto está armazenado.

O valor predefinido é event_type.
Event Field Name Obrigatório

O nome do campo usado para determinar o nome do evento (subtipo).

O valor predefinido é @odata.type.
Login API Root Obrigatório

A raiz da API de início de sessão da instância do Microsoft 365 Defender.

O valor predefinido é https://login.microsoftonline.com.
Graph API Root Obrigatório

A raiz da API do serviço Microsoft Graph.

O valor predefinido é https://graph.microsoft.com.
API Root Obrigatório

A raiz da API da instância do Microsoft 365 Defender.

O valor predefinido é https://api.security.microsoft.com.
Tenant ID Obrigatório

O valor do Microsoft Entra ID (ID do inquilino) da sua conta do Microsoft Entra ID.
Client ID Obrigatório

O valor do ID da aplicação (cliente) da sua conta do Microsoft Entra ID.
Client Secret Obrigatório

O valor do segredo do cliente da aplicação Microsoft Entra ID.
Verify SSL Opcional

Se esta opção estiver selecionada, a integração verifica se o certificado SSL para estabelecer ligação ao servidor do Microsoft 365 Defender é válido.

Selecionado por predefinição.
Lowest Severity To Fetch Opcional

A gravidade mais baixa dos incidentes a obter.
Max Hours Backwards Opcional

O número de horas antes da primeira iteração do conector para obter incidentes. Este parâmetro aplica-se à iteração inicial do conector depois de o ativar pela primeira vez ou ao valor alternativo para uma data/hora do conector expirada.

O valor predefinido é 1.
Max Incidents To Fetch Opcional

O número máximo de incidentes a obter para cada iteração do conector.

O valor predefinido é 10.
Incident Status Filter Opcional

Uma lista separada por vírgulas de estados de incidentes a carregar.

O valor predefinido é active, inProgress.

Os valores possíveis são os seguintes:

  • active
  • inProgress
  • resolved
  • redirected
Use whitelist as a blacklist Opcional

Se estiver selecionada, o conetor usa a lista dinâmica como uma lista de bloqueios.

Não selecionado por predefinição.
Lowest Alert Severity To Fetch Opcional

A gravidade mais baixa dos alertas a obter.
Disable Alert Tracking Opcional

Se estiver ativado, o conetor deixa de acompanhar as atualizações dos alertas.

Desativada por predefinição.
Environment Field Name Opcional

O nome do campo que contém o nome do ambiente.
Environment Regex Pattern Opcional

Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. Este parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular.

Use o valor predefinido .* para obter o valor bruto Environment Field Name necessário.

Se o padrão de expressão regular for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado final do ambiente é o ambiente predefinido.
PythonProcessTimeout Obrigatório

O limite de tempo em segundos para o processo Python que executa o script atual.

O valor predefinido é 180.
Dynamic List Field Opcional

O valor que a lista dinâmica usa para filtragem.

Os valores possíveis são Incident Name e Alert Name.

O valor predefinido é Incident Name.
Alert Detection Source Filter Opcional

Uma lista separada por vírgulas de origens de deteção de alertas a carregar, como antivirus, microsoftDefenderForEndpoint.
Alert Service Source Filter Opcional

Uma lista separada por vírgulas de origens de serviços de alertas a carregar, como antivirus, microsoftDefenderForEndpoint.
Disable Overflow Opcional

Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps durante a criação de alertas.

Ativada por predefinição.
Proxy Server Address Opcional

O endereço do servidor proxy a usar.
Proxy Username Opcional

O nome de utilizador do proxy para autenticação.
Proxy Password Opcional

A palavra-passe do proxy para autenticação.

Regras de conector

  • O conetor suporta proxies.
  • O conetor suporta as listas dinâmicas e as listas de bloqueio.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.