Microsoft Defender di Endpoint

Importante: nella piattaforma Google SecOps, l'integrazione di Microsoft Defender for Endpoint è denominata Microsoft Defender ATP.

Questo documento fornisce indicazioni su come integrare Microsoft Defender for Endpoint con Google SecOps.

Casi d'uso

1. Utilizza i dati raccolti in Microsoft Defender for Endpoint per gli arricchimenti durante l'analisi di un caso specifico.

   Gli analisti possono utilizzare i dati raccolti e archiviati in Microsoft Defender for Endpoint nelle indagini, ad esempio per ottenere informazioni sugli avvisi rilevati in Microsoft Defender for Endpoint o per elencare le macchine registrate in Microsoft Defender for Endpoint.

2. Eseguire azioni di risposta attiva in potenziali incidenti di sicurezza, come isolare un host specifico da una rete o eseguire una scansione antivirus.

3. Monitora e ispeziona gli avvisi di Microsoft Defender for Endpoint come avvisi di Google Security Operations recuperati dal rispettivo connettore.

Prerequisiti

Prima di configurare l'integrazione nella piattaforma Google SecOps, assicurati di completare i seguenti passaggi preliminari:

1. Crea l'app Microsoft Entra.

2. Configura le autorizzazioni API per la tua app.

3. Crea un client secret.

Ti consigliamo di utilizzare il contesto dell'applicazione anziché il contesto dell'utente quando accedi all'API Microsoft Defender for Endpoint.

Crea un'app Microsoft Entra

1. Accedi al portale di Azure come amministratore degli utenti o amministratore delle password.

2. Seleziona Microsoft Entra ID.

3. Vai ad App registrations (Registrazioni app) > New registration (Nuova registrazione).

4. Inserisci il nome dell'app.

5. Fai clic su Register (Registrati).

   Nota: questo documento utilizza una configurazione single-tenant come esempio. L'URL di reindirizzamento non è necessario per il flusso OAuth (credenziali client) supportato dall'integrazione.

6. Salva i valori ID applicazione (client) e ID directory (tenant) per utilizzarli in un secondo momento durante la configurazione dei parametri di integrazione.

Configura le autorizzazioni API

1. Vai ad API Permissions (Autorizzazioni API) > Add a permission (Aggiungi un'autorizzazione) > APIs my organization uses (API utilizzate dalla mia organizzazione). Si apre la finestra di dialogo Richiedi autorizzazioni API.

2. Nel campo Cerca, inserisci WindowsDefenderATP.

3. Seleziona WindowsDefenderATP > Autorizzazioni applicazione.

4. Nella sezione del tipo di autorizzazione Avviso, seleziona la seguente autorizzazione:

   • Alert.Read.All

5. Fai clic su Aggiungi autorizzazioni.

6. Nella pagina API Permissions (Autorizzazioni API), fai clic su Add a permission (Aggiungi un'autorizzazione).

7. Seleziona Microsoft Graph > Delegated permissions (Autorizzazioni delegate).

8. Nella sezione Seleziona autorizzazioni, seleziona la seguente autorizzazione obbligatoria:

   • User.Read

9. Fai clic su Aggiungi autorizzazioni.

10. Nella pagina API Permissions (Autorizzazioni API), fai clic su Add a permission (Aggiungi un'autorizzazione).

11. Seleziona WindowsDefenderATP > Autorizzazioni applicazione.

12. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni richieste:

    • AdvancedQuery.Read.All
    • Alert.Read.All
    • Alert.ReadWrite.All
    • Event.Write
    • File.Read.All
    • Ip.Read.All
    • Machine.Isolate
    • Machine.Read.All
    • Machine.ReadWrite.All
    • Machine.Scan
    • Machine.StopAndQuarantine
    • Ti.ReadWrite
    • Url.Read.All
    • User.Read.All

13. Fai clic su Concedi il consenso amministratore per ORGANIZATION_NAME.

    Quando viene visualizzata la finestra di dialogo Grant admin consent confirmation (Conferma concessione del consenso amministratore), fai clic su Yes (Sì).

Di seguito è riportato l'esempio di una richiesta API per ottenere gli avvisi di Defender ATP (nota il parametro $expand utilizzato per recuperare i dati relativi a indirizzi IP, domini e file):

GET /api/alerts?$expand=files,ips,domains HTTP/1.1
Host: api.securitycenter.windows.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJ...
User-Agent: PostmanRuntime/7.19.0
Accept: */ *
Cache-Control: no-cache
Postman-Token: 2dc0f885-068a-45d4-81a6-2da0d23a58ad,d3dd0e6e-83ab-4d27-94d2-0f3889dff324
Host: api.securitycenter.windows.com
Accept-Encoding: gzip, deflate
Connection: keep-alive
cache-control: no-cache

Per scoprire di più sui parametri e sulle opzioni di richiesta, come filtro o espansione, consulta API Microsoft Defender for Endpoint supportate nella documentazione di Microsoft.

Crea client secret

1. Vai a Certificates and secrets (Certificati e secret) > New client secret (Nuovo client secret).

2. Fornisci una descrizione per un client secret e imposta la relativa scadenza.

3. Fai clic su Aggiungi.

4. Salva il valore del client secret (non l'ID secret) per utilizzarlo come valore parametro Client Secret durante la configurazione dell'integrazione. Il valore del client secret viene visualizzato una sola volta.

Attiva l'integrazione SIEM - Deprecata

Ritirata: Microsoft ha ritirato l'integrazione SIEM con Microsoft Defender ATP.

1. Nel riquadro di navigazione, seleziona Impostazioni > SIEM.

   Nota: se si verifica un errore durante il tentativo di attivare l'applicazione del connettore SIEM, controlla le impostazioni di blocco del browser. Potrebbe bloccare l'apertura della nuova finestra quando attivi la funzionalità.

2. Seleziona Attiva l'integrazione SIEM.

In questo modo viene attivata la sezione dei dettagli di accesso del connettore SIEM con valori precompilati e viene creata un'applicazione nel tuo tenant Azure AD.

Avviso: il client secret viene visualizzato una sola volta. Assicurati di conservarne una copia in un luogo sicuro.

• Scegli il tipo di SIEM come API generica.
• Copia i singoli valori o seleziona Salva i dettagli nel file per scaricare un file contenente tutti i valori.
• Per generare un token per accedere ai dati dei rilevamenti, avrai bisogno dei valori presentati in questa pagina: ID client, client secret, risorsa.

Integra Microsoft Defender for Endpoint con Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Importante: se apporti modifiche alle Autorizzazioni dell'applicazione o alle Autorizzazioni API nella registrazione dell'app Microsoft Entra ID (Azure AD) dopo aver configurato questa integrazione (ad esempio, aggiungendo una nuova autorizzazione per l'esecuzione di un job), devi rigenerare e aggiornare le credenziali in Google SecOps.

In genere, questo significa che:

• Genera un nuovo client secret nella registrazione dell'app.
• Aggiornamento del client secret (e rigenerazione del token di aggiornamento, se applicabile) nella configurazione dell'integrazione di Google SecOps.

Se non esegui l'aggiornamento, non sarà possibile applicare le nuove autorizzazioni e le azioni non andranno a buon fine.

Parametri di integrazione

Per configurare l'integrazione, utilizza i seguenti parametri:

Parametri
Client ID	Obbligatorio ID client (applicazione) dell'app Microsoft Entra da utilizzare per l'integrazione.
Client Secret	Obbligatorio Valore del client secret dell'app Microsoft Entra da utilizzare per l'integrazione.
Azure Active Directory ID	Obbligatorio Valore di Microsoft Entra ID (ID tenant).
Verify SSL	Optional Se selezionata, verifica che il certificato SSL per la connessione al server Microsoft 365 Defender sia valido. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
API Root	Obbligatorio URL di base dell'API da utilizzare con l'integrazione. Per prestazioni migliori, puoi utilizzare un server più vicino alla tua posizione: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com Il valore predefinito è https://api.securitycenter.windows.com.

Azioni

Elimina indicatori di entità

Elimina gli indicatori delle entità in Microsoft Defender for Endpoint.

Nota: sono supportati solo gli hash MD5, SHA-1 e SHA256.

Parametri

N/D

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Indirizzo IP
• URL
• Filehash

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se viene segnalato il codice di stato 204 (is_success=true): "Le seguenti entità sono state eliminate correttamente come indicatori in Microsoft Defender for Endpoint: {entity.identifier}. Se l'incidente non viene trovato (is_success=true): "The following entities don't exist as indicators in Microsoft Defender for Endpoint: {entity.identifier}. L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook: Se viene segnalato un errore irreversibile, come credenziali errate, assenza di connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elimina indicatori entità". Reason: {0}''.format(error.Stacktrace)	Generale

Arricchisci le entità

Arricchisci le entità host, indirizzo IP o hash file di Google SecOps in base alle informazioni di Microsoft Defender for Endpoint.

Parametri

N/D

Casi d'uso

L'azione può essere utilizzata nei playbook che analizzano l'attività sui dispositivi. Se sul dispositivo è installato l'agente Microsoft Defender for Endpoint, l'azione estrae le informazioni da Defender ATP su un dispositivo per arricchire le entità di Google SecOps. L'azione può essere utilizzata anche per arricchire gli hash dei file di avviso con le informazioni di Defender ATP.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP
• Filehash

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

Se l'arricchimento funziona su indirizzo IP o host:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines/$entity",
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-24T18:31:50.581058Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.28",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    }
]

Se l'arricchimento funziona su Filehash:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Files/$entity",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
            "md5": "9512e1cc66a1d36feb0a290cab09087b",
            "globalPrevalence": 5205000,
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "size": 245760,
            "fileType": "APP",
            "isPeFile": true,
            "filePublisher": "Microsoft Corporation",
            "fileProductName": "Microsoft Windows Operating System",
            "signer": "Microsoft Windows",
            "issuer": "Microsoft Windows Production PCA 2011",
            "signerHash": "419e77aed546a1a6cf4dc23c1f977542fe289cf7",
            "isValidCertificate": true
            },
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#microsoft.windowsDefenderATP.api.InOrgFileStats",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "orgPrevalence": "1",
            "orgFirstSeen": "2019-11-19T03:54:15Z",
            "orgLastSeen": "2019-11-19T04:21:18Z",
            "globalPrevalence": "5205000",
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "topFileNames": ["notepad.exe"]
        }
    }
]

Enrichment delle entità

IP e host

Nome del campo di arricchimento	Logica - Quando applicarle
Defender_ATP.sha1	Restituisce se esiste nel risultato JSON
Defender_ATP.sha256	Restituisce se esiste nel risultato JSON
Defender_ATP.md5	Restituisce se esiste nel risultato JSON
Defender_ATP.globalPrevalence	Restituisce se esiste nel risultato JSON
Defender_ATP.globalFirstObserved	Restituisce se esiste nel risultato JSON
Defender_ATP.globalLastObserved	Restituisce se esiste nel risultato JSON
Defender_ATP.size	Restituisce se esiste nel risultato JSON
Defender_ATP.fileType	Restituisce se esiste nel risultato JSON
Defender_ATP.isPeFile	Restituisce se esiste nel risultato JSON
Defender_ATP.filePublisher	Restituisce se esiste nel risultato JSON
Defender_ATP.fileProductName	Restituisce se esiste nel risultato JSON
Defender_ATP.signer	Restituisce se esiste nel risultato JSON
Defender_ATP.issuer	Restituisce se esiste nel risultato JSON
Defender_ATP.signerHash	Restituisce se esiste nel risultato JSON
Defender_ATP.isValidCertificate	Restituisce se esiste nel risultato JSON
Defender_ATP.orgPrevalence	Restituisce se esiste nel risultato JSON
Defender_ATP.orgFirstSeen	Restituisce se esiste nel risultato JSON
Defender_ATP.orgLastSeen	Restituisce se esiste nel risultato JSON
Defender_ATP.topFileNames	Restituisce se esiste nel risultato JSON

Hash file

Nome del campo di arricchimento	Logica - Quando applicarle
Defender_ATP.sha1	Restituisce se esiste nel risultato JSON
Defender_ATP.sha256	Restituisce se esiste nel risultato JSON
Defender_ATP.md5	Restituisce se esiste nel risultato JSON
Defender_ATP.globalPrevalence	Restituisce se esiste nel risultato JSON
Defender_ATP.globalFirstObserved	Restituisce se esiste nel risultato JSON
Defender_ATP.globalLastObserved	Restituisce se esiste nel risultato JSON
Defender_ATP.size	Restituisce se esiste nel risultato JSON
Defender_ATP.fileType	Restituisce se esiste nel risultato JSON
Defender_ATP.isPeFile	Restituisce se esiste nel risultato JSON
Defender_ATP.filePublisher	Restituisce se esiste nel risultato JSON
Defender_ATP.fileProductName	Restituisce se esiste nel risultato JSON
Defender_ATP.signer	Restituisce se esiste nel risultato JSON
Defender_ATP.issuer	Restituisce se esiste nel risultato JSON
Defender_ATP.signerHash	Restituisce se esiste nel risultato JSON
Defender_ATP.isValidCertificate	Restituisce se esiste nel risultato JSON
Defender_ATP.orgPrevalence	Restituisce se esiste nel risultato JSON
Defender_ATP.orgFirstSeen	Restituisce se esiste nel risultato JSON
Defender_ATP.orgLastSeen	Restituisce se esiste nel risultato JSON
Defender_ATP.topFileNames	Restituisce se esiste nel risultato JSON

Esegui comando di risposta in tempo reale

Utilizza l'azione Esegui comando di risposta live per eseguire un comando di risposta live in Microsoft Defender for Endpoint.

Nota: questa è un'azione asincrona. Assicurati che il valore di timeout dello script nell'IDE di Google SecOps sia regolato in modo appropriato per consentire il completamento del comando.

Input azione

L'azione Esegui comando Live Response richiede i seguenti parametri:

Parametro	Descrizione
Command	Obbligatorio. Un oggetto JSON che rappresenta il comando da eseguire, inclusi il tipo e i parametri. Per saperne di più sulle strutture dei comandi supportate, consulta la documentazione dell'API Microsoft Defender for Endpoint. Formato di esempio: { "type": "Command", "params": [ { "key": "string", "value": "string" } ] }
Comment	Facoltativo. Un commento o una descrizione per il comando eseguito.

Output azione

L'azione Esegui comando Live Response fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui comando Live Response:

{
   "Entity": "",
   "EntityResult": {
       "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#MachineActions/$entity",
       "id": "00000000-0000-0000-0000-000000000000",
       "type": "LiveResponse",
       "title": null,
       "requestor": "SEC_OPS_USER",
       "requestorComment": "Execution of live response command",
       "status": "Pending",
       "machineId": "MACHINE_ID_HASH",
       "computerDnsName": "hostname.domain.local",
       "creationDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "lastUpdateDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "cancellationRequestor": null,
       "cancellationComment": null,
       "cancellationDateTimeUtc": null,
       "errorHResult": 0,
       "scope": null,
       "externalId": null,
       "requestSource": "PublicApi",
       "relatedFileInfo": null,
       "commands": [],
       "troubleshootInfo": null,
       "results": {
           "filepath": "",
           "script_name": "remediation_script.ps1",
           "exit_code": 0,
           "script_output": "Script completed successfully",
           "script_errors": ""
       }
   }
}

Messaggi di output

L'azione Esegui comando Live Response può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully executed command on the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID.	L'azione è andata a buon fine.
The command didn't complete for the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID. The scan didn't complete for all of the provided endpoints in Microsoft Defender for Endpoint. Error executing action "Execute Live Response Command". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Esegui comando Live Response:

Nome del risultato dello script	Valore
is_success	true o false

Ottieni lo stato dell'attività corrente

Visualizza lo stato attuale di un'attività.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID attività	Stringa	N/D	Sì	Elenco di ID attività sotto forma di stringa separata da virgole.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

Ricevi avvisi relativi ai file

Ricevi avvisi relativi a un file da Microsoft Defender for Endpoint in base all'hash del file.

Parametri

Valore di visualizzazione del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Stato	Stringa	Unknown, New, InProgress, Resolved	No	Specifica gli stati degli avvisi da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Gravità	Stringa	UnSpecified, Informational, Low, Medium, High	NO	Specifica la gravità degli incidenti da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Categoria	Stringa	N/D	No	Specifica la categoria di avviso da cercare. Se non viene fornito alcun valore, l'azione cerca tutte le categorie. Il parametro accetta più valori sotto forma di stringa separata da virgole. Valori possibili: "Collection", "CommandAndControl", "CredentialAccess", "DefenseEvasion", "Discovery", "Execution", "Exfiltration", "Exploit", "InitialAccess", "LateralMovement", "Malware", "Persistence", "PrivilegeEscalation", "Ransomware", "SuspiciousActivity", "UnwantedSoftware".
ID incidente	Numero intero	N/D	No	Specifica l'ID incidente di Microsoft Defender per cui vuoi trovare gli avvisi correlati.

‌Casi d'uso

Durante l'analisi di un avviso proveniente dal connettore Defender ATP, questa azione può essere utilizzata per raccogliere informazioni se il file è associato ad avvisi per capire se il file è dannoso o meno.

Esegui il

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": 1,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "TerminatedBySystem",
            "detectionSource": "WindowsDefenderAtp",
            "category": "DefenseEvasion",
            "threatFamilyName": null,
            "title": "Suspicious process injection observed",
            "description": "A process abnormally injected code into another process, As a result, unexpected code may be running in the target process memory. Injection is often used to hide malicious code execution within a trusted process. \nAs a result, the target process may exhibit abnormal behaviors such as opening a listening port or connecting to a command and control server.",
            "alertCreationTime": "2019-11-19T03:56:37.7335862Z",
            "firstEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastUpdateTime": "2019-11-20T10:13:31.7266667Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "example.user",
                "domainName": "EXAMPLELAB"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                },{
                    "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
                    "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
                    "filePath": "C:\\Windows\\System32\\notepad.exe",
                    "fileName": "notepad.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

Recupera le macchine correlate ai file

Recupera le macchine correlate a un file da Microsoft Defender for Endpoint in base all'hash del file.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome computer	Stringa	N/D	No	Specifica il nome completo della macchina da cercare.
Indirizzo IP della macchina	Stringa	N/D	No	Specifica l'indirizzo IP della macchina da cercare.
Punteggio di rischio della macchina	Stringa	N/D	No	Specifica lo scoring del rischio della macchina da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Stato di integrità della macchina	Stringa	Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication	No	Specifica lo stato di integrità della macchina da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Piattaforma del sistema operativo della macchina	Stringa	N/D	No	Specifica la piattaforma del sistema operativo della macchina da cercare.
ID gruppo RBAC	Stringa	N/D	No	Specifica l'ID gruppo RBAC da cercare.

Casi d'uso

Durante l'esame di un avviso proveniente dal connettore Defender ATP, questa azione può essere utilizzata per raccogliere informazioni sulle macchine su cui questo file è stato registrato in Defender ATP.

Pubblica su

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T19:35:36.4619266Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.1",
            "lastExternalIpAddress": "203.0.113.121",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

Recupera log macchina per gli utenti

Ottieni informazioni sull'accesso di un utente a una macchina specifica.

Parametri

N/D

Casi d'uso

L'azione può essere utilizzata a scopo di indagine per ottenere dettagli specifici su quali utenti accedono a una macchina in questione dal server Defender ATP.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Users",
    "value": [
        {
            "id": "example\\example.user",
            "accountName": "example.user",
            "accountDomain": "example",
            "accountSid": null,
            "firstSeen": "2019-11-19T03:50:36Z",
            "lastSeen": "2019-11-19T03:50:36Z",
            "mostPrevalentMachineId": null,
            "leastPrevalentMachineId": null,
            "logonTypes": "Interactive",
            "logOnMachinesCount": 1,
            "isDomainAdmin": false,
            "isOnlyNetworkUser": null
        }
    ]
}

Ricevi suggerimenti sulle macchine

Utilizza l'azione Ottieni suggerimenti per la macchina per recuperare un elenco di suggerimenti per la sicurezza per macchine specifiche in Microsoft Defender for Endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• Hostname

• IP Address

Input azione

L'azione Ottieni suggerimenti sulle macchine richiede i seguenti parametri:

Parametro	Descrizione
Max Recommendations To Return	Obbligatorio. Il numero massimo di suggerimenti da recuperare per ogni entità. Il valore massimo è 100. Il valore predefinito è 100.

Output azione

L'azione Ottieni suggerimenti sulle macchine fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Ottieni suggerimenti sulle macchine:

{
   "Entity": "",
   "EntityResult": [
         {
            "id": "va-_-7-zip-_-7-zip",
            "productName": "7-zip",
            "recommendationName": "Update 7-zip to version 25.01.0.0",
            "weaknesses": 12,
            "vendor": "7-zip",
            "recommendedVersion": "25.01.0.0",
            "recommendedVendor": "",
            "recommendedProgram": "",
            "recommendationCategory": "Application",
            "subCategory": "",
            "severityScore": 0.0,
            "publicExploit": true,
            "activeAlert": false,
            "associatedThreats": [],
            "remediationType": "Update",
            "status": "Active",
            "configScoreImpact": 0.0,
            "exposureImpact": 0.0,
            "totalMachineCount": 0,
            "exposedMachinesCount": 1,
            "nonProductivityImpactedAssets": 0,
            "relatedComponent": "7-zip",
            "hasUnpatchableCve": false,
            "tags": [],
            "exposedCriticalDevices": 0
        }
   ]
}

Messaggi di output

L'azione Ottieni suggerimenti sulle macchine può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned recommendations for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No recommendations were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No recommendations were found for the provided endpoints in Microsoft Defender for Endpoint.	L'azione è andata a buon fine.
Error executing action "Get Machine Recommendations". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ottieni suggerimenti per la macchina:

Nome del risultato dello script	Valore
is_success	true o false

Ricevi avvisi relativi alla macchina

Ricevi avvisi relativi a una macchina specifica registrata in Defender ATP.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Stato	Stringa	Unknown, New, InProgress, Resolved	No	Specifica gli stati degli avvisi da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Gravità	Stringa	UnSpecified, Informational, Low, Medium, High	No	Specifica la gravità degli incidenti da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Categoria	Stringa	N/D	No	Specifica la categoria di avviso da cercare. Se non viene fornito alcun valore, l'azione cerca tutte le categorie. Il parametro accetta più valori sotto forma di stringa separata da virgole. Valori possibili: "Collection", "CommandAndControl", "CredentialAccess", "DefenseEvasion", "Discovery", "Execution", "Exfiltration", "Exploit", "InitialAccess", "LateralMovement", "Malware", "Persistence", "PrivilegeEscalation", "Ransomware", "SuspiciousActivity", "UnwantedSoftware".
ID incidente	Numero intero	N/D	No	Specifica l'ID incidente di Microsoft Defender per cui vuoi trovare gli avvisi correlati.

Casi d'uso

L'azione può essere utilizzata a scopo di indagine per ricevere dal server Defender ATP avvisi relativi a una macchina specifica in questione.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example-id",
            "incidentId": 1,
            "investigationId": null,
            "assignedTo": "[e-mail]",
            "severity": "Informational",
            "status": "Resolved",
            "classification": "FalsePositive",
            "determination": "SecurityTesting",
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "[Test Alert] Suspicious Powershell commandline",
            "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
            "alertCreationTime": "2019-11-18T11:17:48.287421Z",
            "firstEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastUpdateTime": "2019-11-20T04:12:03.91Z",
            "resolvedTime": "2019-11-20T04:12:03.4976288Z",
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "Administrator",
                "domainName": "US-LT-V13007"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
                    "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
                    "filePath": "C:\\Windows\\System32\\cmd.exe",
                    "fileName": "cmd.exe"
                },
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

Ottieni vulnerabilità della macchina

Utilizza l'azione Get Machine Vulnerabilities per elencare le vulnerabilità associate a macchine specifiche in Microsoft Defender for Endpoint.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

• Hostname

• IP Address

Input azione

L'azione Get Machine Vulnerabilities richiede i seguenti parametri:

Parametro	Descrizione
Severity Filter	Facoltativo. I livelli di gravità utilizzati per filtrare le vulnerabilità restituite. I valori possibili sono: Critical High Medium Low Il valore predefinito è Critical.
Threat Filter	Facoltativo. I criteri di threat intelligence utilizzati per filtrare le vulnerabilità restituite. I valori possibili sono: Associated Active Alert Exploit is available Exploit is verified This exploit is part of an exploit kit
Sort By	Facoltativo. Il campo utilizzato per ordinare le vulnerabilità restituite. I valori possibili sono: First Detection Time Severity Update Time Il valore predefinito è Severity.
Sort Order	Facoltativo. L'ordine in cui vengono visualizzati i risultati ordinati. I valori possibili sono: ASC DESC Il valore predefinito è ASC.
Max Vulnerabilities To Return	Obbligatorio. Il numero massimo di vulnerabilità da restituire per ogni entità. Il valore massimo è 100. Il valore predefinito è 100.

Output azione

L'azione Ottieni vulnerabilità della macchina fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera vulnerabilità della macchina:

{
   "Entity": "",
   "EntityResult": [
       {
           "@odata.type": "#microsoft.windowsDefenderATP.api.PublicVulnerabilityDto",
           "id": "CVE-2025-21266",
           "name": "CVE-2025-21266",
           "description": "Summary: The Windows Telephony Service in Microsoft Windows is vulnerable to remote code execution. An attacker can exploit this vulnerability by tricking a user into visiting a malicious website, which would allow them to execute arbitrary code on the system. Impact: If successfully exploited, this vulnerability could allow an attacker to execute arbitrary code on the affected system. This could lead to a complete compromise of the system, enabling the attacker to gain unauthorized access, steal sensitive information, or perform other malicious activities. Remediation: Apply the latest patches and updates provided by the respective vendors. Generated by AI",
           "severity": "High",
           "cvssV3": 8.8,
           "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C",
           "exposedMachines": 1,
           "publishedOn": "2025-01-14T08:00:00Z",
           "updatedOn": "2025-09-09T23:45:43.5Z",
           "firstDetected": "2025-01-14T18:31:29Z",
           "patchFirstAvailable": null,
           "publicExploit": false,
           "exploitVerified": false,
           "exploitInKit": false,
           "exploitTypes": [],
           "exploitUris": [],
           "cveSupportability": "Supported",
           "tags": [],
           "epss": 0.01391,
           "status": "RemediationRequired"
       }
   ]
}

Messaggi di output

L'azione Get Machine Vulnerabilities può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. The action wasn't able to return vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. The action wasn't able to return vulnerabilities for the provided endpoints in Microsoft Defender for Endpoint. No vulnerabilities were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No vulnerabilities were found for the provided endpoints in Microsoft Defender for Endpoint.	L'azione è andata a buon fine.
Error executing action "Get Machine Vulnerabilities". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Recupera vulnerabilità della macchina:

Nome del risultato dello script	Valore
is_success	true o false

Ricevi avvisi relativi agli utenti

Utilizza l'azione Get User Related Alerts per elencare gli avvisi associati a utenti specifici in Microsoft Defender for Endpoint.

Questa azione viene eseguita sull'entità User di Google SecOps.

Input azione

L'azione Get User Related Alerts richiede i seguenti parametri:

Parametro	Descrizione
Max Alerts To Return	Obbligatorio. Il numero massimo di avvisi da recuperare per ogni utente. Il valore massimo è 100. Il valore predefinito è 100.

Output azione

L'azione Get User Related Alerts fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera avvisi relativi agli utenti:

[
    {
        "Entity": "[e-mail]",
        "EntityResult": [
            {
                "id": "da06788650-4d45-4dcf-ae23-d1071ad426ec_1",
                "incident_id": 864492,
                "investigation_id": 1778,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-02-27T06:58:08.1366667Z",
                "first_event_time": "2026-02-27T06:55:51.021546Z",
                "last_event_time": "2026-02-27T06:55:51.021546Z",
                "last_update_time": "2026-02-27T07:13:46.2333333Z",
                "resolved_time": "2026-02-27T07:13:44.3513463Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0b1f334d-b5e5-4618-8a2a-d3675e62a93b_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2026-02-27T06:58:38.5533333Z",
                "first_event_time": "2026-02-27T06:55:32.6699867Z",
                "last_event_time": "2026-03-05T07:24:52.7415066Z",
                "last_update_time": "2026-03-05T07:28:04.67Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-13T10:26:21.3333333Z",
                "first_event_time": "2025-10-13T10:23:58.1472359Z",
                "last_event_time": "2025-10-13T10:25:22.714708Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 13 Oct 25 | 10:26 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-13T10:40:32.4733451Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0e3de096-1789-43ff-bb2e-6cc22e5037ad_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "DefenseEvasion",
                "threat_family_name": null,
                "title": "Suspicious registry modification",
                "description": "A suspicious process modified the registry on this device. Registry entries can be added, modified, or removed to change various settings of the system or behavior of a program. Attackers leverage this technique to gain persistence, escalate privileges, launch malicious codes, or to tamper with security products.",
                "alert_creation_time": "2026-02-27T06:58:38.7266667Z",
                "first_event_time": "2026-02-27T06:56:11.3416006Z",
                "last_event_time": "2026-03-05T07:25:30.6007486Z",
                "last_update_time": "2026-03-05T07:28:07.39Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da13c4af0a-bd35-4cb2-a556-fa972f3b80da_1",
                "incident_id": 864492,
                "investigation_id": 1779,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-02T07:26:21.22Z",
                "first_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_update_time": "2026-03-02T07:37:19.2666667Z",
                "resolved_time": "2026-03-02T07:37:19.1231428Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2052972f-7cc3-42c8-8abf-8ac490d63c35_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-07T10:25:41.1666667Z",
                "first_event_time": "2025-10-07T10:23:44.5677721Z",
                "last_event_time": "2025-10-07T10:25:10.6581007Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\ud83e\udde8 Generic Threat - APTSimulator_schedu... - Not Mitigated - Escalated\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Isolation, Stop and Quarantine File, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis)\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:27:41.3867936Z"
                    },
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage (\ud83d\udca1Triage updated \u2192 Risk Deescalated)\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:32:21.417826Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2068d331-0335-4479-9f96-e8f33db81aa9_1",
                "incident_id": 864492,
                "investigation_id": 1780,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active 'Ceprolad' malware in a command line was prevented from executing",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-05T07:26:09.89Z",
                "first_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_update_time": "2026-03-05T07:37:44.9066667Z",
                "resolved_time": "2026-03-05T07:37:44.65021Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da29243e25-be1e-47b7-9d40-e626df36345c_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Persistence",
                "threat_family_name": null,
                "title": "New group added suspiciously",
                "description": "A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.",
                "alert_creation_time": "2025-09-18T14:59:47.52Z",
                "first_event_time": "2025-09-18T14:53:30.7348596Z",
                "last_event_time": "2025-09-21T14:53:43.8093531Z",
                "last_update_time": "2025-09-21T14:56:44.5166667Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - APTSimulator_schedu... - Not Mitigated - Follow Up Required\n===================================\n\n- Title: New group added suspiciously\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Discovery: Local Groups [T1069.001]\n  * Persistence: Account Manipulation [T1098]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da29243e25-be1e-47b7-9d40-e626df36345c_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:03:43.2796289Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2be6df1c-2401-4545-8111-5f75d0fd0223_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-10-01T10:26:20.6566667Z",
                "first_event_time": "2025-10-01T10:24:19.1071611Z",
                "last_event_time": "2025-10-07T10:24:27.1065475Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - en-US.js - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 01 Oct 25 | 10:26 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2be6df1c-2401-4545-8111-5f75d0fd0223_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-01T10:30:36.462226Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da37252b75-0446-4a7b-99b4-e64886557bd3_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-09-18T14:59:46.57Z",
                "first_event_time": "2025-09-18T14:54:11.4061419Z",
                "last_event_time": "2025-09-21T14:54:00.575478Z",
                "last_update_time": "2025-09-21T14:56:36.6533333Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - wscript.exe - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da37252b75-0446-4a7b-99b4-e64886557bd3_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:06:13.2743521Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            }
        ]
    }
]

Messaggi di output

L'azione Get User Related Alerts può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned alerts related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS. No alerts were related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS. No alerts were related to the provided users in Microsoft Defender for Endpoint.	L'azione è andata a buon fine.
Error executing action "Get User Related Alerts". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get User Related Alerts:

Nome del risultato dello script	Valore
is_success	true o false

Isola macchina

Isola una macchina utilizzando Microsoft Defender for Endpoint. La macchina può essere impostata in isolamento completo o isolamento selettivo. Le applicazioni Outlook, Skype for Business e Teams continuano a funzionare su un computer in isolamento.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Tipo di isolamento	DDL	Completa Valori possibili: Completa Selettivo	Sì	Specifica il tipo di isolamento.
Commento	Stringa	N/D	Sì	Specifica un commento sul motivo per cui la macchina deve essere isolata.
Creare un insight?	Casella di controllo	Selezionata		Se attivata, l'azione crea un insight di Google SecOps con informazioni correlate se eseguita correttamente.

Casi d'uso

Isolare una macchina considerata infetta. Ad esempio, l'avviso del connettore Defender ATP è stato importato nel server Google SecOps e, durante l'analisi dell'avviso, è stato scoperto che la macchina correlata all'avviso (entità Case) potrebbe essere infetta e deve essere isolata.

Pubblica su

Questa azione viene eseguita sulle seguenti azioni:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

True se l'endpoint API ha restituito status 201 per ogni entità fornita su cui è stato eseguito, nella risposta JSON "status": "Pending", che indica che la richiesta API è stata eseguita correttamente. Se l'azione non va a buon fine per almeno una delle entità, il risultato finale deve essere un errore (False).

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Isolate",
    "requestor": "requestor-id",
    "requestorComment": "Machine Isolation due to alert ...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Insight

• Logica dell'insight: se la macchina è stata isolata utilizzando l'agente Defender ATP, crea un insight per indicarlo.
• Tipo: entità.
• Title (String): entity.
• IdentifierMessage: "Host was isolated using Microsoft Defender for Endpoint."

Elenca avvisi

Elenca gli avvisi di Microsoft Defender for Endpoint in base ai criteri di ricerca forniti. L'azione restituisce informazioni sugli avvisi trovati in una tabella e in un modulo di visualizzazione JSON come output dell'azione, insieme ai dati non elaborati degli avvisi archiviati e allegati al file JSON di output dell'azione.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Intervallo di tempo	Numero intero	3	No	Specifica un periodo di tempo in ore per il quale recuperare gli avvisi.
Stato	Stringa	Unknown, New, InProgress, Resolved	No	Specifica gli stati degli avvisi da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Gravità	Stringa	N/D	No	Specifica la gravità degli incidenti da cercare. Se non viene fornito alcun valore, l'azione cerca tutte le gravità. Il parametro accetta più valori sotto forma di stringa separata da virgole. Valori possibili: UnSpecified, Informational, Low, Medium e High
Categoria	Stringa	N/D	No	Specifica la categoria di avviso da cercare. Se non viene fornito alcun valore, le azioni cercano tutte le categorie. Il parametro accetta più valori sotto forma di stringa separata da virgole. Valori possibili: "Collection", "CommandAndControl", "CredentialAccess", "DefenseEvasion", "Discovery", "Execution", "Exfiltration", "Exploit", "InitialAccess", "LateralMovement", "Malware", "Persistence", "PrivilegeEscalation", "Ransomware", "SuspiciousActivity", "UnwantedSoftware".
ID incidente	Numero intero	N/D	No	Specifica l'ID incidente di Microsoft Defender per cui vuoi trovare gli avvisi correlati.

Casi d'uso

L'azione può essere utilizzata per esaminare gli avvisi di Defender ATP nel server Google SecOps per un utente finale. Ad esempio, quando gestisce l'avviso proveniente dal connettore Defender ATP, l'utente configura l'azione "Elenca avvisi" in modo che accetti l'ID incidente dell'avviso elaborato come parametro di input per estrarre i dettagli dal server Defender ATP. Esistono altri avvisi che fanno parte di un singolo incidente Defender ATP.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": null,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "Unexpected behavior observed by a process run with no command line arguments",
            "description": "The legitimate process by this name does not normally exhibit this behavior when run with no command line arguments. \nSuch unexpected behavior may be a result of extraneous code injected into a legitimate process, or a malicious executable masquerading as the legitimate one by name.",
            "alertCreationTime": "2019-11-19T03:56:35.3007009Z",
            "firstEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastUpdateTime": "2019-11-19T03:56:38.45Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": null,
            "comments": [],
            "alertFiles": [],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
            }
    ]
}

Indicatori di elenco

Elenca gli indicatori in Microsoft Defender for Endpoint.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Indicatori	CSV	N/D	No	Specifica un elenco separato da virgole di indicatori che vuoi recuperare.
Tipi di indicatori	CSV	FileSha1,FileSha256,FileMd5,CertificateThumbprint,IpAddress,DomainName, Url	No	Specifica un elenco separato da virgole dei tipi di indicatori che vuoi recuperare. Valori possibili: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress,DomainName, Url.
Azioni	CSV	Warn,Block,Audit,Alert,AlertAndBlock,BlockAndRemediate,Allowed	No	Specifica un elenco separato da virgole di azioni degli indicatori che vuoi utilizzare per il filtro. Valori possibili: Warn,Block,Audit,Alert, AlertAndBlock,BlockAndRemediate,Allowed
Gravità	CSV	Informational,Low,Medium,High	No	Specifica un elenco separato da virgole di gravità da utilizzare per il filtro. Valori possibili: Informational,Low,Medium,High
Numero massimo di risultati da restituire	Numero intero	50	No	Specifica il numero di indicatori da restituire.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "id": "18",
    "indicatorValue": "110e7d15b011d7fac48f2bd61114db1022197f7a",
    "indicatorType": "FileSha1",
    "action": "Audit",
    "createdBy": "45e9773c-100e-4a9f-ad37-d8e182e9ed26",
    "severity": "Informational",
    "category": 1,
    "application": "demo-test",
    "educateUrl": null,
    "bypassDurationHours": null,
    "title": "test",
    "description": "test",
    "recommendedActions": "nothing",
    "creationTimeDateTimeUtc": "2022-02-08T14:20:34.9071582Z",
    "expirationTime": null,
    "lastUpdateTime": "2022-02-08T14:20:34.9151307Z",
    "lastUpdatedBy": null,
    "rbacGroupNames": [],
    "rbacGroupIds": [],
    "notificationId": null,
    "notificationBody": null,
    "version": null,
    "mitreTechniques": [],
    "historicalDetection": false,
    "lookBackPeriod": null,
    "generateAlert": true,
    "additionalInfo": null,
    "createdByDisplayName": "Example Defender ATP",
    "externalId": null,
    "createdBySource": "PublicApi",
    "certificateInfo": null
}

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se i dati sono disponibili (is_success=true): "Indicatori trovati correttamente per i criteri forniti in Microsoft Defender for Endpoint". Se i dati non sono disponibili (is_success=false): "Non sono stati trovati indicatori per i criteri forniti in Microsoft Defender for Endpoint". L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook: Se viene segnalato un errore irreversibile, come credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca indicatori". Reason: {0}''.format(error.Stacktrace) Se viene fornito un parametro "Indicator types" non valido: "Error executing action "List Indicators". Motivo: valore non valido per il parametro "Tipi di indicatori". Valori possibili: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress, DomainName, Url. Se viene fornito un parametro "Actions" non valido: "Errore durante l'esecuzione dell'azione "Elenca indicatori". Motivo: valore non valido per il parametro "Azioni". Valori possibili: Warn, Block, Audit, Alert, AlertAndBlock, BlockAndRemediate, Allowed. Se viene fornito un parametro "Severity" non valido: "Errore durante l'esecuzione dell'azione "Elenca indicatori". Motivo: valore non valido per il parametro "Azioni". Valori possibili: Informazioni, Basso, Medio, Alto.	Generale
Tabella della bacheca casi	Indicatori trovati Tipo: indicatorType Action: action Severity: severity Description: description Title: title Recommendation: recommendedActions	Entità

Elenca macchine

Ottieni informazioni sulle macchine registrate con il server Microsoft Defender for Endpoint in base ai parametri forniti per la ricerca.

Nota: questa azione restituisce i dati di un periodo di 30 giorni e fino a 3 MB. I dati in eccesso vengono troncati. L'output dell'azione viene visualizzato in una visualizzazione tabella e in un visualizzatore JSON. L'output viene anche allegato in formato JSON come file alla bacheca della richiesta.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Periodo di tempo dell'ultimo accesso	Numero intero	N/D	No	Specifica il periodo di tempo dell'ultimo rilevamento da cercare in ore.
Nome computer	Stringa	N/D	No	Specifica il nome completo della macchina da cercare.
Indirizzo IP della macchina	Stringa	N/D	No	Specifica l'indirizzo IP della macchina da cercare.
Punteggio di rischio della macchina	Stringa	Nessuno, Basso, Medio, Alto	No	Specifica lo scoring del rischio della macchina da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Stato di integrità della macchina	Stringa	Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication	No	Specifica lo stato di integrità della macchina da cercare. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Piattaforma del sistema operativo della macchina	Stringa	N/D	No	Specifica la piattaforma del sistema operativo della macchina da cercare.
ID gruppo RBAC	Stringa	N/D	No	Specifica l'ID gruppo RBAC da cercare.

Casi d'uso

L'azione può essere utilizzata a scopo di indagine per ottenere informazioni sui dispositivi registrati sul server Defender ATP. Questa azione viene utilizzata principalmente come azione manuale, in modo che l'utente non debba tornare alla console di Defender ATP e cercare su quali macchine sta lavorando l'agente Defender ATP.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T09:59:28.0646303Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        },{
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-20T08:36:16.2721384Z",
            "lastSeen": "2019-11-20T08:36:52.7182837Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.141",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4850.17134.191",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "None",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

Dindin

Testa la connettività all'istanza di Microsoft Defender for Endpoint con i parametri forniti nella pagina di configurazione dell'integrazione.

Parametri

N/D

Casi d'uso

L'azione viene utilizzata per testare la connettività e può essere eseguita come azione manuale, che non fa parte dei playbook.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Esegui query di ricerca avanzata

Esegui la query di ricerca avanzata di Microsoft Defender for Endpoint. Tieni presente che le virgolette, le nuove righe o altri simboli speciali devono essere preceduti da un carattere di escape, ad esempio utilizza la barra rovesciata per l'escape delle virgolette.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Query	Stringa	N/D	Sì	Query di ricerca avanzata da eseguire.

Casi d'uso

L'utente può avere query di ricerca che vuole utilizzare per eseguire query sui dati raccolti in Defender ATP durante l'elaborazione di un avviso Defender specifico. Con questa azione, l'utente può eseguire queste query di ricerca avanzate.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "Stats": {
        "ExecutionTime": 0.0156652,
        "resource_usage": {
            "cache": {
                "memory": {
                    "hits": 13,
                    "misses": 0,
                    "total": 13
                },
                "disk": {
                    "hits": 0,
                    "misses": 0,
                    "total": 0
                }
            },
            "cpu": {
                "user": "00:00:00.0156250",
                "kernel": "00:00:00",
                "total cpu": "00:00:00.0156250"
            },
            "memory": {
                "peak_per_node": 33554624
            }
        },
        "dataset_statistics": [
            {
                "table_row_count": 2,
                "table_size": 60
            }
        ]
    },
    "Schema": [
        {
            "Name": "EventTime",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "EventTime": "2019-11-18T11:13:07.043128Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        },
        {
            "EventTime": "2019-11-19T03:54:14.4256361Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        }
    ]
}

Avviso: i risultati JSON dipendono dalla query. Query diverse producono risultati diversi, pertanto non è possibile fornire un esempio che corrisponda a tutte. Inoltre, poiché l'esempio JSON non può corrispondere ai risultati effettivi, devi scrivere manualmente i segnaposto in base alla query.

Esegui scansione antivirus

Avvia una scansione antivirus su un host utilizzando Microsoft Defender for Endpoint. Sono disponibili due tipi di analisi di Defender ATP: completa o rapida.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Tipo di scansione antivirus	DDL	Completa Valori possibili: Completa Rapido	Sì	Specifica se avviare una scansione antivirus completa o rapida sulla macchina.
Commento	Stringa	N/D	Sì	Specifica un commento sul motivo per cui è necessario eseguire una scansione antivirus sulla macchina.

Casi d'uso

È stato ricevuto un avviso dal connettore Defender ATP. Durante l'elaborazione dell'avviso, sono stati rilevati indicatori di compromissioni da malware sulla macchina correlata all'entità del caso Google SecOps. Per questo motivo, l'utente ha deciso di eseguire una scansione antivirus sulla macchina per cercare di trovare malware sull'host.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

True se l'endpoint API ha restituito status 201 per ogni entità fornita su cui è stato eseguito, nella risposta JSON "status": "Pending", che indica che la richiesta API è stata eseguita correttamente. Se l'azione non va a buon fine per almeno una delle entità, il risultato finale deve essere un errore (False).

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "RunAntiVirusScan",
    "requestor": "requestor_id",
    "requestorComment": "Run antivirus scan on suspect",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "lastUpdateDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Arresta e metti in quarantena un file su una macchina specifica

Interrompi l'esecuzione di un file su una macchina specifica e mettilo in quarantena utilizzando l'agente Microsoft Defender for Endpoint. L'azione funziona con le entità Google SecOps Host o IP.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Hash file SHA1 da mettere in quarantena	Stringa	N/D	Sì	Specifica l'hash del file SHA-1 del file da arrestare e mettere in quarantena. Nota:l'hash SHA-1 deve essere in minuscolo affinché l'azione trovi il file corrispondente.
Commento	Stringa	N/D	Sì	Specifica un commento sul motivo per cui è necessario eseguire una scansione antivirus sulla macchina.
Creare un insight?	Casella di controllo	Selezionata		Se attivata, l'azione creerà un insight di Google SecOps con le informazioni correlate se eseguita correttamente.

Casi d'uso

Durante l'elaborazione dell'avviso proveniente dal connettore Defender ATP, l'azione "Arresta e metti in quarantena il file" può essere utilizzata per bloccare l'esecuzione del file specifico per impedire la compromissione della macchina. La necessità di questa azione potrebbe derivare dalla ricerca avanzata e l'utente potrebbe scoprire alcuni file potenzialmente dannosi che al momento vuole bloccare su un singolo computer.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

Può essere True o False. True se l'endpoint API ha restituito per ogni entità fornita su cui è stato eseguito, stato 201, nella risposta JSON "status": "Pending", che indica che la richiesta API è stata eseguita correttamente. Se l'azione non va a buon fine per almeno una delle entità, il risultato finale deve essere un errore (False).

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "StopAndQuarantineFile",
    "requestor": "requestor-id",
    "requestorComment": "Stopping and quarantining putty",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "lastUpdateDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": {
        "fileIdentifier": "d932604ab8e9debe475415851fd26929a0c0dcd1",
        "fileIdentifierType": "Sha1"
    }
}

Insight

• Tipo: entità.
• Title (String): entity.
• IdentifierMessage (String): "File with SHA-1 Filehash {0} was stopped and quarantined on {1}". format (filehash,entity.Identifier).

Invia gli indicatori dell'entità

Invia le entità come indicatori in Microsoft Defender for Endpoint.

Nota: sono supportati solo gli hash MD5, SHA-1 e SHA256.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Azione	DDL	Blocca Valori possibili: Blocca Controlla Blocca e correggi Consenti	Sì	Specifica l'azione da applicare alle entità. Nota:il valore "Block And Remediate" è supportato solo per le entità filehash.
Gravità	DDL	Alta Valori possibili: Alta Medie Bassa Informativo	Sì	Specifica la gravità per le entità trovate.
Applicazione	Stringa	N/D	No	Specifica un'applicazione correlata alle entità.
Titolo dell'avviso dell'indicatore	Stringa	N/D	Sì	Specifica il titolo dell'avviso, se identificato nell'ambiente.
Descrizione	Stringa	Google SecOps Remediation	Sì	Specifica la descrizione delle entità.
Azione consigliata	Stringa	N/D	No	Specifica i comportamenti consigliati per la gestione delle entità.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Indirizzo IP
• URL
• Filehash

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Bacheca casi

Tipo di risultato	Valore / Descrizione	Tipo
Messaggio di output*	L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se i dati sono disponibili per un'entità (is_success = true): "Le seguenti entità sono state inviate correttamente come indicatori a Microsoft Defender for Endpoint: {entity.identifier}". Se i dati non sono disponibili per un'entità (is_success=true): "L'azione non è riuscita a inviare le seguenti entità come indicatori a Microsoft Defender for Endpoint: {entity.identifier}". Se il codice di stato 403 viene segnalato per un'entità: "L'istanza non dispone di autorizzazioni sufficienti per l'invio per le seguenti entità: {entity.identifier} Se i dati non sono disponibili per tutte le entità (is_success=false): "Nessuna delle entità fornite è stata inviata come indicatore a Microsoft Defender for Endpoint". Se un'entità è già un indicatore: "Le seguenti entità sono già indicatori in Microsoft Defender for Endpoint: {entity.identifier}" L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook: Se si verifica un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Invia indicatori entità". Reason: {0}''.format(error.Stacktrace) Se il codice di stato 403 viene segnalato per tutte le entità: "Errore durante l'esecuzione dell'azione "Invia indicatori entità". Motivo: nessuno degli indicatori è stato creato a causa delle autorizzazioni dell'istanza. Controlla la configurazione.".	Generale

Unisolate Machine

Annulla l'isolamento di una macchina precedentemente isolata utilizzando Microsoft Defender for Endpoint.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Commento	Stringa	N/D	Sì	Specifica un commento che spieghi perché la macchina deve essere deisolata.
Creare un insight?	Casella di controllo	Selezionata		Se attivata, l'azione crea un insight di Google SecOps con informazioni correlate se eseguita correttamente.

Casi d'uso

L'azione può essere utilizzata in situazioni in cui la macchina era già isolata, ma con i nuovi dati raccolti durante l'elaborazione del playbook (ad esempio, la prima macchina è stata isolata, poi abbiamo creato un indicatore di minaccia per un file sospetto e abbiamo eseguito l'azione "Arresta e metti in quarantena" per rimuovere il file dalla macchina interessata) possiamo considerare sicuro rimuovere la macchina interessata dall'isolamento.

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

• Host
• Indirizzo IP

Risultati dell'azione

Risultato dello script

True se l'endpoint API ha restituito status 201 per ogni entità fornita su cui è stato eseguito, nella risposta JSON "status": "Pending", che indica che la richiesta API è stata eseguita correttamente. Se l'azione non va a buon fine per almeno una delle entità, il risultato finale deve essere un errore (False).

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Unisolate",
    "requestor": "requestor-id",
    "requestorComment": "Unisolate machine due to the following remediation measures taken...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Insight

• Type: Entity
• Title: entità.
• IdentifierMessage: l'isolamento di Microsoft Defender for Endpoint è stato rimosso.

Aggiorna avviso

Aggiorna un avviso specifico di Microsoft Defender for Endpoint. L'azione può essere utilizzata per chiudere un avviso in Microsoft Defender for Endpoint.

Parametri

Parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID avviso	Stringa	N/D	Sì	Specifica l'ID avviso di Microsoft Defender for Endpoint da aggiornare.
Stato	DDL	Nuovo Valori possibili: Nuovo InProgress Risolto	No	Specifica lo stato dell'avviso da aggiornare.
Assegnato a	Stringa	N/D	No	Specifica i dati utente se vuoi aggiornare questo campo.
Classificazione	DDL	Sconosciuto Valori possibili: Sconosciuto FalsePositive TruePositive	No	Specifica la classificazione con cui aggiornare l'avviso.
Determinazione	DDL	NotAvailable Valori possibili: NotAvailable Apt Malware SecurityPersonnel SecurityTesting UnwantedSoftware Altro	No	Specifica la determinazione con cui aggiornare l'avviso.

Casi d'uso

• Utilizza l'azione per aggiornare un avviso di Defender ATP.

• Utilizza l'azione per intervenire in un workflow che prevede l'analisi degli avvisi di Defender ATP.

  Dopo che l'avviso è stato elaborato in Google SecOps, puoi ignorare l'avviso di Defender ATP per mantenere allineati gli elenchi di avvisi di Defender ATP e Google SecOps. Inoltre, puoi modificare l'avviso per mostrare l'avanzamento dell'analisi dell'avviso (ad esempio, impostando l'attributo assignedTo o lo stato dell'avviso su inProgress).

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts/$entity",
    "id": "example-id",
    "incidentId": 1,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Informational",
    "status": "Resolved",
    "classification": null,
    "determination": null,
    "investigationState": "UnsupportedAlertType",
    "detectionSource": "WindowsDefenderAtp",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "[Test Alert] Suspicious Powershell commandline",
    "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
    "alertCreationTime": "2019-11-18T11:17:48.287421Z",
    "firstEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastUpdateTime": "2019-11-20T04:12:03.6066667Z",
    "resolvedTime": "2019-11-20T04:12:03.4976288Z",
    "machineId": "machine-id",
    "alertUser": {
        "accountName": "Administrator",
        "domainName": "example-domain"
    },
    "comments": [],
    "alertFiles": [
        {
            "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
            "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
            "filePath": "C:\\Windows\\System32\\cmd.exe",
            "fileName": "cmd.exe"
        },
        {
            "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
            "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
            "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "fileName": "powershell.exe"
        }
    ],
    "alertDomains": [],
    "alertIps": [],
    "alertProcesses": []
}

Attendi lo stato dell'attività

Attendi lo stato di un'attività.

Parametri

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
ID attività	Stringa	N/D	Sì	Elenco di ID attività sotto forma di stringa separata da virgole.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script

Nome del risultato dello script	Opzioni di valore	Esempio
is_success	Vero/Falso	is_success:False

Risultato JSON

[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Per configurare il connettore selezionato, utilizza i parametri specifici del connettore elencati nelle seguenti tabelle:

• Parametri di configurazione del connettore Microsoft Defender ATP
• Parametri di configurazione di Microsoft Defender ATP Connector v2

Connettore Microsoft Defender ATP

Importante: questo connettore verrà ritirato completamente il 30 marzo 2027. Fino ad allora, l'assistenza è limitata alle correzioni di bug critici per i problemi di importazione; non verranno forniti nuovi aggiornamenti delle funzionalità. Utilizza invece il connettore Microsoft 365 Defender - Incidents. Tieni presente che la migrazione potrebbe richiedere modifiche ai playbook.

L'API SIEM di Defender ATP utilizzata nel connettore Microsoft Defender ATP per gli eventi è deprecata dal 1° marzo 2022.

Il connettore si connette periodicamente all'endpoint API Defender ATP e recupera un elenco di avvisi generati per un periodo di tempo specifico. Per gli avvisi elaborati, il connettore estrae le informazioni sui rilevamenti da Defender ATP in una richiesta separata. I rilevamenti hanno un campo AlertId che può essere utilizzato per associare i rilevamenti ad avvisi specifici.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome campo prodotto	Stringa	ProductName	Sì	Descrive il nome del campo in cui è memorizzato il nome del prodotto.
Nome campo evento	Stringa	AlertName	Sì	Descrive il nome del campo in cui è memorizzato il nome evento.
Nome campo ambiente	Stringa	""	No	Descrive il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente è "".
Pattern regex dell'ambiente	Stringa	.*	No	Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Il valore predefinito è .* per rilevare tutto e restituire il valore invariato. Utilizzato per consentire all'utente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Se il pattern dell'espressione regolare è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è "".
Root API	Stringa	https://api.securitycenter.windows.com	Sì	URL di base dell'API da utilizzare con l'integrazione. Per prestazioni migliori, puoi utilizzare un server più vicino alla tua posizione: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com
ID Azure Active Directory	Stringa	N/D	Sì	L'ID tenant di Microsoft Entra può essere visualizzato in Active Directory > Registrazione app > La tua applicazione > ID directory (tenant).
ID client di integrazione	Stringa	N/D	Sì	ID client (applicazione) aggiunto per la registrazione dell'app in Microsoft Entra per l'integrazione.
Client secret dell'integrazione	Password	N/D	Sì	Secret inserito per la registrazione dell'app Azure AD per l'integrazione.
ID client SIEM	Stringa	N/D	Sì	ID client (applicazione) per l'integrazione SIEM abilitata in Microsoft Defender for Endpoint.
Client secret SIEM	Password	N/D	Sì	Secret per l'integrazione SIEM abilitata in Microsoft Defender for Endpoint.
Offset temporale in ore	Numero intero	24	Sì	Recupera gli avvisi di X ore precedenti.
Numero massimo di avvisi per ciclo	Numero intero	100	Sì	Numero di avvisi elaborati durante un'esecuzione del connettore.
Stati degli avvisi da recuperare	Stringa	Unknown, New, InProgress, Resolved	Sì	Specifica gli stati degli avvisi di Defender ATP che devono essere recuperati dal server Google SecOps. Il parametro può assumere più valori sotto forma di stringa separata da virgole.
Gravità degli avvisi da recuperare	Stringa	UnSpecified, Informational, Low, Medium, High	Sì	Specifica i livelli di gravità degli avvisi di Defender ATP che devono essere recuperati dal server Google SecOps. Il parametro può assumere più valori sotto forma di stringa separata da virgole.
Indirizzo del server proxy	IP_OR_HOST	N/D	No	Server proxy da utilizzare per la connessione.
Nome utente del server proxy	Stringa	N/D	No	Nome utente del server proxy.
Password del server proxy	Password	N/D	No	Password del server proxy.

Regole del connettore

• Il connettore non supporta le regole della lista bloccata o dell'elenco dinamico.

• Il connettore supporta i proxy.

Connettore Microsoft Defender ATP V2

Importante: questo connettore verrà ritirato completamente il 30 marzo 2027. Fino ad allora, l'assistenza è limitata alle correzioni di bug critici per i problemi di importazione; non verranno forniti nuovi aggiornamenti delle funzionalità. Utilizza invece il connettore Microsoft 365 Defender - Incidents. Tieni presente che la migrazione potrebbe richiedere modifiche ai playbook.

Recupera gli avvisi di Defender ATP utilizzando l'API degli incidenti di 365 Defender per ottenere i dati sugli eventi. Utilizza l'elenco dinamico del connettore per importare solo tipi specifici di avvisi in base al valore dell'attributo detectionSource dell'avviso.

L'attributo del connettore SourceGroupIdentifier può essere utilizzato per raggruppare gli avvisi in base all'ID incidente di Defender ATP.

Prerequisiti

Prima di configurare il connettore, assicurati di concedere autorizzazioni aggiuntive alla tua applicazione Microsoft Entra:

1. Accedi al portale di Azure come amministratore degli utenti o amministratore delle password.

2. Seleziona Microsoft Entra ID.

3. Vai ad API Permissions (Autorizzazioni API) > Add a permission (Aggiungi un'autorizzazione) > APIs my organization uses (API utilizzate dalla mia organizzazione).

4. Seleziona Microsoft Threat Protection > Application permissions (Autorizzazioni applicazione).

5. Nella sezione Seleziona autorizzazioni, seleziona le seguenti autorizzazioni richieste:

   • Incident.Read.All
   • Incident.ReadWrite.All

6. Fai clic su Aggiungi autorizzazioni.

7. Fai clic su Concedi il consenso amministratore per YOUR_ORGANIZATION_NAME.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro	Tipo	Valore predefinito	Is Mandatory	Descrizione
Nome campo prodotto	Stringa	::	Sì	Descrive il nome del campo in cui è memorizzato il nome del prodotto.
Nome campo evento	Stringa	EventName	Sì	Descrive il nome del campo in cui è memorizzato il nome evento.
Nome campo ambiente	Stringa	""	No	Descrive il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente è "".
Pattern regex dell'ambiente	Stringa	.*	No	Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Il valore predefinito è .* per rilevare tutto e restituire il valore invariato. Utilizzato per consentire all'utente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Se il pattern dell'espressione regolare è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è "".
Root API Defender ATP	Stringa	https://api.securitycenter.windows.com	Sì	URL di base dell'API da utilizzare con l'integrazione Per prestazioni migliori, puoi utilizzare un server più vicino alla tua posizione: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com
Root API 365 Defender	Stringa	https://api.security.microsoft.com	Sì	Radice dell'API dell'istanza Microsoft 365 Defender utilizzata per ottenere i dati sugli eventi di Google SecOps.
ID Azure Active Directory	Stringa	N/D	Sì	ID tenant di Microsoft Entra, che si trova in Microsoft Entra > Registrazione app > La tua applicazione > ID directory (tenant).
ID client di integrazione	Stringa	N/D	Sì	ID client (applicazione) aggiunto per la registrazione dell'app in Microsoft Entra per l'integrazione.
Client secret dell'integrazione	Password	N/D	Sì	Secret inserito per la registrazione dell'app Azure AD per l'integrazione.
Verifica SSL	Casella di controllo	Selezionata	Sì	Se abilitata, verifica che il certificato SSL per la connessione al server Microsoft 365 Defender sia valido.
Offset temporale in ore	Numero intero	24	Sì	Recupera gli avvisi di X ore precedenti.
Numero massimo di avvisi per ciclo	Numero intero	10	Sì	Numero di avvisi elaborati durante un'esecuzione del connettore.
Stati degli avvisi da recuperare	Stringa	Unknown, New, InProgress, Resolved	Sì	Specifica gli stati degli avvisi di Defender ATP che devono essere recuperati dal server Google SecOps. Il parametro può assumere più valori sotto forma di stringa separata da virgole.
Gravità degli avvisi da recuperare	Stringa	UnSpecified, Informational, Low, Medium, High	Sì	Specifica i livelli di gravità degli avvisi di Defender ATP che devono essere recuperati dal server Google SecOps. Il parametro può assumere più valori sotto forma di stringa separata da virgole.
Disattiva overflow	Casella di controllo	Deselezionata	No	Se abilitato, il connettore ignora il meccanismo di overflow.
Timeout dello script	Numero intero	300	Sì	Specifica il timeout per l'esecuzione del connettore.
Utilizza la lista consentita come lista bloccata	Casella di controllo	Deselezionata	No	Se l'opzione è attiva, l'elenco dinamico viene utilizzato come lista bloccata.
Indirizzo del server proxy	IP_OR_HOST	N/D	No	Server proxy da utilizzare per la connessione.
Nome utente del server proxy	Stringa	N/D	No	Nome utente del server proxy.
Password del server proxy	Password	N/D	No	Password del server proxy.

Regole del connettore

Il connettore supporta una logica di elenco dinamico basata sul valore del campo di avviso di Defender ATP detectionSource.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.