O365 Management API

In diesem Dokument wird beschrieben, wie Sie die O365 Management API in Google SecOps einbinden.

Anwendungsbereiche

Aktivitätsereignisse von Microsoft 365 abrufen

O365 Management API für die Verwendung mit Google Security Operations konfigurieren

Produktberechtigung

Weitere Informationen finden Sie unter Erste Schritte mit Office 365-Verwaltungs-APIs.

Bevor Sie über die Office 365 Management Activity APIs auf Daten zugreifen können, müssen Sie das einheitliche Audit-Logging für Ihre Office 365-Organisation aktivieren. Dazu aktivieren Sie das Office 365-Audit-Log. Eine Anleitung finden Sie unter Audit aktivieren oder deaktivieren.

Die Kontokonfiguration ist ähnlich wie bei anderen Azure-basierten Produkten (Defender, Sentinel usw.). Sie müssen eine App in Azure Active Directory registrieren und ihr die folgenden Berechtigungen erteilen:

  • Delegierte User.Read-Berechtigungen von Microsoft Graph
  • Anwendungsberechtigungen für ActivityFeed.ReadDlp von Office 365 Management Activity APIs

O365 Management API-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
API-Stamm String https://manage.office.com Ja API-Stamm-URL, die mit der Integration verwendet werden soll.
Azure Active Directory-ID String – Ja Azure Active Directory-Mandanten-ID, die Sie unter „Active Directory“ > „App-Registrierung“ > „<Anwendung, die Sie für Ihre Integration konfiguriert haben>“ > „Verzeichnis-ID (Mandant)“ finden. Beispiel: k48f52ca-0000-4708-8ed0-0000a20a40a
Client-ID String – Ja Client-ID (Anwendungs-ID), die für die App-Registrierung in Azure Active Directory für diese Integration hinzugefügt wurde. Beispiel: 29bf818e-0000-0000-0000-784fb644178d
Clientschlüssel Passwort – Nein Secret, das für die Registrierung der Azure AD-Anwendung eingegeben wurde. Beispiel: XF00000Qc0000000[UZSW7-0?qXb6Qx]
SSL überprüfen Kästchen Aktiviert Ja Geben Sie an, ob das SSL-Zertifikat des Remote-API-Endpunkt validiert werden soll.
Remote ausführen Kästchen Deaktiviert Nein Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.
Pfad zum Zertifikat String – Nein Wenn die Authentifizierung auf Zertifikaten statt auf einem Clientschlüssel basiert, geben Sie den Pfad zum Zertifikat auf dem Google SecOps-Server an.
Zertifikatspasswort Passwort – Nein Optional: Wenn das Zertifikat passwortgeschützt ist, geben Sie das Passwort zum Öffnen der Zertifikatsdatei an.
URL des OAUTH2-Anmelde-Endpunkts String https://login.microsoftonline.com Ja Geben Sie den URL-Connector an, der für die OAUTH2-Anmelde-Endpunkt-URL verwendet werden soll.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zum O365 Management API-Dienst mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

  • if successful: print "Successfully connected to the O365 Management API with the provided connection parameters!"

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the O365 Management API! Error is {0}".format(exception.stacktrace)
 Allgemein

Abo starten

Beschreibung

Abo für einen ausgewählten Inhaltstyp der Office 365 Management API starten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abo starten für DDL Inhaltstyp auswählen, Audit.General Ja Geben Sie an, für welchen Inhaltstyp ein Abo gestartet werden soll.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

  • if successful: print "Successfully created O365 Management API subscription for the {0} content type!".format(content_type)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

  • if critical error, like wrong credentials or lost connectivity: print "Failed to execute command! Error is {0}".format(exception.stacktrace)
 Allgemein

Abo beenden

Beschreibung

Abo für einen ausgewählten Inhaltstyp der Office 365 Management API beenden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist Obligatorisch Beschreibung
Abo beenden für DDL Inhaltstyp auswählen, Audit.General Ja Geben Sie an, für welchen Inhaltstyp ein Abo beendet werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

  • if successful: print "Successfully stopped O365 Management API subscription for the {0} content type!".format(content_type)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to execute command! Error is {0}".format(exception.stacktrace)
 Allgemein

Connectors

Office 365 Management API-Connectors in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Verwenden Sie zum Konfigurieren des ausgewählten Connectors die in den folgenden Tabellen aufgeführten connectorspezifischen Parameter:

Office 365 Management API DLP Events Connector

Beschreibung

DLP-Ereignisse aus der Office 365 Management API abrufen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Vorgang Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://manage.office.com Ja API-Stamm-URL, die mit der Integration verwendet werden soll.
Azure Active Directory-ID String – Ja Azure Active Directory-Mandanten-ID, die Sie unter „Active Directory“ > „App-Registrierung“ > „<Anwendung, die Sie für Ihre Integration konfiguriert haben>“ > „Verzeichnis-ID (Mandant)“ finden. Beispiel: k48f52ca-0000-4708-8ed0-0000a20a40a
Client-ID String – Ja Client-ID (Anwendungs-ID), die für die App-Registrierung in Azure Active Directory für diese Integration hinzugefügt wurde. Beispiel: 29bf818e-0000-0000-0000-784fb644178d
Clientschlüssel Passwort – Nein Secret, das für die Registrierung der Azure AD-Anwendung eingegeben wurde. Beispiel: XF00000Qc0000000[UZSW7-0?qXb6Qx]
SSL überprüfen Kästchen Aktiviert Ja Geben Sie an, ob das SSL-Zertifikat des Remote-API-Endpunkt validiert werden soll.
Filter für Vorgangstyp String – Nein Für DLP-Ereignisse sind die folgenden Vorgangstypen verfügbar: DlpRuleMatch, DlpRuleUndo, DlpInfo. Der Parameter funktioniert als Sperrliste. Wenn für diesen Parameter nichts angegeben ist, werden standardmäßig alle möglichen Vorgangstypen aufgenommen. Wenn der Vorgangstyp in diesem Parameter angegeben ist, wird das Ereignis mit diesem Vorgangstyp nicht aufgenommen. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Typ des Richtlinienfilters String – Nein Mit dem Parameter kann ein Richtlinienname angegeben werden. Wenn dieser im Ereignis vorhanden ist, wird das Ereignis nicht aufgenommen. Der Parameter funktioniert als Sperrliste. Standardmäßig werden alle möglichen Richtlinientypen aufgenommen, wenn nichts angegeben ist. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Ergebnisse maskieren? Kästchen Deaktiviert Nein Geben Sie an, ob der Connector vertrauliche Ergebnisse maskieren soll, die Treffer bei DLP-Richtlinien ausgelöst haben.
Maximale Anzahl von Ereignissen, die abgerufen werden sollen Ganzzahl 50 Ja Wie viele Ereignisse pro Connector-Iteration verarbeitet werden sollen.
Maximale Anzahl von Stunden rückwärts abrufen Ganzzahl 8 Ja Anzahl der Stunden, für die Ereignisse abgerufen werden sollen. Beachten Sie, dass die O365 Management API nur Ereignisse der letzten 7 Tage zurückgibt.
Zeitintervall für das Abrufen rückwärts (Minuten) Ganzzahl 240 Ja Zeitintervall, das der Connector verwenden soll, um Ereignisse aus maximal x Stunden rückwärts abzurufen. Wenn der O365-Mandant ausgelastet ist, werden möglicherweise viele Ereignis-Blobs zurückgegeben. Daher kann dieser Parameter in Minuten verwendet werden, um die maximale Anzahl von Stunden rückwärts in kleinere Segmente aufzuteilen und diese einzeln zu verarbeiten. Das Zeitintervall darf insgesamt nicht länger als 24 Stunden sein.
Zeitraum für Ereignis-Padding (Minuten) Ganzzahl 60 Ja Der Zeitraum für die Ereignis-Padding-Periode in Minuten gibt ein Mindestzeitintervall an, das vom Connector verwendet wird, um neue Ereignisse zu prüfen.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
Proxyserveradresse String Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort Nein Das Proxy-Passwort für die Authentifizierung.
Pfad zum Zertifikat String Nein Wenn die Authentifizierung auf Zertifikaten statt auf einem Clientschlüssel basiert, geben Sie den Pfad zum Zertifikat auf dem Google SecOps-Server an.
Zertifikatspasswort Passwort Nein Optional: Wenn das Zertifikat passwortgeschützt ist, geben Sie das Passwort zum Öffnen der Zertifikatsdatei an.
URL des OAUTH2-Anmelde-Endpunkts String https://login.microsoftonline.com Ja Geben Sie die URL an, die der Connector für die OAUTH2-Anmelde-Endpunkt-URL verwenden soll.

Connector-Regeln

Zulassungsliste / Sperrliste

Der Connector unterstützt Zulassungs- und Sperrlisten.

Proxyunterstützung.

Der Connector unterstützt Proxys.

Office 365 Management API Audit General Events Connector

Beschreibung

Rufen Sie Audit.General-Ereignisse aus der Office 365 Management API ab. Achten Sie darauf, dass Sie zuerst das Abo für Audit.General-Ereignisse aktivieren, indem Sie die Aktion „Abo starten“ ausführen.

Für den Connector „Office 365 Management API Audit General Events“ sind die folgenden Berechtigungen erforderlich:

  • Delegierte Berechtigungen „User.Read“, „email“ und „profile“ von Microsoft Graph
  • Anwendungsberechtigungen ActivityFeed.ReadDlp und ActivityFeed.Read von Office 365 Management Activity APIs

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Vorgang Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://manage.office.com Ja API-Stamm-URL, die mit der Integration verwendet werden soll.
Azure Active Directory-ID String – Ja Azure Active Directory-Mandanten-ID, die Sie unter „Active Directory“ > „App-Registrierung“ > „<Anwendung, die Sie für Ihre Integration konfiguriert haben>“ > „Verzeichnis-ID (Mandant)“ finden. Beispiel: k48f52ca-0000-4708-8ed0-0000a20a40a
Client-ID String – Ja Client-ID (Anwendungs-ID), die für die App-Registrierung in Azure Active Directory für diese Integration hinzugefügt wurde. Beispiel: 29bf818e-0000-0000-0000-784fb644178d
Clientschlüssel Passwort – Nein Secret, das für die Registrierung der Azure AD-Anwendung eingegeben wurde. Beispiel: XF00000Qc0000000[UZSW7-0?qXb6Qx]
Pfad zum Zertifikat String – Nein Wenn die Authentifizierung auf Zertifikaten statt auf einem Clientschlüssel basiert, geben Sie den Pfad zum Zertifikat auf dem Google SecOps-Server an.
Zertifikatspasswort Passwort – Nein Optional: Wenn das Zertifikat passwortgeschützt ist, geben Sie das Passwort zum Öffnen der Zertifikatsdatei an.
URL des OAUTH2-Anmelde-Endpunkts String https://login.microsoftonline.com Nein Geben Sie die URL an, die der Connector für die OAUTH2-Anmelde-Endpunkt-URL verwenden soll.
SSL überprüfen Kästchen Aktiviert Ja Geben Sie an, ob das SSL-Zertifikat des Remote-API-Endpunkt validiert werden soll.
Filter für Vorgangstyp String – Nein Im Schema „audit.general“ kann es verschiedene Vorgangstypen geben:SearchAirBatch, SearchCustomTag usw. Wenn für diesen Parameter nichts angegeben ist, werden standardmäßig alle möglichen Vorgangstypen aufgenommen. Wenn der Vorgangstyp in diesem Parameter angegeben ist, wird das Ereignis mit diesem Vorgangstyp nicht aufgenommen. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Statusfilter String – Nein Mit dem Parameter kann ein Status angegeben werden, bei dessen Vorhandensein im Ereignis das Ereignis nicht aufgenommen wird. Der Parameter funktioniert als Sperrliste. Wenn nichts angegeben ist, werden standardmäßig alle möglichen Statustypen aufgenommen. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Vorgangs- und Statusfilter als Zulassungsliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, funktionieren Vorgangs- und Statusfilter als Zulassungsliste. Standardmäßig ist es eine Sperrliste.
Entitätsschlüssel zum Erstellen zusätzlicher Ereignisse CSV – Nein Geben Sie Schlüssel an, die, wenn sie im Abschnitt „Audit.General“ der Daten gefunden werden, dazu führen, dass der zugehörige Unterabschnitt verwendet wird, um ein zusätzliches Google SecOps-Ereignis zu erstellen.
Maximale Anzahl der abzurufenden Ereignisse Ganzzahl 50 Ja Wie viele Ereignisse pro Connector-Iteration verarbeitet werden sollen.
Maximale Anzahl von Stunden rückwärts abrufen Ganzzahl 8 Ja Anzahl der Stunden, für die Ereignisse abgerufen werden sollen. Beachten Sie, dass die O365 Management API nur Ereignisse der letzten 7 Tage zurückgibt.
Zeitintervall für das Abrufen rückwärts (Minuten) Ganzzahl 240 Ja Zeitintervall, das der Connector verwenden soll, um Ereignisse aus maximal x Stunden rückwärts abzurufen. Wenn der O365-Mandant ausgelastet ist, werden möglicherweise viele Ereignis-Blobs zurückgegeben. Daher kann dieser Parameter in Minuten verwendet werden, um die maximale Anzahl von Stunden rückwärts in kleinere Segmente aufzuteilen und diese einzeln zu verarbeiten. Das Zeitintervall darf insgesamt nicht länger als 24 Stunden sein.
Zeitraum für Ereignis-Padding (Minuten) Ganzzahl 60 Ja Der Zeitraum für die Ereignis-Padding-Periode in Minuten gibt ein Mindestzeitintervall an, das vom Connector verwendet wird, um neue Ereignisse zu prüfen.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
Proxyserveradresse String Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Zulassungsliste / Sperrliste

Der Connector unterstützt Zulassungs- und Sperrlisten.

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten