API O365 Management

Ce document explique comment intégrer l'API Management O365 à Google SecOps.

Cas d'utilisation

Obtenez les événements d'activité de Microsoft 365.

Configurer l'API Management O365 pour qu'elle fonctionne avec Google Security Operations

Autorisation de produit

Pour en savoir plus, consultez Premiers pas avec les API de gestion Office 365.

Avant de pouvoir accéder aux données via les API Office 365 Management Activity, vous devez activer la journalisation d'audit unifiée pour votre organisation Office 365. Pour ce faire, activez le journal d'audit Office 365. Pour obtenir des instructions, consultez Activer ou désactiver l'audit.

La configuration du compte est semblable à celle des autres produits basés sur Azure (Defender, Sentinel, etc.). Vous devez enregistrer une application dans Azure Active Directory et lui accorder les autorisations suivantes :

  • Autorisations User.Read déléguées de Microsoft Graph
  • Autorisations de l'application ActivityFeed.ReadDlp à partir des API d'activité de gestion Office 365

Configurer l'intégration de l'API Management O365 dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de l'instance Chaîne N/A Non Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description Chaîne N/A Non Description de l'instance.
Racine de l'API Chaîne https://manage.office.com Oui URL racine de l'API à utiliser avec l'intégration.
ID Azure Active Directory Chaîne N/A Oui L'ID de locataire Azure Active Directory est visible dans Active Directory > Inscription d'applications > ID de l'annuaire (locataire) de l'<application que vous avez configurée pour votre intégration>. Exemple : k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Chaîne N/A Oui ID client (application) ajouté pour l'enregistrement de l'application dans Azure Active Directory pour cette intégration. Ex. : 29bf818e-0000-0000-0000-784fb644178d
Code secret du client Mot de passe N/A Non Secret saisi pour l'enregistrement de l'application Azure AD. Exemple : XF00000Qc0000000[UZSW7-0?qXb6Qx]
Vérifier le protocole SSL Case à cocher Cochée Oui Indiquez si le certificat SSL du point de terminaison de l'API distante doit être validé.
Exécuter à distance Case à cocher Décochée Non Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.
Chemin d'accès au certificat Chaîne N/A Non Si l'authentification basée sur des certificats est utilisée à la place du code secret du client, spécifiez le chemin d'accès au certificat sur le serveur Google SecOps.
Mot de passe du certificat Mot de passe N/A Non Facultatif : si le certificat est protégé par un mot de passe, spécifiez le mot de passe pour ouvrir le fichier de certificat.
URL du point de terminaison de connexion OAUTH2 Chaîne https://login.microsoftonline.com Oui Spécifiez le connecteur d'URL à utiliser pour l'URL du point de terminaison de connexion OAUTH2.

Actions

Ping

Description

Testez la connectivité au service de l'API Management O365 avec les paramètres fournis sur la page de configuration de l'intégration dans la page du hub de contenus Google SecOps.

Paramètres

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • Si l'opération réussit, affichez "Successfully connected to the O365 Management API with the provided connection parameters!" (Connexion à l'API Management O365 établie avec les paramètres de connexion fournis).

L'action doit échouer et arrêter l'exécution d'un playbook :

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to the O365 API Management! Error is {0}".format(exception.stacktrace)
 Général

Souscrire un abonnement

Description

Démarrez un abonnement à un type de contenu de l'API Management Office 365 choisi.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Souscrire un abonnement pour LDD Sélectionnez le type de contenu, Audit.General Oui Spécifiez le type de contenu pour lequel démarrer un abonnement.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • if successful: print "Successfully created O365 API Management subscription for the {0} content type!".format(content_type)

L'action doit échouer et arrêter l'exécution d'un playbook :

  • if critical error, like wrong credentials or lost connectivity: print "Failed to execute command! Error is {0}".format(exception.stacktrace)
 Général

Arrêter un abonnement

Description

Arrêtez un abonnement à un type de contenu d'API Office 365 Management choisi.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Arrêter un abonnement pour LDD Sélectionnez le type de contenu, Audit.General Oui Spécifiez pour quel type de contenu vous souhaitez arrêter un abonnement.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success:False
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • if successful: print "Successfully stopped O365 API Management subscription for the {0} content type!".format(content_type)

L'action doit échouer et arrêter l'exécution d'un playbook :

  • if critical error, like wrong credentials or lost connectivity: print "Failed to connect to execute command! Error is {0}".format(exception.stacktrace)
 Général

Connecteurs

Configurer les connecteurs de l'API Office 365 Management dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Pour configurer le connecteur sélectionné, utilisez les paramètres spécifiques au connecteur listés dans les tableaux suivants :

Connecteur d'événements DLP de l'API de gestion Office 365

Description

Récupérez les événements DLP à partir de l'API Management Office 365.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne Nom du produit Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne Opération Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://manage.office.com Oui URL racine de l'API à utiliser avec l'intégration.
ID Azure Active Directory Chaîne N/A Oui L'ID de locataire Azure Active Directory est visible dans Active Directory > Inscription d'applications > ID de l'annuaire (locataire) de l'<application que vous avez configurée pour votre intégration>. Exemple : k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Chaîne N/A Oui ID client (application) ajouté pour l'enregistrement de l'application dans Azure Active Directory pour cette intégration. Exemple : 29bf818e-0000-0000-0000-784fb644178d
Code secret du client Mot de passe N/A Non Secret saisi pour l'enregistrement de l'application Azure AD. Exemple : XF00000Qc0000000[UZSW7-0?qXb6Qx]
Vérifier le protocole SSL Case à cocher Cochée Oui Indiquez si le certificat SSL du point de terminaison de l'API distante doit être validé.
Type de filtre d'opération Chaîne N/A Non Les types d'opérations suivants sont disponibles pour les événements de protection contre la perte de données : DlpRuleMatch, DlpRuleUndo, DlpInfo. Le paramètre fonctionne comme une liste de blocage. Par défaut, si rien n'est spécifié dans ce paramètre, tous les types d'opérations possibles sont ingérés. Si un type d'opération est spécifié dans ce paramètre, l'événement associé à ce type d'opération ne sera pas ingéré. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par des virgules.
Type de filtre de règle Chaîne N/A Non Le paramètre peut être utilisé pour spécifier le nom de la règle qui, s'il est présent dans l'événement, empêchera l'ingestion de l'événement. Le paramètre fonctionne comme une liste de blocage. Par défaut, si rien n'est spécifié, tous les types de règles possibles sont ingérés. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par des virgules.
Masquer les résultats ? Case à cocher Décochée Non Indiquez si le connecteur doit masquer les résultats sensibles qui ont déclenché des correspondances avec des règles de protection contre la perte de données.
Nombre maximal d'événements à récupérer Integer 50 Oui Nombre d'événements à traiter par itération de connecteur.
Récupérer le nombre maximal d'heures en arrière Integer 8 Oui Nombre d'heures dans le passé à partir desquelles récupérer les événements. Notez que l'API Management O365 permet de renvoyer les événements des sept derniers jours, mais pas plus anciens.
Intervalle de temps de récupération vers l'arrière (minutes) Integer 240 Oui Intervalle de temps que le connecteur doit utiliser pour récupérer les événements à partir d'un nombre maximal d'heures en arrière. Si le locataire O365 est occupé, il peut renvoyer un grand nombre de blobs d'événements. Par conséquent, ce paramètre en minutes peut être utilisé pour diviser le nombre maximal d'heures en arrière en segments plus petits et les traiter individuellement. L'intervalle de temps ne peut pas dépasser 24 heures au total.
Période de marge des événements (minutes) Integer 60 Oui "Event Padding Period in minutes" (Période de marge d'événement en minutes) spécifie un intervalle de temps minimal que le connecteur utilisera pour vérifier les nouveaux événements.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Adresse du serveur proxy Chaîne Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe Non Mot de passe du proxy pour l'authentification.
Chemin d'accès au certificat Chaîne Non Si l'authentification basée sur des certificats est utilisée à la place du code secret du client, spécifiez le chemin d'accès au certificat sur le serveur Google SecOps.
Mot de passe du certificat Mot de passe Non Facultatif : si le certificat est protégé par un mot de passe, spécifiez le mot de passe pour ouvrir le fichier de certificat.
URL du point de terminaison de connexion OAUTH2 Chaîne https://login.microsoftonline.com Oui Spécifiez l'URL que le connecteur doit utiliser pour l'URL du point de terminaison de connexion OAUTH2.

Règles du connecteur

Liste blanche / Liste noire

Le connecteur est compatible avec les listes d'autorisation et de blocage.

Assistance de proxy

Le connecteur est compatible avec les proxys.

Connecteur d'événements généraux d'audit de l'API de gestion Office 365

Description

Récupérez les événements Audit.General à partir de l'API Office 365 Management. Veuillez d'abord vous assurer que vous avez activé l'abonnement pour les événements Audit.General en exécutant l'action "Démarrer un abonnement".

Pour le connecteur d'événements généraux d'audit de l'API Office 365 Management, les autorisations suivantes sont requises :

  • Autorisations déléguées User.Read, email et profile de Microsoft Graph
  • Autorisations d'application ActivityFeed.ReadDlp et ActivityFeed.Read des API d'activité de gestion Office 365

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne Nom du produit Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne Opération Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
Délai avant expiration du script (en secondes) Entier 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Chaîne https://manage.office.com Oui URL racine de l'API à utiliser avec l'intégration.
ID Azure Active Directory Chaîne N/A Oui L'ID de locataire Azure Active Directory est visible dans Active Directory > Inscription d'applications > ID de l'annuaire (locataire) de l'<application que vous avez configurée pour votre intégration>. Exemple : k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Chaîne N/A Oui ID client (application) ajouté pour l'enregistrement de l'application dans Azure Active Directory pour cette intégration. Exemple : 29bf818e-0000-0000-0000-784fb644178d
Code secret du client Mot de passe N/A Non Secret saisi pour l'enregistrement de l'application Azure AD. Exemple : XF00000Qc0000000[UZSW7-0?qXb6Qx]
Chemin d'accès au certificat Chaîne N/A Non Si l'authentification basée sur des certificats est utilisée à la place du code secret du client, spécifiez le chemin d'accès au certificat sur le serveur Google SecOps.
Mot de passe du certificat Mot de passe N/A Non Facultatif : si le certificat est protégé par un mot de passe, spécifiez le mot de passe pour ouvrir le fichier de certificat.
URL du point de terminaison de connexion OAUTH2 Chaîne https://login.microsoftonline.com Non Spécifiez l'URL que le connecteur doit utiliser pour l'URL du point de terminaison de connexion OAUTH2.
Vérifier le protocole SSL Case à cocher Cochée Oui Indiquez si le certificat SSL du point de terminaison de l'API distante doit être validé.
Type de filtre d'opération Chaîne N/A Non Le schéma audit.general peut contenir différents types d'opérations : SearchAirBatch, SearchCustomTag, etc. Par défaut, si rien n'est spécifié dans ce paramètre, tous les types d'opérations possibles sont ingérés. Si le type d'opération est spécifié dans ce paramètre, l'événement avec ce type d'opération ne sera pas ingéré. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par des virgules.
Filtrage par état Chaîne N/A Non Ce paramètre peut être utilisé pour spécifier l'état qui, s'il est présent dans l'événement, empêchera l'ingestion de l'événement. Le paramètre fonctionne comme une liste de blocage. Par défaut, si rien n'est spécifié, tous les types d'état possibles sont ingérés. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par des virgules.
Utiliser les filtres d'opération et d'état comme liste d'autorisation Case à cocher Décochée Oui Si cette option est activée, les filtres d'opération et d'état fonctionnent comme une liste d'autorisation. Par défaut, il s'agit d'une liste de blocage.
Clés d'entité pour créer des événements supplémentaires CSV N/A Non Spécifiez les clés qui, si elles sont présentes dans la section "Audit.General entities" des données, doivent être utilisées pour créer un événement Google SecOps supplémentaire.
Nombre maximal d'événements à récupérer Integer 50 Oui Nombre d'événements à traiter par itération de connecteur.
Récupérer le nombre maximal d'heures en arrière Integer 8 Oui Nombre d'heures dans le passé à partir desquelles récupérer les événements. Notez que l'API Management O365 permet de renvoyer les événements des sept derniers jours, mais pas plus anciens.
Intervalle de temps de récupération vers l'arrière (minutes) Integer 240 Oui Intervalle de temps que le connecteur doit utiliser pour récupérer les événements à partir d'un nombre maximal d'heures en arrière. Si le locataire O365 est occupé, il peut renvoyer un grand nombre de blobs d'événements. Par conséquent, ce paramètre en minutes peut être utilisé pour diviser le nombre maximal d'heures en arrière en segments plus petits et les traiter individuellement. L'intervalle de temps ne peut pas dépasser 24 heures au total.
Période de marge des événements (minutes) Integer 60 Oui "Event Padding Period in minutes" (Période de marge d'événement en minutes) spécifie un intervalle de temps minimal que le connecteur utilisera pour vérifier les nouveaux événements.
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste d'autorisation sera utilisée comme liste de blocage.
Adresse du serveur proxy Chaîne Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Liste blanche / Liste noire

Le connecteur est compatible avec les listes d'autorisation et de blocage.

Assistance de proxy

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.