O365 Management API

במאמר הזה מוסבר איך לשלב את O365 Management API עם Google SecOps.

תרחישים לדוגמה

לקבל אירועי פעילות מ-Microsoft 365.

הגדרת O365 Management API לעבודה עם Google Security Operations

הרשאת מוצר

מידע נוסף זמין במאמר תחילת השימוש בממשקי ה-API לניהול של Office 365.

כדי לגשת לנתונים דרך ממשקי ה-API של Office 365 Management Activity, צריך להפעיל רישום מאוחד ביומן הביקורת בארגון ב-Office 365. כדי לעשות את זה, צריך להפעיל את יומן הביקורת של Office 365. הוראות מופיעות במאמר בנושא הפעלה או השבתה של ביקורת.

הגדרת החשבון דומה למוצרים אחרים שמבוססים על Azure (כמו Defender,‏ Sentinel וכו'). צריך לרשום אפליקציה ב-Azure Active Directory ולתת לה את ההרשאות הבאות:

  • ההרשאות של User.Read הועברו מ-Microsoft Graph
  • הרשאות לאפליקציה ActivityFeed.ReadDlp מממשקי API של פעילות ניהול ב-Office 365

הגדרת השילוב של O365 Management API ב-Google SecOps

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
הרמה הבסיסית (root) של ה-API String https://manage.office.com כן כתובת ה-URL הבסיסית של ה-API שמשמשת לשילוב.
מזהה Azure Active Directory String לא רלוונטי כן מזהה הדייר (tenant) ב-Azure Active Directory, שאפשר לראות ב-Active Directory > רישום אפליקציה > מזהה הספרייה (דייר) של <האפליקציה שהגדרתם לשילוב>. דוגמה: k48f52ca-0000-4708-8ed0-0000a20a40a
מזהה לקוח String לא רלוונטי כן מזהה הלקוח (האפליקציה) שנוסף לרישום האפליקציה ב-Azure Active Directory בשביל השילוב הזה. לדוגמה, 29bf818e-0000-0000-0000-784fb644178d
סוד לקוח סיסמה לא רלוונטי לא הסוד שהוזן לרישום האפליקציה ב-Azure AD. דוגמה: XF00000Qc0000000[UZSW7-0?qXb6Qx]
אימות SSL תיבת סימון סימן אישור כן ההגדרה קובעת אם לאמת את אישור ה-SSL של נקודת קצה ל-API מרוחקת.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).
נתיב האישור String לא רלוונטי לא אם משתמשים באימות שמבוסס על אישורים במקום בסוד לקוח, צריך לציין את הנתיב לאישור בשרת Google SecOps.
סיסמת האישור סיסמה לא רלוונטי לא אם האישור מוגן בסיסמה, צריך לציין את הסיסמה כדי לפתוח את קובץ האישור.
כתובת ה-URL של נקודת הקצה להתחברות ל-OAUTH2 String https://login.microsoftonline.com כן צריך לציין את מחבר כתובת ה-URL שבו צריך להשתמש בכתובת ה-URL של נקודת הקצה לכניסה באמצעות OAUTH2.

פעולות

פינג

תיאור

בודקים את הקישוריות לשירות O365 Management API באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
הפעולה בוצעה נכון/לא נכון success:False
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם החיבור הצליח: מדפיסים את ההודעה "Successfully connected to the O365 Management API with the provided connection parameters!‎"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם יש שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: מדפיסים את ההודעה "Failed to connect to the O365 Management API!‎ השגיאה היא {0}".format(exception.stacktrace)
 כללי

הפעלת מינוי

תיאור

מתחילים מינוי לסוג תוכן נבחר של Office 365 Management API.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
הפעלת מינוי עבור DDL בחירת סוג התוכן, Audit.General כן מציינים לאיזה סוג תוכן רוצים להירשם.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • if successful: print "Successfully created O365 Management API subscription for the {0} content type!".format(content_type)‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם יש שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: מדפיסים את ההודעה "Failed to execute command!‎ השגיאה היא {0}".format(exception.stacktrace)
 כללי

הפסקת מינוי

תיאור

הפסקת מינוי לסוג תוכן נבחר של Office 365 Management API.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
הפסקת המינוי של DDL בחירת סוג התוכן, Audit.General כן ציינו לאיזה סוג תוכן אתם רוצים להפסיק את המינוי.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • if successful: print "Successfully stopped O365 Management API subscription for the {0} content type!".format(content_type)‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם יש שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: מדפיסים את ההודעה "Failed to connect to execute command!‎ השגיאה היא {0}".format(exception.stacktrace)
 כללי

מחברים

הגדרת מחברים של Office 365 Management API ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

כדי להגדיר את המחבר שנבחר, משתמשים בפרמטרים הספציפיים למחבר שמפורטים בטבלאות הבאות:

Office 365 Management API DLP Events Connector

תיאור

אחזור אירועי DLP מ-Office 365 Management API.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String פעולה כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://manage.office.com כן כתובת ה-URL הבסיסית של ה-API שמשמשת לשילוב.
מזהה Azure Active Directory String לא רלוונטי כן מזהה הדייר (tenant) ב-Azure Active Directory, שאפשר לראות ב-Active Directory > רישום אפליקציה > מזהה הספרייה (דייר) של <האפליקציה שהגדרתם לשילוב>. דוגמה: k48f52ca-0000-4708-8ed0-0000a20a40a
מזהה לקוח String לא רלוונטי כן מזהה הלקוח (האפליקציה) שנוסף לרישום האפליקציה ב-Azure Active Directory בשביל השילוב הזה. דוגמה: 29bf818e-0000-0000-0000-784fb644178d
סוד לקוח סיסמה לא רלוונטי לא הסוד שהוזן לרישום האפליקציה ב-Azure AD. דוגמה: XF00000Qc0000000[UZSW7-0?qXb6Qx]
אימות SSL תיבת סימון סימן אישור כן ההגדרה קובעת אם לאמת את אישור ה-SSL של נקודת קצה ל-API מרוחקת.
מסנן סוג הפעולה String לא רלוונטי לא סוגי הפעולות הבאים זמינים לאירועי DLP‏: DlpRuleMatch, ‏ DlpRuleUndo, ‏ DlpInfo. הפרמטר פועל כרשימת חסימה. כברירת מחדל, אם לא מצוין דבר בפרמטר הזה – המערכת מטמיעה את כל סוגי הפעולות האפשריים. אם סוג הפעולה מצוין בפרמטר הזה, אירוע עם סוג הפעולה הזה לא יוטמע. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
סוג מסנן המדיניות String לא רלוונטי לא אפשר להשתמש בפרמטר כדי לציין שם מדיניות. אם השם הזה קיים באירוע, האירוע לא יוטמע. הפרמטר פועל כרשימת חסימה. כברירת מחדל, אם לא צוין דבר – המערכת מטמיעה את כל סוגי המדיניות האפשריים. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
להסתיר את הממצאים? תיבת סימון התיבה לא מסומנת לא מציינים אם המחבר צריך להסתיר ממצאים רגישים שהפעילו פגיעות במדיניות DLP.
מספר האירועים המקסימלי לאחזור מספר שלם 50 כן כמה אירועים לעבד בכל איטרציה של מחבר.
אחזור שעות מקסימליות אחורה מספר שלם 8 כן מספר השעות שמהן צריך לאחזר אירועים. חשוב לדעת: Management API של O365 מאפשר להחזיר אירועים מ-7 הימים האחרונים, לא יותר.
מרווח הזמן לאחזור לאחור (בדקות) מספר שלם 240 כן מרווח הזמן שהמחבר צריך להשתמש בו כדי לאחזר אירועים ממספר השעות המקסימלי לאחור. אם הדייר ב-O365 עסוק, יכול להיות שהוא יחזיר הרבה אובייקטים גדולים של אירועים. לכן, אפשר להשתמש בפרמטר הזה בדקות כדי לפצל את מספר השעות המקסימלי לאחור לפלחים קטנים יותר ולעבד אותם בנפרד. מרווח הזמן לא יכול להיות ארוך יותר מ-24 שעות בסך הכול.
תקופת ריפוד לאירועים (דקות) מספר שלם 60 כן תקופת הריפוד של האירוע בדקות מציינת את מרווח הזמן המינימלי שבו המחבר ישתמש כדי לבדוק אירועים חדשים.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
כתובת שרת ה-Proxy String לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא הסיסמה לאימות מול שרת ה-proxy.
נתיב האישור String לא אם משתמשים באימות שמבוסס על אישורים במקום בסוד לקוח, צריך לציין את הנתיב לאישור בשרת Google SecOps.
סיסמת האישור סיסמה לא אם האישור מוגן בסיסמה, צריך לציין את הסיסמה כדי לפתוח את קובץ האישור.
כתובת ה-URL של נקודת הקצה להתחברות ל-OAUTH2 String https://login.microsoftonline.com כן צריך לציין את כתובת ה-URL של נקודת הקצה להתחברות באמצעות OAUTH2 שהמחבר צריך להשתמש בה

כללי מחברים

רשימת היתרים / רשימת חסימה

המחבר תומך ברשימת היתרים וברשימת חסימה.

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

מחבר לאירועים כלליים של ביקורת ב-Office 365 Management API

תיאור

אחזור אירועים מסוג Audit.General מ-Office 365 Management API. קודם כל, צריך לוודא שהפעלתם את המינוי לאירועים מסוג Audit.General על ידי הפעלת הפעולה "התחלת מינוי".

ל-Office 365 Management API Audit General Events Connector נדרשות ההרשאות הבאות:

  • הרשאות User.Read,‏ email ו-profile שהוקצו מ-Microsoft Graph
  • הרשאות ActivityFeed.ReadDlp ו-ActivityFeed.Read לאפליקציה מממשקי API של פעילות ניהול ב-Office 365

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String פעולה כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://manage.office.com כן כתובת ה-URL הבסיסית של ה-API שמשמשת לשילוב.
מזהה Azure Active Directory String לא רלוונטי כן מזהה הדייר (tenant) ב-Azure Active Directory, שאפשר לראות ב-Active Directory > רישום אפליקציה > מזהה הספרייה (דייר) של <האפליקציה שהגדרתם לשילוב>. דוגמה: k48f52ca-0000-4708-8ed0-0000a20a40a
מזהה לקוח String לא רלוונטי כן מזהה הלקוח (האפליקציה) שנוסף לרישום האפליקציה ב-Azure Active Directory בשביל השילוב הזה. דוגמה: 29bf818e-0000-0000-0000-784fb644178d
סוד לקוח סיסמה לא רלוונטי לא הסוד שהוזן לרישום האפליקציה ב-Azure AD. דוגמה: XF00000Qc0000000[UZSW7-0?qXb6Qx]
נתיב האישור String לא רלוונטי לא אם משתמשים באימות שמבוסס על אישורים במקום בסוד לקוח, צריך לציין את הנתיב לאישור בשרת Google SecOps.
סיסמת האישור סיסמה לא רלוונטי לא אם האישור מוגן בסיסמה, צריך לציין את הסיסמה כדי לפתוח את קובץ האישור.
כתובת ה-URL של נקודת הקצה להתחברות ל-OAUTH2 String https://login.microsoftonline.com לא צריך לציין את כתובת ה-URL של נקודת הקצה להתחברות באמצעות OAUTH2 שהמחבר צריך להשתמש בה
אימות SSL תיבת סימון סימן אישור כן ההגדרה קובעת אם לאמת את אישור ה-SSL של נקודת קצה ל-API מרוחקת.
מסנן סוג הפעולה String לא רלוונטי לא בסכימה audit.general יכולים להיות סוגי פעולות שונים:SearchAirBatch, ‏ SearchCustomTag וכו'. כברירת מחדל, אם לא מצוין דבר בפרמטר הזה, המערכת מטמיעה את כל סוגי הפעולות האפשריים. אם סוג הפעולה מצוין בפרמטר הזה, אירוע עם סוג הפעולה הזה לא יוטמע. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
מסנן סטטוסים String לא רלוונטי לא אפשר להשתמש בפרמטר כדי לציין סטטוס שאם הוא קיים באירוע, האירוע לא יוטמע. הפרמטר פועל כרשימת חסימה. כברירת מחדל, אם לא צוין דבר – המערכת תטמיע את כל סוגי הסטטוסים האפשריים. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
שימוש במסנני פעולה וסטטוס כרשימת היתרים תיבת סימון התיבה לא מסומנת כן אם האפשרות מופעלת, מסנני הפעולות והסטטוסים יפעלו כרשימת היתרים. כברירת מחדל, הם פועלים כרשימת חסימה.
מפתחות ישות ליצירת אירועים נוספים CSV לא רלוונטי לא מציינים מפתחות שאם הם מופיעים בקטע הנתונים Audit.General entities, צריך להשתמש בסעיף המשנה הקשור כדי ליצור אירוע נוסף ב-Google SecOps.
מספר האירועים המקסימלי לאחזור מספר שלם 50 כן כמה אירועים לעבד בכל איטרציה של מחבר.
אחזור שעות מקסימליות אחורה מספר שלם 8 כן מספר השעות שמהן צריך לאחזר אירועים. חשוב לדעת: Management API של O365 מאפשר להחזיר אירועים מ-7 הימים האחרונים, לא יותר.
מרווח הזמן לאחזור לאחור (בדקות) מספר שלם 240 כן מרווח הזמן שהמחבר צריך להשתמש בו כדי לאחזר אירועים ממספר השעות המקסימלי לאחור. אם הדייר ב-O365 עסוק, יכול להיות שהוא יחזיר הרבה אובייקטים גדולים של אירועים. לכן, אפשר להשתמש בפרמטר הזה בדקות כדי לפצל את מספר השעות המקסימלי לאחור לפלחים קטנים יותר ולעבד אותם בנפרד. מרווח הזמן לא יכול להיות ארוך יותר מ-24 שעות בסך הכול.
תקופת ריפוד לאירועים (דקות) מספר שלם 60 כן תקופת הריפוד של האירוע בדקות מציינת את מרווח הזמן המינימלי שבו המחבר ישתמש כדי לבדוק אירועים חדשים.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
כתובת שרת ה-Proxy String לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

רשימת היתרים / רשימת חסימה

המחבר תומך ברשימת היתרים וברשימת חסימה.

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.