API di gestione O365

Questo documento fornisce indicazioni su come integrare l'API di gestione O365 con Google SecOps.

Casi d'uso

Ricevi eventi di attività da Microsoft 365.

Configura l'API di gestione di O365 per l'utilizzo con Google Security Operations

Autorizzazione del prodotto

Per saperne di più, consulta Inizia a utilizzare le API di gestione di Office 365.

Prima di poter accedere ai dati tramite le API Office 365 Management Activity, devi attivare l'audit logging unificato per la tua organizzazione Office 365. A questo scopo, attiva l'audit log di Office 365. Per istruzioni, vedi Attiva o disattiva il controllo.

Per quanto riguarda la configurazione dell'account, la procedura è simile a quella di altri prodotti basati su Azure (Defender, Sentinel e così via). Devi registrare un'app in Azure Active Directory e concederle le seguenti autorizzazioni:

  • Autorizzazioni User.Read delegate da Microsoft Graph
  • Autorizzazioni dell'applicazione ActivityFeed.ReadDlp dalle API di attività di gestione di Office 365

Configura l'integrazione dell'API di gestione O365 in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome istanza Stringa N/D No Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione Stringa N/D No Descrizione dell'istanza.
Radice API Stringa https://manage.office.com Sì URL di base dell'API da utilizzare con l'integrazione.
ID Azure Active Directory Stringa N/D Sì ID tenant di Azure Active Directory, visualizzabile in Active Directory > Registrazione app > <Applicazione configurata per l'integrazione> ID directory (tenant). Esempio: k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Stringa N/D Sì L'ID client (applicazione) aggiunto per la registrazione dell'app in Azure Active Directory per questa integrazione. Ad esempio, 29bf818e-0000-0000-0000-784fb644178d
Client secret Password N/D No Secret inserito per la registrazione dell'app Azure AD. Esempio: XF00000Qc0000000[UZSW7-0?qXb6Qx]
Verifica SSL Casella di controllo Selezionata Sì Specifica se il certificato SSL dell'endpoint API remoto deve essere convalidato.
Esegui da remoto Casella di controllo Deselezionata No Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).
Percorso del certificato Stringa N/D No Se viene utilizzata l'autenticazione basata su certificati anziché il client secret, specifica il percorso del certificato sul server Google SecOps.
Password certificato Password N/D No (Facoltativo) Se il certificato è protetto da password, specifica la password per aprire il file del certificato.
URL endpoint di accesso OAUTH2 Stringa https://login.microsoftonline.com Sì Specifica il connettore URL da utilizzare per l'URL dell'endpoint di accesso OAUTH2.

Azioni

Dindin

Descrizione

Testa la connettività al servizio API di gestione O365 con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • Se l'operazione va a buon fine: stampa "Connessione all'API di gestione di O365 con i parametri di connessione forniti riuscita".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se si verifica un errore critico, ad esempio credenziali errate o perdita di connettività: stampa "Impossibile connettersi all'API di gestione O365! Error is {0}".format(exception.stacktrace)
 Generale

Attiva un abbonamento

Descrizione

Avvia un abbonamento a un tipo di contenuti dell'API di gestione di Office 365 scelto.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Attiva un abbonamento per DDL Seleziona il tipo di contenuti, Audit.General Sì Specifica il tipo di contenuti per cui attivare un abbonamento.

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • if successful: print "Successfully created O365 Management API subscription for the {0} content type!".format(content_type)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • if critical error, like wrong credentials or lost connectivity: print "Failed to execute command! Error is {0}".format(exception.stacktrace)
 Generale

Interrompere un abbonamento

Descrizione

Interrompere un abbonamento a un tipo di contenuti dell'API di gestione di Office 365 scelto.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Interrompi un abbonamento per DDL Seleziona il tipo di contenuti, Audit.General Sì Specifica per quale tipo di contenuti interrompere un abbonamento.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • if successful: print "Successfully stopped O365 Management API subscription for the {0} content type!".format(content_type)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se si verifica un errore critico, ad esempio credenziali errate o perdita di connettività: stampa "Impossibile connettersi per eseguire il comando!" Error is {0}".format(exception.stacktrace)
 Generale

Connettori

Configura i connettori API di gestione di Office 365 in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Per configurare il connettore selezionato, utilizza i parametri specifici del connettore elencati nelle seguenti tabelle:

Connettore eventi DLP dell'API di gestione di Office 365

Descrizione

Recupera gli eventi DLP dall'API di gestione di Office 365.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa Operazione Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Radice API Stringa https://manage.office.com Sì URL di base dell'API da utilizzare con l'integrazione.
ID Azure Active Directory Stringa N/D Sì ID tenant di Azure Active Directory, visualizzabile in Active Directory > Registrazione app > <Applicazione configurata per l'integrazione> ID directory (tenant). Esempio: k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Stringa N/D Sì L'ID client (applicazione) aggiunto per la registrazione dell'app in Azure Active Directory per questa integrazione. Esempio: 29bf818e-0000-0000-0000-784fb644178d
Client secret Password N/D No Secret inserito per la registrazione dell'app Azure AD. Esempio: XF00000Qc0000000[UZSW7-0?qXb6Qx]
Verifica SSL Casella di controllo Selezionata Sì Specifica se il certificato SSL dell'endpoint API remoto deve essere convalidato.
Tipo di filtro operazioni Stringa N/D No Per gli eventi DLP sono disponibili i seguenti tipi di operazioni: DlpRuleMatch, DlpRuleUndo, DlpInfo. Il parametro funziona come una lista bloccata. Per impostazione predefinita, se non viene specificato nulla in questo parametro, vengono importati tutti i tipi di operazioni possibili. Se in questo parametro viene specificato il tipo di operazione, l'evento con questo tipo di operazione non verrà importato. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Tipo di filtro delle policy Stringa N/D No Il parametro può essere utilizzato per specificare il nome della policy che, se presente nell'evento, non verrà importato. Il parametro funziona come una lista bloccata. Per impostazione predefinita, se non viene specificato nulla, vengono importati tutti i tipi di policy possibili. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Mascherare i risultati? Casella di controllo Deselezionata No Specifica se il connettore deve mascherare i risultati sensibili che hanno attivato le corrispondenze delle policy DLP.
Numero massimo di eventi da recuperare Numero intero 50 Sì Numero di eventi da elaborare per un'iterazione del connettore.
Numero massimo di ore di recupero indietro Numero intero 8 Sì Numero di ore da cui recuperare gli eventi. Tieni presente che l'API di gestione di O365 consente di restituire gli eventi degli ultimi 7 giorni, non più vecchi.
Intervallo di tempo per il recupero a ritroso (minuti) Numero intero 240 Sì Intervallo di tempo che il connettore deve utilizzare per recuperare gli eventi da un numero massimo di ore precedenti. Se il tenant O365 è occupato, potrebbe restituire molti blob di eventi. Per questo motivo, questo parametro in minuti può essere utilizzato per suddividere le ore massime in segmenti più piccoli ed elaborarli singolarmente. L'intervallo di tempo non può essere superiore a 24 ore in totale.
Periodo di padding degli eventi (minuti) Numero intero 60 Sì Il periodo di padding degli eventi in minuti specifica un intervallo di tempo minimo che verrà utilizzato dal connettore per controllare i nuovi eventi.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Indirizzo del server proxy Stringa No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password No La password del proxy con cui eseguire l'autenticazione.
Percorso del certificato Stringa No Se viene utilizzata l'autenticazione basata su certificati anziché il client secret, specifica il percorso del certificato sul server Google SecOps.
Password certificato Password No (Facoltativo) Se il certificato è protetto da password, specifica la password per aprire il file del certificato.
URL endpoint di accesso OAUTH2 Stringa https://login.microsoftonline.com Sì Specifica l'URL che il connettore deve utilizzare per l'URL dell'endpoint di accesso OAUTH2

Regole del connettore

Whitelist / Blacklist

Il connettore supporta la lista consentita/lista bloccata.

Supporto dei proxy

Il connettore supporta il proxy.

Connettore per eventi generali di controllo dell'API di gestione di Office 365

Descrizione

Recupera gli eventi Audit.General dall'API di gestione di Office 365. Assicurati di aver prima attivato l'abbonamento per gli eventi Audit.General eseguendo l'azione "Avvia un abbonamento".

Per il connettore degli eventi generali di controllo dell'API di gestione di Office 365 sono necessarie le seguenti autorizzazioni:

  • Autorizzazioni User.Read, email e profile delegate da Microsoft Graph
  • Autorizzazioni dell'applicazione ActivityFeed.ReadDlp e ActivityFeed.Read dalle API Office 365 Management Activity

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa Operazione Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Radice API Stringa https://manage.office.com Sì URL di base dell'API da utilizzare con l'integrazione.
ID Azure Active Directory Stringa N/D Sì ID tenant di Azure Active Directory, visualizzabile in Active Directory > Registrazione app > <Applicazione configurata per l'integrazione> ID directory (tenant). Esempio: k48f52ca-0000-4708-8ed0-0000a20a40a
ID client Stringa N/D Sì L'ID client (applicazione) aggiunto per la registrazione dell'app in Azure Active Directory per questa integrazione. Esempio: 29bf818e-0000-0000-0000-784fb644178d
Client secret Password N/D No Secret inserito per la registrazione dell'app Azure AD. Esempio: XF00000Qc0000000[UZSW7-0?qXb6Qx]
Percorso del certificato Stringa N/D No Se viene utilizzata l'autenticazione basata su certificati anziché il client secret, specifica il percorso del certificato sul server Google SecOps.
Password certificato Password N/D No (Facoltativo) Se il certificato è protetto da password, specifica la password per aprire il file del certificato.
URL endpoint di accesso OAUTH2 Stringa https://login.microsoftonline.com No Specifica l'URL che il connettore deve utilizzare per l'URL dell'endpoint di accesso OAUTH2
Verifica SSL Casella di controllo Selezionata Sì Specifica se il certificato SSL dell'endpoint API remoto deve essere convalidato.
Tipo di filtro operazioni Stringa N/D No Nello schema audit.general potrebbero essere presenti diversi tipi di operazioni:SearchAirBatch, SearchCustomTag e così via. Per impostazione predefinita, se non viene specificato nulla in questo parametro, vengono importati tutti i tipi di operazioni possibili. Se in questo parametro viene specificato il tipo di operazione, l'evento con questo tipo di operazione non verrà importato. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Filtro per stato Stringa N/D No Il parametro può essere utilizzato per specificare lo stato che, se presente nell'evento, non verrà importato. Il parametro funziona come una lista bloccata. Per impostazione predefinita, se non viene specificato nulla, vengono importati tutti i tipi di stato possibili. Il parametro accetta più valori sotto forma di stringa separata da virgole.
Utilizza i filtri per operazioni e stati come lista consentita Casella di controllo Deselezionata Sì Se abilitati, i filtri per operazioni e stati funzioneranno come una lista consentita, mentre per impostazione predefinita sono una lista bloccata.
Chiavi entità per creare eventi aggiuntivi CSV N/D No Specifica le chiavi che, se visualizzate nella sezione Audit.General delle entità dei dati, devono essere prese dalla sottosezione correlata per creare un evento Google SecOps aggiuntivo.
Numero massimo di eventi da recuperare Numero intero 50 Sì Numero di eventi da elaborare per un'iterazione del connettore.
Numero massimo di ore di recupero indietro Numero intero 8 Sì Numero di ore da cui recuperare gli eventi. Tieni presente che l'API di gestione di O365 consente di restituire gli eventi degli ultimi 7 giorni, non più vecchi.
Intervallo di tempo per il recupero a ritroso (minuti) Numero intero 240 Sì Intervallo di tempo che il connettore deve utilizzare per recuperare gli eventi da un numero massimo di ore precedenti. Se il tenant O365 è occupato, potrebbe restituire molti blob di eventi. Per questo motivo, questo parametro in minuti può essere utilizzato per suddividere le ore massime in segmenti più piccoli ed elaborarli singolarmente. L'intervallo di tempo non può essere superiore a 24 ore in totale.
Periodo di padding degli eventi (minuti) Numero intero 60 Sì Il periodo di padding degli eventi in minuti specifica un intervallo di tempo minimo che verrà utilizzato dal connettore per controllare i nuovi eventi.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Indirizzo del server proxy Stringa No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Whitelist / Blacklist

Il connettore supporta la lista consentita/lista bloccata.

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.