Configurando el Conector de Protección de Microsoft Entra ID para Datos de Anomalías de Inicio de Sesión

La Protección de Entra ID de Microsoft ayuda a las organizaciones a detectar riesgos basados en identidad para su inquilino de Entra ID. Este artículo explica cómo configurar un conector para la Protección de Entra ID de Microsoft para integrar datos sobre anomalías de inicio de sesión con los eventos de Cato y el Panel de Actividades en la Nube.

Para más información sobre cómo ver anomalías de inicio de sesión en el Panel de Actividad en la Nube, consulte Usando el Panel de Actividad en la Nube.

Nota:
Microsoft recientemente cambió el Nombre de Azure AD a Entra ID. Todas las menciones de Azure AD en la documentación de Cato se refieren a Entra ID.

Resumen de los Conectores de Microsoft

Para configurar el conector de Protección de Entra ID de Microsoft de Cato para obtener datos de anomalías de inicio de sesión, primero necesita configurar el conector de Microsoft 365 como la aplicación matriz para otorgar permisos de lectura al conector de Protección de Entra ID. La aplicación principal solo tiene permisos para gestionar los conectores de Microsoft. Después de configurar el conector de Microsoft 365, puede configurar un conector de Protección de Entra ID para recuperar los datos de inicio de sesión.

Si desea importar datos de inicio de sesión de diferentes sub-organizaciones dentro de su organización, cree un conector separado de Microsoft 365 para cada inquilino relevante de Entra ID y, luego, configure un conector de Protección de Entra ID para cada inquilino.

"Requisitos previos"

Se requiere una licencia de Microsoft 365 E5 o mejor, o un plan independiente de Entra ID P2.
El conector de Microsoft 365 requiere un administrador con el rol de administrador global para otorgar permisos al conector de Protección de Entra ID de Cato.

Permisos Requeridos para el Conector de Protección de Entra ID de Microsoft

Para permitir que el conector de Protección de Entra ID recupere los datos de inicio de sesión para su cuenta, el conector otorga a Cato los siguientes permisos y acciones con Microsoft 365:

Conectar a las API de Microsoft y leer todos los datos de Protección de Entra ID de una organización.
Iniciar sesión y leer el perfil de usuario.

Configurando los Conectores de Microsoft

Para configurar la Integra de ID de Entra, necesita:

Crear la integración de Inquilino de MS (si aún no la ha configurado).
Cree el conector API en el CMA

Paso 1: Configuración de la Integración de Inquilino de MS

Primero, configura la integración de MS Tenant como el conector principal. Este conector se puede usar para todas las integraciones de Microsoft. Si ya ha creado el conector principal, vaya al paso 2.

Para crear el conector principal de Microsoft 365:

Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.
Haga clic en New. Se abre el panel Nuevo Conector.
En el panel Nuevo Conector, seleccione la aplicación Microsoft 365 (Nuevo Inquilino).
Haga clic en Autorizar y Guardar.
Se abre una nueva pestaña del navegador a la aplicación Microsoft 365.
En la nueva pestaña del navegador, autentica la aplicación Microsoft 365:
1. Selecciona la cuenta de Microsoft para la aplicación Microsoft 365.
2. Ingresa la contraseña de la aplicación y apruébala.
3. Aceptar los permisos para permitir que Cato acceda a la aplicación de Microsoft 365.
4. La pantalla muestra que has aplicado los permisos exitosamente para la aplicación.
  Puedes cerrar la pestaña del navegador y regresar a la Aplicación de Gestión de Cato.
La aplicación SaaS de Microsoft 365 se agrega a la pestaña Aplicaciones integradas.

Paso 2: Configuración del Conector de Protección de Entra ID de Microsoft

Después de haber creado la integración del Inquilino de MS, puede crear el conector de Entra ID.

Nota:
Cuando creas un conector API para una aplicación de Microsoft 365, el conector crea un certificado de autenticación que es válido por 3 meses, y renueva el certificado 7 días antes del vencimiento.

Para configurar el conector de Protección de Entra ID:

Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.
Haga clic en New. Se abre el panel Nuevo Conector.
Desde el menú desplegable Aplicación SaaS, seleccione Microsoft Entra ID.
Seleccione Protección de Anomalías de Inicio de Sesión.
En el desplegable de Auth , elija Consentir Microsoft
Agregue un Nombre y una Descripción para el conector.
En el desplegable ID Principal, seleccione el Inquilino Primario de Microsoft que se creó en el Paso 1.
Haga clic en Guardar.
El CMA se conecta con el proveedor
Haga clic en Autorizar.
Aparecerá una pantalla de permisos de Microsoft.
Revise los permisos solicitados y haga clic en Aceptar.
La aplicación es visible en la tabla Aplicaciones Integradas con un estado Conectado.

Entender el Estado del Conector

La columna de Estado en la página de Configuración de Conectores muestra el estado de la conexión entre la aplicación de Microsoft y su cuenta de Cato. Estas son las explicaciones de los estados:

Conectado - Su cuenta está conectada a la aplicación y está funcionando correctamente.
Pendiente de consentimiento del usuario - No se ha otorgado permiso para permitir que Cato acceda a la aplicación Microsoft 365. Para resolver este problema, refresca el navegador. Si el Estado cambia a Conectado, el problema está resuelto, si el Estado no cambia, elimine y recree el conector.
Error - Hay un problema de conectividad, permisos u otro problema con el conector de Microsoft. Eliminar y volver a crear el conector.

Estos son los campos relevantes para los eventos de anomalías de inicio de sesión de Protección de Entra ID de sub-tipo Alerta de Identidad:

ID de Alerta: Número de identificación para la alerta en Protección de Entra ID
Clasificación: Clasificación de la alerta según Protección de Entra ID
Estado: El estado de la alerta en Protección de Entra ID
Mensaje del Evento: Una descripción detallada de la anomalía
Título: Nombre de la anomalía