Настройка соединителя Microsoft Entra ID Protection для данных аномалий входа

Защита Microsoft Entra ID помогает организациям обнаруживать риски, связанные с идентификацией, для их арендаторов Entra ID. Эта статья объясняет, как настроить соединитель для Microsoft Entra ID Protection для интеграции данных о аномалиях входа с событиями Cato и Панелью управления облачной активностью.

Для получения дополнительной информации о просмотрах аномалий входа на панели управления активностью в облаке смотрите Использование панели управления активностью в облаке.

Заметка:
Microsoft недавно изменила Имя Azure AD загружено Entra ID. Все упоминания Azure AD в документации Cato относятся к Entra ID.

Обзор конечных коннекторов Microsoft

Чтобы настроить соединитель Microsoft Entra ID Protection от Cato для получения данных об аномалиях входа, сначала вам нужно настроить соединитель Microsoft 365 в качестве родительского приложения, чтобы дать разрешения на чтение для соединителя Entra ID Protection. Родительское приложение имеет разрешения только для управления коннекторами Microsoft. После настройки соединителя Microsoft 365 вы можете настроить соединитель Entra ID Protection для извлечения данных входа.

Если вы хотите импортировать данные входа из различных подорганизаций вашей организации, создайте отдельный соединитель Microsoft 365 для каждого соответствующего арендатора Entra ID, а затем настройте соединитель Entra ID Protection для каждого арендатора.

Предварительные условия

Требуется лицензия Microsoft 365 E5 или лучше, или автономный план Entra ID P2.
Соединитель Microsoft 365 требует администратора с ролью глобального администратора для предоставления разрешений соединителю Entra ID Protection от Cato.

Необходимые разрешения для подключения Microsoft Entra ID Protection

Чтобы разрешить соединителю Entra ID Protection извлекать данные входа для вашей учетной записи, соединитель предоставляет Cato следующие разрешения и действия с Microsoft 365:

Подключиться к API Microsoft и читать все данные защиты Microsoft Entra ID для организации.
Войти и прочитать профиль пользователя.

Настройка конечных коннекторов Microsoft

Чтобы настроить интеграцию Entra ID, необходимо:

Создать интеграцию арендатора MS (если она еще не настроена)
Создать API-коннектор в CMA

Шаг 1: Настройка интеграции арендатора MS

Сначала настройте интеграцию арендатора MS как основного коннектора. Этот коннектор может быть использован для всех интеграций Microsoft. Если вы уже создали основной коннектор, перейдите к шагу 2.

Чтобы создать главный коннектор Microsoft 365:

В меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные API.
Нажмите Создать. Открывается панель Новый Коннектор.
На панели Новый разъем выберите приложение Microsoft 365 (новый арендатор).
Нажмите Авторизовать и сохранить.
Открывается новая вкладка браузера с приложением Microsoft 365.
В новой вкладке браузера выполните аутентификацию в приложении Microsoft 365:
1. Выберите учетную запись Microsoft для приложения Microsoft 365.
2. Введите пароль для приложения и подтвердите его.
3. Примите разрешения, чтобы Cato мог получить доступ к приложению Microsoft 365.
4. Экран показывает, что разрешения для приложения были успешно применены.
  Вы можете закрыть вкладку браузера и вернуться к Приложению Управления Cato.
Приложение SaaS Microsoft 365 добавлено на вкладку Интегрированные приложения.

Шаг 2: Настройка коннектора защиты Microsoft Entra ID

После создания интеграции арендатора MS вы можете создать коннектор Entra ID.

Заметка:
Когда вы создать конечные коннектор для приложение Microsoft 365, коннектор создать аутентификация сертификат который действителен в течение 3 Месяцы, и обновлять сертификат за 7 Дни до истечения Срок действия.

Чтобы настроить коннектор Защиты Entra ID:

В меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные API.
Нажмите Создать. Панель Новый коннектор открывается.
Из выпадающего меню Приложение Saas выберите Microsoft Entra ID.
Выберите Защиту от аномалий входа.
В выпадающем списке Auth выберите Consent Microsoft
Добавьте Имя и Описание для коннектора.
В выпадающем списке Parent ID выберите Microsoft Primary Tenant , созданный на шаге 1.
Нажмите Сохранить.
CMA подключается к поставщику
Нажмите Авторизовать.
Появится окно разрешений Microsoft.
Пересмотрите запрашиваемые разрешения и нажмите Принять.<\/span>
Приложение видно на таблице Интегрированных приложений со статусом Подключено.

Понимание статуса подключения

Столбец Статус на странице Настройки коннекторов показывает статус подключения между приложением Microsoft и вашим аккаунтом Cato. Вот объяснения статусов:

Подключено - Ваш аккаунт подключен к приложению и работает правильно.
Ожидание согласия пользователя - Разрешения не были предоставлены, чтобы дать Cato доступ к приложению Microsoft 365. Чтобы устранить эту проблему, обновите браузер. Если Статус изменится на Подключено, проблема решена, если Статус не изменится, удалите и создайте коннектор заново.
Ошибка - Имеется проблема с подключением, разрешениями или другая ошибка с коннектором Microsoft. Удалите и создайте коннектор заново.

Это соответствующие поля для событий аномалий входа Entra ID Protection подтипа Оповещение об идентификации:

ID Оповещения: Индивидуальный номер для оповещение в Защита Entra ID
Классификация: Классификация оповещения согласно Entra ID Protection
Статус: Статус оповещения в Entra ID Protection
Сообщение о событии: Подробное описание аномалии
Заголовок: Имя аномалии