Press CTRL+K to open search

Microsoft Defender для облачных приложений: настройка интеграции XOps

  • Обновлено Sep 8, 2026
  • Опубликовано на Sep 6, 2026
  • 4 Минута(ы) чтения
Prev Next

Обзор.

Используя Microsoft API, вы можете интегрировать данные оповещений из Microsoft Defender для облачных приложений для создания историй для приложений. Эти истории помогают получить более полное представление о потенциальных угрозах в вашей сети.

Движок Cato создаёт историю, коррелируя данные из Оповещений Defender, связанных с одним и тем же инцидентом в Defender. Истории оповещений облачных приложений включают все соответствующие доказательства для оповещений, обнаруженных Defender. Рабочая область историй показывает истории вместе с другими типами историй, и вы можете сортировать и фильтровать их, чтобы сосредоточиться на историях оповещений облачных приложений.

Чтобы интегрировать данные оповещений Defender для облачных приложений с Cato XOps, сначала необходимо настроить API-коннекторы для Microsoft 365, а затем для Defender для облачных приложений. После создания коннекторов движок оповещений облачных приложений извлекает и анализирует данные оповещений из Defender для облачных приложений.

Для получения дополнительной информации о проверке историй XOps, включая данные из Microsoft Defender, смотрите Углубленный анализ XOps историй безопасности.

Понимание историй оповещений Microsoft для облачных приложений

Производитель оповещений Microsoft для облачных приложений генерирует истории на основе интеграции. В этом разделе объясняется информация, доступная на вкладке обзора страницы подробностей истории.

Это виджеты обзора истории:

Название

Description

Виджет сводки

Полоса в верхней части страницы показывает сводку основной информации о истории, включая:

  • Критичность угрозы

  • Краткий обзор деталей истории

  • Серьезность угрозы, определенной аналитиком

  • Вердикт по угрозе, вынесенный аналитиком

Хронология

Хронология событий или действий, предпринятых в истории.

Детали

Основная информация о истории.

  • Нажмите ссылку Инцидент URL, чтобы просмотреть инцидент в Microsoft Defender.

Сущности

Приложения, оповещения и пользователи, вовлеченные в инцидент.

Доказательства

Агрегирует подробности для всех Процессов, Файлов, Реестровых значений и параметров Сети, идентифицированных в доказательствах для различных оповещений историй.

Некоторые столбцы в таблице Доказы общие для всех типов доказательств, а некоторые специфичны для каждого.

Это столбцы, которые появляются для всех типов Доказательств:

  • Вердикт - Вердикт, сгенерированный Defender для доказательства (Назойливый, Подозрительный, или Угроз не обнаружено)

  • Статус устранения - Показывает, была ли угроза устранена

  • Создано - Дата и время, когда событие было записано

Это конкретные столбцы для каждого типа Доказательства:

  • Процессы:

    • Имя процесса - Имя исполняемого файла для процесса

    • Идентификатор процесса - Назначенный Windows номер ID процесса

    • Командная строка процесса - Аргументы, переданные процессу в Windows. Это может раскрыть важный контекст исполнения подозрительного процесса.

    • Путь к файлу - Местоположение на конечном устройстве исполняемого файла для процесса

  • Файлы:

    • Путь к файлу - Местоположение файла на конечном устройстве

    • Имя файла - Имя файла, включая расширение

    • Размер файла - Размер файла в байтах, килобайтах или мегабайтах

  • Реестр:

    • Имя ключа реестра Имя

    • Тип значения реестра - Формат данных, хранящихся в значении реестра

    • Значение реестра - Значение записи реестра

  • Сеть:

    • Показывает сетевые данные для потока, сгенерировавшего оповещение, такие как IP-адрес назначения, порт назначения, DNS и HTTP данные, и URL, к которому был доступ

Настройка коннектора Defender для облачных приложений

Чтобы настроить коннектор Defender для облачных приложений на получение данных об оповещении, сначала необходимо настроить коннектор Microsoft 365 как родительское приложение для предоставления прав на чтение для коннектора Defender. Родительское приложение имеет разрешения только для управления коннекторами Microsoft. После настройки коннектора Microsoft 365 вы можете настроить коннектор Defender для облачных приложений для получения данных оповещений.

Если вы хотите импортировать данные оповещений из различных суборганизаций внутри вашей организации, создайте отдельный коннектор Microsoft 365 для каждого соответствующего клиента Azure, а затем настройте коннектор Defender для каждого клиента.

Чтобы настроить коннектор для Панели управления облачными приложениями, вам необходимо:

  1. Создать родительский коннектор Microsoft 365.

  2. Создать коннектор Defender для конечного устройства.

Необходимые условия

  • Одна из этих лицензий Microsoft:

    • Microsoft Defender для конечных точек План 2

    • Microsoft 365 E5 (или выше) или Microsoft 365 E5 Security

    • Microsoft 365 A5 (Образование) или Microsoft 365 G5 (Правительство)

    • Windows 11 Enterprise E5

  • Коннектор Microsoft 365 требует администратора с глобальной ролью администратора для предоставления прав коннектору Defender от Cato

Шаг 1: Создание главного коннектора Microsoft 365

Сначала настройте интеграцию арендатора MS как основного коннектора. Этот коннектор может быть использован для всех интеграций Microsoft. Если вы уже создали основной коннектор, перейдите к шагу 2.

Чтобы настроить родительский коннектор конечной точки Microsoft 365:

  1. Из меню навигации выберите Безопасность > Коннекторы, и выберите вкладку Настройки соединителей.

  2. Нажмите Новый. Открывается панель Новый коннектор.

  3. Из выпадающего меню Приложение SaaS выберите приложение Microsoft 365.

    MIP_New_Connector_MS365.png

  4. Введите уникальное Имя Коннектора.

  5. Нажмите Авторизовать и Сохранить.

    В новом браузерном табе откроется приложение Microsoft 365.

  6. В новой вкладке браузера выполните аутентификацию в приложении Microsoft 365:

    1. Выберите учетную запись Microsoft для приложения Microsoft 365.

    2. Введите пароль для приложения и подтвердите его.

    3. Примите разрешения, чтобы Cato мог получить доступ к приложению Microsoft 365.

      MIP_Labels_Parent_Connector_Permissions.png

    4. Экран показывает, что вы успешно применили разрешения для приложения.

      Success_Connector_Permissions.png

      Вы можете закрыть вкладку браузера и вернуться в приложение управления Cato.

  7. Приложение SaaS Microsoft 365 добавлено на страницу Настройки соединителей.

Шаг 2: Создание коннектора для Панели управления облачными приложениями

После настройки родительского коннектора, добавьте коннектор для Панели управления облачными приложениями.

Чтобы создать коннектор для Панели управления облачными приложениями:

  1. Из меню навигации нажмите Ресурсы > Интеграции.

  2. Перейдите на вкладку Настроенные интеграции.

  3. Нажмите Новое.

    Открывается панель Новая Интеграция.

  4. Выбрать Microsoft Defender для Панели управления облачными приложениями.

  5. В раскрывающемся списке Auth выберите Microsoft Primary Tenant, созданный на Шаге 1.

  6. Добавить Имя для коннектора.

  7. Кликните Сохранить.

    CMA подключается к поставщику

  8. Нажмите Авторизовать.

    image-20250826-133358.png

    Появится окно разрешений Microsoft.

  9. Просмотрите запрашиваемые разрешения и нажмите Принять.

  10. Приложение видно на таблице Интегрированных приложений с статусом Подключено.

Просмотр страницы рабочей области Историй

После создания соединителя, истории будут видны в Рабочей области Историй.

Чтобы просмотреть страницу Рабочая область Историй:

  • В меню навигации нажмите на Home > Рабочая область Историй.

Информацию о столбцах в Рабочей области Историй смотрите Понимание колонок историй

Для получения дополнительной информации о проверке историй XOps, включая данные из Microsoft Defender, смотрите Углубленный анализ XOps историй безопасности.