Microsoft Defender для оповещений Endpoint: Настройка интеграции XOps

В этой статье обсуждается интеграция данных из Microsoft Defender для Endpoint для создания историй, которые вы можете просмотреть в Рабочей области Историй Cato.

Обзор историй Оповещений для конечных устройства

Используя Microsoft API, вы можете интегрировать данные оповещений из Microsoft Defender для Endpoint для создания историй для конечных устройств. Истории конечных устройств помогают получить более полное представление о потенциальных угрозах в вашей сети.

Движок Оповещений Cato Endpoint создаёт историю, коррелируя данные из Оповещений Defender, связанных с тем же инцидентом в Defender. Истории Оповещений для конечных устройства включают все соответствующие доказательства для Оповещений, обнаруженных Defender. Рабочая область Историй показывает истории конечных точек вместе с другими типами историй, и вы можете сортировать и фильтровать истории, чтобы сосредоточиться на Историях Оповещений Endpoint.

Чтобы интегрировать данные оповещений Defender for Endpoint с Cato XOps, сначала необходимо настроить API-коннекторы для Microsoft 365 и Defender for Endpoint. После создания коннекторов, движок Оповещений Endpoint извлекает и анализирует данные оповещения из Defender для Endpoint.

Для получения дополнительной информации о проверке историй XOps, включая данные из Microsoft Defender, смотрите Углубленный анализ XOps историй безопасности.

Высокоуровневый обзор интеграции Историй Оповещений для конечных устройства

Это высокоуровневое описание рабочего процесса для интеграции и обзора историй Defender для Endpoint в Рабочей области Историй:

1. Создать родительский коннектор Microsoft 365.

2. Создать коннектор Defender для конечного устройства.

3. Просмотреть истории оповещений конечных устройств в рабочей области Историй.

Известные Ограничения услуг

• Настройки в панели Действия по истории не настраиваются для историй оповещений конечных устройств. Все поля, связанные с действиями, отображаются как Н/Д. Для получения дополнительной информации о панели Действия по истории, см. ниже.

• Истории оповещений конечных точек Microsoft для общих устройств включают в историю всех пользователей, вошедших в устройство, в то время как соответствующее оповещение Defender для конечного устройства может отображать только одного пользователя.

• Чтобы добавить коннектор, у вас должны быть права редактора для Интеграции (в разделе Ресурсы). Для получения дополнительной информации см. Управление ролями администраторов с использованием RBAC.

Понимание Историй Оповещений Microsoft Конечной точки

Производитель оповещений Microsoft Конечной точки генерирует истории на основе интеграции. В этом разделе объясняется информация, доступная на вкладке обзора страницы подробностей истории.

Это виджеты обзора истории:

Обзор конечных коннекторов Microsoft

Для настройки коннектора Microsoft Defender от Cato для получения данных оповещений сначала нужно настроить коннектор Microsoft 365 как родительское приложение, чтобы предоставить права на чтение для коннектора Defender. Родительское приложение имеет разрешения только для управления коннекторами Microsoft. После настройки коннектора Microsoft 365 вы можете настроить коннектор Defender для получения данных оповещений.

Если вы хотите импортировать данные оповещений из различных суборганизаций внутри вашей организации, создайте отдельный коннектор Microsoft 365 для каждого соответствующего клиента Azure, а затем настройте коннектор Defender для каждого клиента.

Необходимые условия

• Одна из этих лицензий Microsoft:

  • Microsoft Defender для конечных точек План 2

  • Microsoft 365 E5 (или выше) или Microsoft 365 E5 Безопасность

  • Microsoft 365 A5 (Образование) или Microsoft 365 G5 (Правительство)

  • Windows 11 Enterprise E5

• Коннектор Microsoft 365 требует администратора с глобальной ролью администратора для предоставления прав коннектору Defender от Cato

Необходимые Права для Коннектора Microsoft Defender

Чтобы позволить коннектору Defender извлекать данные оповещений из вашего аккаунта Microsoft 365, коннектор предоставляет Cato следующие права и действия с Microsoft 365:

• Подключение к API Microsoft и чтение всех данных Defender для Endpoint для организации

• Вход и чтение пользовательского профиля

Настройка конечных коннекторов Microsoft

Настройте родительский коннектор Microsoft 365, а затем определите коннектор Defender для аккаунта Microsoft 365.

Если ваша организация уже настроила родительский коннектор Microsoft 365 для другой функции, такой как политика API Безопасности SaaS для приложений Microsoft или для импорта меток MIP в вашу политику DLP, вам нужно только настроить коннектор Defender.

Настройка коннектора Microsoft 365

Используйте Приложение Управления Cato для создания коннектора приложения SaaS Microsoft 365 для соответствующего клиента Azure. У вас должны быть правильные учетные данные для аутентификации в Microsoft 365, чтобы добавить коннектор в ваш аккаунт Cato.

Чтобы настроить родительский коннектор конечной точки Microsoft 365:

1. Из меню навигации выберите Безопасность > Коннекторы, и выберите вкладку Настройки соединителей.

2. Нажмите Новый. Открывается панель Новый Конечный коннектор.

3. Из выпадающего меню Приложение SaaS выберите приложение Microsoft 365.

   

4. Введите уникальное Имя Коннектора.

5. Нажмите Авторизовать и Сохранить.

   Открывается новая вкладка браузера с приложением Microsoft 365.

6. В новой вкладке браузера выполните аутентификацию в приложении Microsoft 365:

   1. Выберите учетную запись Microsoft для приложения Microsoft 365.

   2. Введите пароль для приложения и подтвердите его.

   3. Примите разрешения, чтобы Cato мог получить доступ к приложению Microsoft 365.

      

   4. Экран показывает, что вы успешно применили разрешения для приложения.

      

      Вы можете закрыть вкладку браузера и вернуться к Приложению Управления Cato.

7. Приложение SaaS Microsoft 365 добавлено на страницу Настройки соединителей.

   

   Microsoft Azure может занять несколько секунд для обработки запроса, так что если Статус показывает Ожидание согласия пользователя, обновите браузер.

Настройка Коннектора Microsoft Defender для Endpoint

Используйте Приложение Управления Cato для создания коннектора приложения SaaS Microsoft Defender для конечной точки Azure с данными оповещений, которые вы хотите использовать. У вас должны быть правильные учетные данные для аутентификации в Microsoft 365, чтобы добавить коннектор в ваш аккаунт Cato.

Заметка:

Когда вы создаете API-коннектор для приложения Microsoft 365, коннектор создает аутентификационный сертификат, который действителен в течение 3 месяцев, и обновляет сертификат за 7 дней до истечения срока действия.

Чтобы настроить коннектор Microsoft Defender:

1. Из меню навигации выберите Безопасность > Коннекторы, и выберите вкладку Настройки соединителей.

2. Нажмите Новый. Открывается панель Новый Конечный коннектор.

3. Из выпадающего меню Приложение SaaS выберите приложение Microsoft Defender.

   

4. Из выпадающего меню Коннектор Tenant выберите родительский коннектор Microsoft 365 для клиента с данными оповещений, которые вы хотите использовать.

5. Введите уникальное Имя Коннектора для коннектора Defender.

6. Нажмите Сохранить.

7. После успешного создания коннектора кликните Авторизовать.

   

   Открывается новая вкладка браузера с приложением Microsoft 365.

8. В новой вкладке браузера выполните вход в приложение Microsoft 365:

   1. Выберите учетную запись Microsoft для приложения Microsoft 365.

   2. Введите пароль для приложения и подтвердите его.

   3. Примите разрешения, чтобы Cato мог получить доступ к приложению Microsoft 365.

   4. Экран показывает, что вы успешно применили разрешения для приложения.

      

      Вы можете закрыть вкладку браузера и вернуться к Приложению Управления Cato.

9. Приложение SaaS Microsoft Defender добавлено на страницу Настройки соединителей.

   

   Microsoft Azure может занять несколько секунд для обработки запроса, так что если Статус показывает Ожидание согласия пользователя, обновите браузер.

Понимание статуса подключения

Столбец Статус на странице Настройки соединителей показывает статус подключения между приложением Microsoft и вашим аккаунтом Cato. Вот объяснения состояний:

• Подключено - Ваш аккаунт подключен к приложению и работает корректно

• Ожидание согласия пользователя - Разрешения не были предоставлены, чтобы дать Cato доступ к приложению Microsoft 365. Чтобы устранить эту проблему, обновите браузер. Если Статус изменится на Подключено, проблема решена, если Статус не изменится, удалите и создайте коннектор заново.

• Ошибка - Есть проблема с подключением, разрешениями или другая ошибка с коннектором Microsoft. Удалите и создайте коннектор заново.

Просмотр страницы рабочей области Историй

После создания соединителя, истории будут видны в Рабочей области Историй.

Чтобы просмотреть страницу Рабочая область Историй:

• В меню навигации нажмите на Home > Рабочая область Историй.

Информацию о столбцах в Рабочей области Историй смотрите Понимание колонок историй

Для получения дополнительной информации о проверке историй XOps, включая данные из Microsoft Defender, смотрите Углубленный анализ XOps историй безопасности.