Press CTRL+K to open search

Microsoft Defender для Office 365: Настройка интеграции защиты электронной почты XOps

  • Обновлено Sep 8, 2026
  • Опубликовано на Aug 10, 2026
  • 3 Минута(ы) чтения
Prev Next

Обзор

Интеграция безопасности электронной почты позволяет импортировать события безопасности электронной почты в XOps, чтобы вы могли расследовать фишинг и другие угрозы на основе электронной почты с дополнительным контекстом и из единого рабочего процесса. Это помогает сократить время расследования, улучшить корреляцию угроз и упростить идентификацию связанных активностей в данных по электронной почте, сети и конечным точкам.

Атаки по электронной почте часто являются частью более широкого потока атак. Фишинговый электронный адрес, вредоносное вложение или подозрительная активность отправки могут привести к доступу пользователя к вредоносным доменам, дополнительным индикаторам на основе сети или связанным обнаружениям конечных точек. С этой интеграцией, XOps может включать события безопасности электронной почты в поток расследования и обеспечивать более широкую видимость атаки.

Когда в Microsoft Defender для Office 365 создается инцидент, в XOps создается история. Это позволяет сохранить оригинальную логику обнаружения в Cato и исследовать оповещение, как часть более широкой активности в вашей учетной записи.

Вариант использования

Компания XYZ использует Microsoft Defender для Office 365, чтобы защитить пользователей от фишинговых писем, вредоносных ссылок и других угроз, основанных на электронной почте. Однако, оповещения по электронной почте сами по себе не всегда предоставляют полный контекст атаки. Команды безопасности также должны понимать, взаимодействовали ли пользователи с вредоносным содержимым и привела ли активность к связанным обнаружениям в сети или на конечных точках.

Компания интегрирует XOps с Microsoft Defender для Office 365. Когда Microsoft Defender для Office 365 создает оповещение, XOps автоматически принимает оповещение и создает историю в Рабочей области Историй. Это сохраняет исходную логику обнаружения от Microsoft и добавляет контекст сети и безопасности Cato к расследованию.

Из истории XOps, компания может:

  • Исследовать, нажимали ли пользователи на вредоносные ссылки или получали доступ к подозрительным доменам

  • Просмотреть связанную сетевую и конечную активность, подключенную к оповещению электронной почты

  • Определить, является ли оповещение частью более широкого потока атаки, затрагивающего дополнительных пользователей или активы

Объединяя обнаружения электронной почты Microsoft Defender для Office 365 с контекстной аналитикой Cato, компания XYZ может расследовать фишинг и другие атаки, основанные на электронной почте, с большей видимостью. Это помогает сократить время расследования, улучшить корреляцию угроз и поддержать более быструю реакцию.

Понимание Историй, Созданных Интеграцией

Истории, создаваемые интеграцией, обрабатываются Производителем Инцидентов Общего Типа. Таблица ниже объясняет виджеты в этих историях.

Название

Description

Виджет сводки

Сводка базовой информации об истории, включая:

  • Критичность угрозы

  • Краткий обзор деталей истории

  • Серьезность угрозы, определенной аналитиком

  • Вердикт по угрозе, вынесенный аналитиком

Подробности

Суммарное объяснение истории и метаданных.

Хронология

Хронология событий или действий, предпринятых в истории.

Сущности

Сущности, в которых происходили истории. К ним могут относиться пользователи, площадки, хранилища данных, приложения и т.д.

Доказательства

Поддерживающие доказательства, объясняющие, почему была создана история XOps.

Сырые данные

Динамическая таблица, содержащая необработанные события, которые сгенерировали историю.

Настройка интеграции Microsoft Defender для Office 365

Чтобы настроить интеграцию безопасности электронной почты, вам нужно:

  1. Создать интеграцию MS Tenant в качестве родительского коннектора

  2. Создать API коннектор для Microsoft Defender для Office 365

Предпосылки

  • Лицензия Microsoft 365 E3

Шаг 1: Создайте интеграцию арендатора MS

Сначала настройте интеграцию арендатора MS как основного коннектора. Этот коннектор может быть использован для всех интеграций Microsoft. Если вы уже создали основной коннектор, перейдите к шагу 2.

Чтобы создать интеграцию с MS Tenant:

  1. Из меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные приложения.

  2. Нажмите на Новый. Открывается панель Новый Конечные коннекторы.

  3. На панели Новый коннектор выберите приложение Арендатор MS (Настроить новый арендатор MS).

  4. Введите Имя коннектора API.

  5. Нажмите Авторизовать и Сохранить.

    В новом браузерном табе откроется приложение Microsoft 365.

  6. В новой вкладке браузера выполните вход в приложение Microsoft 365:

    1. Выберите учетную запись для приложения Microsoft 365.

      В противном случае, может возникнуть ошибка аутентификации Microsoft.

    2. Введите пароль для приложения и подтвердите его.

    3. Примите разрешения, чтобы Cato мог получить доступ к приложению Microsoft 365.

    4. Экран показывает, что разрешения для приложения были успешно применены.

      Вы можете закрыть вкладку браузера и вернуться в приложение управления Cato.

  7. Приложение SaaS Microsoft 365 добавлено на вкладку Интегрированные приложения.

Шаг 2: Создать API Коннектор для безопасности электронной почты

После того как вы настроили родительский коннектор, добавьте детали интеграции Взаимосвязанных Приложений в CMA.

Для создания API соединителя в CMA:

  1. Из меню навигации нажмите Ресурсы > Интеграции.

  2. Перейдите на вкладку Настроенные интеграции.

  3. Нажмите на Новый.

    Открывается панель Новая Интеграция.

  4. Выберите Microsoft Defender для Office 365

  5. В выпадающем меню Auth выберите Основной Тенант Microsoft, который был создан на Шаге 1.

  6. (Опционально) Добавить описание.

  7. Нажмите Save.

    CMA подключается к поставщику

  8. Нажмите Авторизовать.

    Появится окно разрешений Microsoft.

  9. Просмотрите запрашиваемые разрешения и нажмите Принять.

  10. Приложение видно на таблице Интегрированных приложений с статусом Подключено.

Просмотр страницы рабочей области Историй

После создания соединителя, истории будут видны в Рабочей области Историй.

Чтобы просмотреть страницу Рабочая область Историй:

  • Из меню навигации, нажмите Домашняя > Рабочая область Историй.

Для получения информации о столбцах в Рабочей области Историй смотрите Обзор обнаружения и реакции на истории XOps в Рабочей области Историй. Для дополнительной информации по обзору историй XOps смотрите Углубленный анализ историй безопасности XOps