Opciones de configuración del protocolo Security API de Microsoft Graph

Para recibir sucesos de la Security APIde Microsoft Graph, configure un origen de registro en IBM QRadar para utilizar el protocolo Security API de Microsoft Graph.

El protocolo Security API de Microsoft Graph es un protocolo de salida/activo. El DSM también puede utilizar este protocolo. Para obtener una lista de los DSM compatibles, consulte QRadar®.

Importante: La integración de Microsoft Defender XDR es compatible con QRadar mediante el uso del protocolo Microsoft Graph Security API, el DSM de Microsoft 365 Defender y el DSM de Microsoft Defender para la nube, con autenticación basada en el ID de cliente y el secreto de cliente.

Los parámetros siguientes requieren valores específicos para recopilar sucesos de los servidores de Microsoft Graph Security:

Tabla 1. Parámetros de origen del registro de seguridad de Microsoft
Parámetro	Valor
Tipo de origen de registro	Un tipo de origen de registro personalizado o un DSM específico que utiliza este protocolo.
Configuración de protocolo	Gráfico de Microsoft Security API
Identificador de origen de registro	Escriba un nombre exclusivo para el origen de registro. Identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. También puede ser el mismo valor que Nombre de origen de registro. Si tiene más de un origen de registro de Microsoft Graph Security configurado, asegúrese de dar a cada uno un nombre exclusivo.
ID de arrendatario	El valor ID de arrendatario que se utiliza para la autenticación de Microsoft Azure Active Directory .
ID de cliente	El valor del parámetro ID de cliente de la configuración de la aplicación de Microsoft Azure Active Directory.
Método de autenticación	Secreto del cliente: autenticación estándar basada en el secreto del cliente. Certificado de cliente: Autenticación basada en certificado autofirmado.
Secreto de cliente	Recibirá la contraseña de Secreto de cliente cuando configure Microsoft Azure Event Directory. Esta contraseña confirma que la cuenta de usuario tiene autorización para obtener una señal de acceso. Sólo puede obtener este valor cuando se crea y no se puede recuperar más tarde. Si pierde la contraseña de secreto de cliente, debe crear una nueva clave de API para seguir recibiendo sucesos de la Security APIde Microsoft Graph.
Certificado de cliente	Especifique la ruta del certificado autofirmado .pfx . Nota: Seleccione Método de autenticación > Certificado de cliente para que el parámetro Certificado de cliente esté disponible. Para obtener más información, consulte Creación de certificados y claves autofirmados para el protocolo API REST de Office 365.
Contraseña de certificado de cliente	Especifique la contraseña del certificado .pfx . Nota: Seleccione Método de autenticación > Certificado de cliente para que el parámetro Contraseña del certificado de cliente esté disponible.
API	La API dicta los tipos y formatos de sucesos que el protocolo puede recopilar. Seleccione una API que sea compatible con el DSM seleccionado. Si utiliza el DSM de Microsoft Azure Security Center, seleccione Alertas V1. Si utiliza el DSM Microsoft 365 Defender, seleccione Alertas V2 o Anuncio de servicio.
Servicio	Limita los sucesos a un servicio o producto específico. Seleccione un producto que sea compatible con el DSM seleccionado. Puede utilizar la opción Otros para eliminar el filtro o añadir más valores de filtro. Si utiliza Microsoft 365 Defender DSM, seleccione Microsoft Defender for Endpoint.
Filtro de sucesos	Recuperar sucesos utilizando el filtro de consulta de la API de Microsoft Security Graph. Por ejemplo, `severity eq 'high'`. No escriba "`filter=`" antes del parámetro de filtro. Para obtener más información sobre los parámetros de consulta, consulte el parámetro de consulta de filtro ( https://learn.microsoft.com/en-us/graph/filter-query-parameter?tabs=http ).
Utilizar proxy	Si QRadar accede a la Security API de Microsoft Graph mediante proxy, habilite este recuadro de selección. Si el proxy requiere autenticación, configure los campos Nombre de host o IP de proxy, Puerto de proxy, Nombre de usuarioy Representante . Si el proxy no requiere autenticación, configure los campos Nombre de host o IP de proxy y Puerto de proxy .
Nombre de host o IP de proxy	La dirección IP o el nombre de host del servidor proxy. Si el parámetro Utilizar proxy se establece en Falso, esta opción está oculta.
Puerto de proxy	El número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080. Si el parámetro Utilizar proxy se establece en False, esta opción está oculta.
Nombre de usuario del proxy	El nombre de usuario que se utiliza para comunicarse con el proxy. Si Utilizar proxy se establece en Falso, esta opción está oculta.
Contraseña de proxy	La contraseña que se utiliza para acceder al proxy. Si Utilizar proxy se establece en Falso, esta opción está oculta.
Recurrencia	Escriba un intervalo de tiempo que empiece en Hora de inicio para determinar la frecuencia con la que el sondeo explora nuevos datos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, `2H` -2 horas, `15M` -15 minutos. El valor predeterminado es `1M`.
Regulador de EPS	El número máximo de sucesos por segundo que QRadar ingiere. Si el origen de datos supera el regulador EPS, la recopilación de datos se retrasa. Los datos se siguen recopilando y, a continuación, se ingieren cuando el origen de datos deja de superar el regulador EPS. El valor predeterminado es de 5000.
Mostrar opciones avanzadas	Para configurar las opciones avanzadas para la recopilación de sucesos, habilite esta opción.
Iniciar sesión de punto final	Especifique el punto final de inicio de sesión de Azure AD. El valor predeterminado es `login.microsoftonline.com`. Si inhabilita Mostrar opciones avanzadas, esta opción está oculta.
Punto final API de gráfico	Especifique la URL Security API Microsoft Graph. El valor predeterminado es `https://graph.microsoft.com`. Si inhabilita Mostrar opciones avanzadas, esta opción está oculta.