Opciones de configuración del protocolo API REST de Microsoft Defender para Endpoint

Configure un protocolo API REST de Microsoft Defender para Endpoint para recibir eventos de los módulos de soporte de dispositivos (DSM) compatibles.

El protocolo REST API de Microsoft Defender para Endpoint es un protocolo saliente/activo.

Importante: Debido a un cambio en la suite de API de Microsoft Defender a partir del 25 de noviembre de 2021, Microsoft ya no permite la incorporación de nuevas integraciones con su API SIEM. Para obtener más información, consulte Deprecating the legacy SIEM API (https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/deprecating-the-legacy-siem-api/ba-p/3139643).

La API de Streaming se puede utilizar con el protocolo Microsoft Azure Event Hubs para proporcionar reenvío de sucesos y alertas a QRadar. Para obtener más información sobre el servicio y su configuración, consulte Configurar Microsoft 365 Defender para transmitir eventos de Advanced Hunting a su Azure Event Hub ( https://docs.micosoft.com/en-us/microsoft-365/security/defender/streaming-api-event-hub?view=o365-worldwide )

La siguiente tabla describe los parámetros específicos del protocolo para el protocolo API REST de Microsoft Defender para Endpoint:

Tabla 1. Protocolo API REST de Microsoft Defender para Endpoint
Parámetro	Valor
Log Source type	Microsoft 365 Defender
Protocol Configuration	API REST de Microsoft Defender para Endpoint
Log Source Identifier	Escriba un nombre exclusivo para el origen de registro. El Identificador de origen de registro puede ser cualquier valor válido y no es necesario que haga referencia a un servidor específico. También puede ser el mismo valor que el Nombre de origen de registro. Si tiene más de una fuente de registro de la API REST de Microsoft Defender para Endpoint configurada, asegúrese de asignar un nombre único a cada una de ellas.
Authorization Server URL	La URL del servidor que proporciona la autorización para obtener un token de acceso. El token de acceso se utiliza como autorización para recopilar eventos de Microsoft 365 Defender. La URL del servidor de autorización utiliza el siguiente formato: `"https://login.microsoftonline.com/<Tenant_ID>/oauth2/v2.0/token”` donde `< ID_arrendatario>` es un UUID.
Resource	El recurso que se utiliza para acceder a los eventos de la API de Defender de Microsoft 365 (a través de Microsoft Graph Security API ).
Client ID	Garantiza que el usuario está autorizado a obtener una señal de acceso.
Client Secret	El valor Secreto de cliente sólo se visualiza una vez y, a continuación, ya no está visible. Si no tiene acceso al valor Secreto de cliente , póngase en contacto con el administrador de Microsoft Azure para solicitar un nuevo secreto de cliente.
Region	Seleccione las regiones asociadas a una API de Defender de Microsoft 365 (a través de Microsoft Graph Security API ) de las que desea recopilar registros.
Other Region	Escriba los nombres de cualquier región adicional asociada con la API Microsoft 365 Defender (a través de Security API ) de la que desea recopilar registros. Utilice una lista separada por comas; por ejemplo, `region1,region2`.
Use GCC Endpoints	Habilite o inhabilite el uso de puntos finales GCC y GCC High & DOD . Los puntos finales GCC y GCC High & DOD son puntos finales para los clientes del Gobierno de EE.UU. Sugerencia: Cuando este parámetro está habilitado, no puede configurar el parámetro Regiones . Para obtener más información, consulte Microsoft Defender for Endpoint for US Government customers (https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/gov?view=o365-worldwide).
GCC Type	Seleccione GCC o GCC High & DOD. GCC: Nube de comunidad de gobierno de Microsoft GCC Alto & DoD: Cumple con la normativa del Departamento de Defensa.
Use Proxy	Si se configura QRadar un proxy para, todo el tráfico de la fuente de registro pasa por el proxy para que QRadar pueda acceder a la API de Microsoft 365 Defender (a través de Microsoft Graph Security API ). Configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxyy Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Recurrence	Puede especificar la frecuencia con la que el registro recopila datos. El formato es M/H/D para Minutos/Hours/Días. El valor predeterminado es 5 M.
EPS Throttle	El número máximo de sucesos por segundo que QRadar ingiere. Si el origen de datos supera el regulador EPS, la recopilación de datos se retrasa. Los datos se siguen recopilando y, a continuación, se ingieren cuando el origen de datos deja de superar el regulador EPS. El valor predeterminado es de 5000.

Si necesita crear máquinas virtuales (VM) y probar la conexión entre Microsoft Defender for Endpoint y QRadar, consulte Laboratorio de evaluación de Microsoft Defender for Endpoint (https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/evaluation-lab?view=o365-worldwide).