Microsoft 365 Defender
Utilice IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension para supervisar de cerca su implementación de Microsoft 365 Defender.
Importante: Para evitar errores de contenido en esta extensión de contenido, mantenga actualizados los DSM asociados. Los DSM se actualizan como parte de las actualizaciones automáticas. Si las actualizaciones automáticas no están activadas, descargue la versión más reciente de los DSM asociados desde IBM® Fix Central (https://www.ibm.com/support/fixcentral).
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension
- Propiedades personalizadas de IBM Security QRadar para la extensión de contenido de Microsoft 365 Defender 1.2.1
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.2.0
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.1
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.0
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.2
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.1
- IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.0
Propiedades personalizadas de IBM Security QRadar para la extensión de contenido de Microsoft 365 Defender 1.2.1
La siguiente tabla muestra las propiedades personalizadas de IBM Security QRadar para Microsoft 365 Defender Content Extension 1.2.1.
| Nombre | Optimizada | Grupo de capturas | Expresión regular |
|---|---|---|---|
| Nombre de cuenta | Sí | N/D | AccountName":"(.*?)", |
| Tipo de acción | Nee | 1 | ActionType":"(.*?)", |
| Mandato | Sí | N/D | CommandLine":"\\"(.*?), |
| Directorio de archivos | Sí | N/D | FolderPath":"(.*?)", |
| Tamaño de archivo | Nee | N/D | FileSize":(.*?), |
| Nombre de archivo | Sí | N/D | ProcessFileName":"(.*?)", |
| Identificador de máquina | Sí | N/D | DeviceId":"(.*?)", |
| Hash MD5 | Sí | N/D | MD5[":]+"([^"]*)" |
| ID de proceso padre | Nee | N/D | ParentId":(.*?), |
| Nombre de proceso padre | Nee | N/D | ParentFileName":"(.*?)", |
| ID de proceso | Sí | N/D | ProcessId":(.*?), |
| Protocolo | Sí | N/D | Protocolo":"(.*?)", |
| ReferrerURL | Nee | 1 | ReferrerUrl":(.*?), |
| SHA1 Hash | Sí | N/D | SHA1[":]+"([^"]*)" |
| Estado de firma | Nee | 1 | SignatureStatus":"(.*?)", |
| Tipo de firmante | Nee | 1 | SignerType":"(.*?)", |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.2.0
En la tabla siguiente se muestran las nuevas propiedades personalizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.2.0.
| Nombre | Optimizada | Grupo de capturas | Expresión regular |
|---|---|---|---|
| Nombre de cuenta | Sí | N/D | «pruebas» [ 1]/"userAccount"/"accountName" |
| ID de seguridad de cuenta | Nee | N/D | «pruebas» [ 1]/"userAccount"/"userSid" |
| Alerta | Nee | N/D | /"título" |
| Categoría de alerta | Nee | N/D | /"categoría" |
| Descripción de alerta | Nee | N/D | /"descripción" |
| Gravedad de alerta | Nee | N/D | /"gravedad" |
| Motor de desprotección | Nee | N/D | /"detectionSource" |
| Dominio | Nee | N/D | «pruebas» [ 1]/"userAccount"/"domainName" |
| Directorio de archivos | Sí | N/D | «pruebas» [ 2]/"fileDetails"/"filePath" |
| Extensión de archivo | Sí | 1 | fileDetails":.*?fileName":"[^\"\.]*\.([^\"]*?)", |
| Tamaño de archivo | Nee | N/D | «pruebas» [ 2]/"fileDetails"/"fileSize" |
| Nombre de archivo | Sí | N/D | «pruebas» [ 2]/"fileDetails"/"fileName" |
| ID de máquina | Sí | N/D | «pruebas» [ 0]/"deviceDnsName" |
| ID de ataque de mitre | Nee | N/D | /"mitreTechniques"[] |
| Nombre del sistema operativo | Nee | N/D | «pruebas» [ 0]/"osPlatform" |
| ID de proceso padre | Nee | N/D | «pruebas» [ 1]/"parentProcessId" |
| Nombre de proceso padre | Nee | N/D | «pruebas» [ 1]/"parentProcessImageFile"/"fileName" |
| Ruta del proceso padre | Nee | N/D | «pruebas» [ 1]/"parentProcessImageFile"/"filePath" |
| Línea de comandos de proceso | Sí | N/D | «pruebas» [ 1]/"processCommandLine" |
| Tamaño de archivo de proceso | Nee | N/D | «pruebas» [ 1]/"imageFile"/"fileSize" |
| ID de proceso | Sí | N/D | «pruebas» [ 1]/"processId" |
| Nombre de proceso | Sí | N/D | «pruebas» [ 1]/"imageFile"/"fileName" |
| Vía de acceso de proceso | Sí | N/D | «pruebas» [ 1]/"imageFile"/"filePath" |
| Hash SHA1 de proceso | Nee | N/D | «pruebas» [ 1]/"imageFile"/"sha1" |
| Proceso SHA256 Hash | Nee | N/D | «pruebas» [ 1]/"imageFile"/"sha256" |
| Enlace de referencia. | Nee | N/D | /"alertWebUrl" |
| SHA1 Hash | Sí | N/D | «pruebas» [ 2]/"fileDetails"/"sha1" |
| Hash SHA256 | Sí | N/D | «pruebas» [ 2]/"fileDetails"/"sha256" |
| ID de proceso padre de destino | Nee | N/D | «pruebas» [ 2]/"parentProcessId" |
| Nombre de proceso padre de destino | Nee | N/D | «pruebas» [ 2]/"parentProcessImageFile"/"fileName" |
| Vía de acceso de proceso padre de destino | Nee | N/D | «pruebas» [ 2]/"parentProcessImageFile"/"filePath" |
| Mandato de proceso de destino | Nee | N/D | «pruebas» [ 2]/"processCommandLine" |
| ID de proceso de destino | Nee | N/D | «pruebas» [ 2]/"processId" |
| Nombre de proceso de destino | Nee | N/D | «pruebas» [ 2]/"imageFile"/"fileName" |
| Vía de acceso de proceso de destino | Nee | N/D | «pruebas» [ 2]/"imageFile"/"filePath" |
| Proceso de destino SHA1 Hash | Nee | N/D | «pruebas» [ 2]/"imageFile"/"sha1" |
| Proceso de destino SHA256 Hash | Nee | N/D | «pruebas» [ 2]/"imageFile"/"sha256" |
| Familia de amenazas | Nee | N/D | /"threatFamilyName" |
| Nombre de amenaza | Sí | N/D | /"threatDisplayName" |
| Remediación de amenazas | Nee | N/D | /"recommendedActions" |
| Gravedad de amenaza | Nee | N/D | «pruebas» [ 0]/"riskScore" |
| URL | Sí | N/D | /"pruebas" [3]/"url" |
| Host de URL | Sí | 1 | url ":" (?:. * ?:\/\/)? (? :www\.)? ([^ \/: \, \"] +) " |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.1
En la tabla siguiente se muestran las propiedades personalizadas nuevas y actualizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.1.
| Nombre | Optimizada | Grupo de capturas | Expresión regular |
|---|---|---|---|
| ID de alerta | Nee | 1 | AlertId":"(.*?)", |
| ID de proceso | Sí | 1 | \bInitiatingProcessId[":]+(\d+) |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.0
En la tabla siguiente se muestran las propiedades personalizadas nuevas y actualizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.1.0.
| Nombre | Optimizada | Grupo de capturas | Expresión regular |
|---|---|---|---|
| Nombre de cuenta | Sí | 1 | \bAccountName[":]+"([^"]*)" |
| ID de seguridad de cuenta | Nee | 1 | \bAccountSid[":]+"([^"]*)" |
| Acción | Sí | 1 | \bActionType[":]+"([^"]*)" RemediationAction":"(.*?)", |
| Resultado de la acción | Nee | 1 | RemediationIsSuccess":(.*?), |
| Dominio | Nee | 1 | \bDeviceName[":]+"([^"]*)" |
| Estado de ejecución | Nee | 1 | WasExecutingWhileDetected":(.*?), |
| Directorio de archivos | Sí | 1 | \bFolderPath[":]+"([^"]*)" |
| Tamaño de archivo | Nee | 1 | \bFileSize[":]+(\d+) |
| Nombre de archivo | Sí | 1 | \bFileName[":]+"([^"]*)" |
| ID de inicio de sesión | Sí | 1 | \bLogonId[":]+(\d+) |
| Hash MD5 | Sí | 1 | \bMD5[":]+"([^"]*)" |
| ID de proceso padre | Nee | 1 | \bInitiatingProcessParentId[":]+(\d+) |
| Nombre de proceso padre | Sí | 1 | \bInitiatingProcessParentFileName[":]+"([^"]*)" |
| Dominio de cuenta de proceso | Nee | 1 | \bInitiatingProcessAccountDomain[":]+"([^"]*)" |
| Nombre de cuenta de proceso | Nee | 1 | \bInitiatingProcessAccountName[":]+"([^"]*)" |
| ID de seguridad de cuenta de proceso | Nee | 1 | \bInitiatingProcessAccountSid[":]+"([^"]*)" |
| Línea de comandos de proceso | Sí | 1 | \bInitiatingProcessCommandLine[":]+(.*?)","InitiatingProcessParentCreationTime |
| Tamaño de archivo de proceso | Nee | 1 | \bInitiatingProcessFileSize[":]+(\d+) |
| ProcessID | Nee | 1 | \bInitiatingProcessId[":]+(\d+) |
| ID de inicio de sesión de proceso | Nee | 1 | \bInitiatingProcessLogonId[":]+(\d+) |
| Hash MD5 de proceso | Nee | 1 | \bInitiatingProcessMD5[":]+"([^"]*)" |
| Nombre de proceso | Sí | 1 | \bInitiatingProcessFileName[":]+"([^"]*)" |
| Vía de acceso de proceso | Sí | 1 | \bInitiatingProcessFolderPath[":]+"([^"]*)" |
| Hash SHA1 de proceso | Nee | 1 | \bInitiatingProcessSHA1[":]+"([^"]*)" |
| SHA256 de proceso | Nee | 1 | \bInitiatingProcessSHA256[":]+"([^"]*)" |
| Clave de registro | Sí | 1 | \bRegistryKey[":]+"([^"]*)" |
| SHA1 | Sí | 1 | \bSHA1[":]+"([^"]*)" |
| SHA256 | Sí | 1 | \bSHA256[":]+"([^"]*)" |
| Categoría de amenaza | Nee | 1 | ThreatCategory":"(.*?)", |
| Familia de amenazas | Nee | 1 | ThreatFamily":"(.*?)", |
| Nombre de amenaza | Sí | 1 | ThreatName":"(.*?)", |
| Gravedad de amenaza | Nee | 1 | Gravedad ":" (. *?) " |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.2
En la tabla siguiente se muestran las propiedades personalizadas actualizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.2.
| Nombre | Optimizada | Grupo de capturas | Expresión regular |
|---|---|---|---|
| Hash MD5 | Sí | 1 | Md5":"(.*?)", |
| SHA1 Hash | Sí | 1 | Sha1":"(.*?)", |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.1
En la tabla siguiente se muestran las nuevas propiedades personalizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.1.
| Nombre | Optimizada | Habilitada | Expresión regular |
|---|---|---|---|
| Directorio de archivos | 1 | 1 | FilePath":"(.*?)", |
En la tabla siguiente se muestran las propiedades personalizadas modificadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.1.
| Nombre | Optimizada |
|---|---|
| Nombre de archivo | 1 |
| Extensión de archivo | 1 |
| Host de URL | 1 |
En la tabla siguiente se muestran las propiedades personalizadas eliminadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.1.
| Nombre | Sustituido por |
|---|---|
| Vía de acceso del archivo | Directorio de archivos |
IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.0
La tabla siguiente muestra las propiedades personalizadas en IBM Security QRadar Propiedades personalizadas para Microsoft 365 Defender Content Extension 1.0.0.
| Nombre | Grupo de capturas | Expresión regular |
|---|---|---|
| Nombre de archivo | 1 | FileName":"(.*?)", |
| Vía de acceso del archivo | 1 | FilePath":"(.*?)", |
| Hash de archivo | 1 | FileHash":"(.*?)", |
| Hash MD5 | 1 | Md5":"(.*?)", |
| SHA1 Hash | 1 | Sha1":"(.*?)", |
| Hash SHA256 | 1 | Sha256":"(.*?)", |
| Nombre del sistema | 1 | MachineName":"(.*?)" |
| Nombre de amenaza | 1 | ThreatName":"(.*?)", |
| Gravedad de amenaza | 1 | Gravedad ":" (. *?) " |
| Categoría de amenaza | 1 | ThreatCategory":"(.*?)", |
| Familia de amenazas | 1 | ThreatFamily":"(.*?)", |
| Acción | 1 | RemediationAction":"(.*?)", |
| Resultado de la acción | 1 | RemediationIsSuccess":(.*?), |
| URL | 1 | Url \ " \: \" (. *?) \", |
| Host de URL | 1 | Url\"\:\"(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+) |
| Nombre de IOC | 1 | IocName":"(.*?)", |
| Valor IOC | 1 | IocValue":"(.*?)", |
| Estado de ejecución | 1 | WasExecutingWhileDetected":(.*?), |
| Alerta | 1 | AlertTitle":"(.*?)", |
| Alert_Category | 1 | Categoría ":" (. *?) ", |
| Alert_Severity | 1 | Gravedad ":" (. *?) ", |
| Enlace de referencia. | 1 | LinkToWDATP":"(.*?)", |
| Motor de detección | 1 | Fuente ":" (. *?) ", |
| Extensión de archivo | 1 | FileName":"[^\"\.]*\.([^\"]*?)" |