Microsoft Office 365

IBM Security QRadar Microsoft Office 365 Content Extension を使用して、Microsoft Office 365 の導入を詳細に監視します。 IBM セキュリティ QRadar セキュリティ Microsoft Office 365 コンテンツ拡張は、ルール、ビルディングブロック、レポート、保存された検索、およびカスタムイベントプロパティを追加し、Microsoft Office 365 デプロイメントのための既存の QRadar® イベント解析機能を構築します。

重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。

IBM Security QRadar Microsoft Office 365 コンテンツ拡張

IBM セキュリティ QRadar Microsoft Office 365 コンテンツ拡張機能 V1.4.1

以下の表は、 IBM Security QRadar、Microsoft Office 365、Content Extension V1.4.1: について更新された新旧の値を示しています
表 1. IBM Security QRadar Microsoft Office 365 コンテンツ拡張機能 V1.4.1 における旧値と新値
今までの値 新規の値
受信者ユーザー 受信者 (Recipients)
ObjectType オブジェクト・タイプ
ターゲット・ユーザー名 ターゲット・ユーザー名

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.4.0

ルール、レポート、および保存済み検索が削除され、ハイブリッド・クラウド・コンテンツ拡張にマイグレーションされました。

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.3.0

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.3.0で新しく導入された、または更新されたカスタム・プロパティーを示しています。

表 2. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.3.0 のカスタム・プロパティー
名前 最適化済み キャプチャー・グループ 正規表現
監査フラグ はい 1 \bName":"Default","Value":"(.*?)"
コンテンツ情報 はい 1 \bName":"Domains","Value":"(.*?)"

\bName":"Roles","Value":"(.*?)"
オブジェクト名 はい 1 /"Case"
オブジェクト・タイプ はい 1 /"ObjectType"
ポリシー名 はい 1 \bObjectId":".*?\\\\(.*?)"
ロール名 (Role Name) はい 1 Role.DisplayName.*?,"NewValue":"(.*?)"

\bName":"Identity","Value":"(.*?)"
実行された検索 (Search Executed) はい 1 \bObjectId":".*?\\\\(.*?)"

\bObjectId":".*?\\\\(.*?)\\\\.*?"

-SearchName\s+\(\\\"(.*?)\\\"\)

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.1

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.1で新しく導入された、または更新されたカスタム・プロパティーを示しています。

表 3. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.2.1 のカスタム・プロパティー
名前 最適化済み キャプチャー・グループ 正規表現
ObjectType はい 1 ItemType\":\"[^\"]+)
Originating_User はい 1 UserId[":]*([^"]*)
受信者ホスト はい 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
受信者ユーザー はい 1 値 ":" [^ "] *?: ([^"] *)
件名 はい 1 Subject[":]*([^"]*)

Subject[":]*([^"]*)
ターゲット・ユーザー名 はい 1 MailboxOwnerUPN[":]*([^"]*)

ObjectId[":]*([^"]*)

ObjectId[":]*([^"]*)

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0で新しく導入された、または更新されたカスタム・プロパティーを示しています。

表 4. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0 のカスタム・プロパティー
名前 最適化済み キャプチャー・グループ 正規表現
ポリシー名 はい 1 ObjectId\":\"([^\"]+)
受信者ホスト はい 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
受信者ユーザー はい 1 TargetUserOrGroupType\":\"(?:Member|Guest).*TargetUserOrGroupName\":\"([^\"]+)
ロール名 (Role Name) はい 1

Roles¥",¥"Value¥":¥"([^¥"]+)

Role¥",¥"Value¥":¥"([^¥"]+)
ターゲット・ユーザー名 はい 1

TargetUserOrGroupName\":\"([^\"]+)

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0の新しいルールおよびビルディング・ブロックを示しています。

表 5. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0 の新しいルールおよびビルディング・ブロック
タイプ 名前 説明
ビルディング・ブロック BB:CategoryDefinition: オブジェクト・アクセス・イベント Office 365 コンテンツ・パックに新しいビルディング・ブロックが追加されました
ビルディング・ブロック BB:CategoryDefinition: オブジェクトダウンロードイベント Office 365 コンテンツ・パックに新しいビルディング・ブロックが追加されました
ビルディング・ブロック BB:CategoryDefinition: オブジェクト・アップロード・イベント Office 365 コンテンツ・パックに新しいビルディング・ブロックが追加されました

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0で変更された保存済み検索を示しています。

表 6. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0 で変更された保存済み検索
名前 説明
Office365: ファイル・アクティビティー この保存された検索のフィルターは、「BB:CategoryDefinition: Object Access Events」、「BB:CategoryDefinition: Object Download Events」、「BB:CategoryDefinition: Object Upload Events」を使用するようにフィルタリングされています

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0で削除されたリファレンス・データを示しています。

表 7. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.2.0 で削除されたリファレンス・データ
タイプ 名前 説明
リファレンス・セット Office 365-ファイル・アクティビティー ファイルの作成、ファイルの変更、ファイルの削除、およびファイルのコピーなど、ファイル・アクティビティー・イベントに関する QID が含まれています。

( 上に戻る )

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.1.0

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.1.0で新しく導入された、または更新されたカスタム・プロパティーを示しています。

表 8. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.1.0 のカスタム・プロパティー
名前 最適化済み キャプチャー・グループ 正規表現
影響を受けるワークロード はい 1 Workload¥":¥"([^¥"]+)
エラー・コード はい 1 LogonError\":\"([^\"]+)
ファイル・ディレクトリー はい 1 SourceRelativeUrl\":\"((?:[^\"]*\/)(?=[^\.\"]+\.)|(?:[^\"]+))[^\"]*
ファイル拡張子 はい 1 SourceFileExtension\":\"([^\"]+)
ファイル名 はい 1 SourceFileName\":\"([^\"]+)
Group Name はい

はい

はい

 1

1

1

TargetUserOrGroupType\":\"[^\"]*Group.*TargetUserOrGroupName\":\"([^\"]+)

Group\.DisplayName\",\"Value\":\"([^\"]+)
ObjectType いいえ 1 ItemType\":\"([^\"]+)
ポリシー名 はい 1 ObjectId\":\"([^\"]+)
受信者ホスト はい 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
受信者ユーザー はい 1 TargetUserOrGroupType\":\"(?:Member|Guest).*TargetUserOrGroupName\":\"([^\"]+)
ターゲット・ユーザー域 はい 1 TargetUserOrGroupType\":\"([^\"]+)
ターゲット・ユーザー名 はい

はい

 1

ObjectId\":\"([^\"]*)

TargetUserOrGroupName\":\"([^\"]+)
ユーザー・エージェント いいえ 1 TargetUserOrGroupName\":\"([^\"]+)

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.1.0で変更された保存済み検索を示しています。

表 9. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.1.0 で変更された保存済み検索
名前 説明
Office 365: Office 365 ワークロードの正常性に影響を与えたインシデント すべてのユーザーが検索を使用できるようになりました。
Office365: ファイル・アクティビティー すべてのユーザーが検索を使用できるようになりました。

( 上に戻る )

IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0のカスタム・プロパティーを示しています。

表 10. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0 のカスタム・プロパティー
名前 正規表現
ファイル名 "SourceFileName":"(.*?)",
影響を受けるワークロード "Workload":"(.*?)",
OAuth 俳優 "Actor":\[\{"ID":"(.*?)",
ポリシー名 ObjectId":"(.*?)",

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0のルールおよびビルディング・ブロックを示しています。

表 11. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0 のルールおよびビルディング・ブロック
タイプ 名前 説明
ビルディング・ブロック BB: Office 365: ディレクトリー内の OAuth2PermissionsGrant を削除しました 「Office 365: Added and Removed an OAuth2PermissionGrant in the directory within a certain time period」ルールで使用されます。
ビルディング・ブロック BB: Office 365: ディレクトリーに OAuth2PermissionGrant が追加されました 「Office 365: Added and Removed an OAuth2PermissionGrant in the directory within a certain time period」ルールで使用されます。
ビルディング・ブロック BB: Office 365: 管理役割の割り当てが追加されました 「Office 365: Management Policy added and deleted with the same policy name within a certain time period」ルールで使用されます。
ビルディング・ブロック BB: Office 365: 管理役割の割り当てが削除されました 「Office 365: Management Policy added and deleted with the same policy name within a certain time period」ルールで使用されます。
ルール Office 365: 特定の期間内にディレクトリー内の OAuth2PermissionGrant が追加および削除されました 一定期間中にディレクトリーで OAuth2PermissionGrant が追加および削除された場合にそれを検出します。
ルール Office 365: Office365 ワークロードの正常性に影響するイベントが発生しました Office 365 ワークロードの正常性に影響を与えるイベントが発生した場合にそれを検出します。
ルール Office 365: 管理ポリシーが追加され、特定の期間内に同じポリシー名で削除されました 一定期間中に同じ名前の管理ポリシーが追加および削除された場合にそれを検出します。

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0のレポートを示しています。

表 12. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0 のレポート
レポート名 検索名と依存関係
Office 365 ワークロードの正常性に影響を及ぼした Office 365 インシデント-週次 保存済み検索: Office 365: Incidents that have impacted the health of an Office 365 Workload
Office 365 ワークロードの正常性に影響を与えた Office 365 インシデント-月次 保存済み検索: Office 365: Incidents that have impacted the health of an Office 365 Workload
Office 365 ファイル・アクティビティー-週次 保存済み検索: Office 365: File Activity
Office 365 ファイル・アクティビティー-月次 保存済み検索: Office 365: File Activity

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0のリファレンス・データを示しています。

表 13. IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0 のリファレンス・データ
タイプ 名前 説明
リファレンス・セット Office 365-ファイル・アクティビティー ファイルの作成、ファイルの変更、ファイルの削除、およびファイルのコピーなど、ファイル・アクティビティー・イベントに関する QID が含まれています。

次の表では、 IBM Security QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0の保存済み検索を示しています。

表14。 IBM セキュリティー QRadar Microsoft Office 365 コンテンツ拡張 V1.0.0 の保存済み検索
名前 説明
Office 365: ファイル・アクティビティー 「Office 365 File Activity」レポートで使用されます。
Office 365: Office 365 ワークロードの正常性に影響を与えたインシデント 「Office 365 Workload Health」レポートで使用されます。

( 上に戻る )