Microsoft 365 Defender
Microsoft 365 Defender Content Extension の IBM セキュリティ QRadar セキュリティ Custom Properties を使用して、Microsoft 365 Defender の展開を詳細に監視してください。
重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。
IBM Security QRadar Microsoft 365 Defender コンテンツ拡張のカスタム・プロパティー
- IBM Security QRadar カスタム プロパティ for Microsoft 365 Defender コンテンツ拡張機能 1.2.1
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.2.0
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.1
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.0
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.2
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.1
- IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.0
IBM Security QRadar カスタム プロパティ for Microsoft 365 Defender コンテンツ拡張機能 1.2.1
次の表は、 Microsoft 365 Defender コンテンツ拡張 1.2.1 の IBM Security QRadar カスタム プロパティを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| アカウント名 | はい | N/A | AccountName":"(.*?)", |
| アクション・タイプ | いいえ | 1 | ActionType":"(.*?)", |
| コマンド | はい | N/A | CommandLine":"\\"(.*?), |
| ファイル・ディレクトリー | はい | N/A | FolderPath":"(.*?)", |
| ファイル・サイズ | いいえ | N/A | FileSize":(.*?), |
| ファイル名 | はい | N/A | ProcessFileName":"(.*?)", |
| マシン ID (Machine Identifier) | はい | N/A | DeviceId":"(.*?)", |
| MD5 ハッシュ | はい | N/A | MD5[":]+"([^"]*)" |
| 親プロセス ID | いいえ | N/A | ParentId":(.*?), |
| 親プロセスの名前 | いいえ | N/A | ParentFileName":"(.*?)", |
| プロセス ID | はい | N/A | ProcessId":(.*?), |
| Protocol | はい | N/A | プロトコル":"(.*?)", |
| ReferrerURL | いいえ | 1 | ReferrerUrl":(.*?), |
| SHA1 ハッシュ | はい | N/A | SHA1[":]+"([^"]*)" |
| 署名状況 (Signature Status) | いいえ | 1 | SignatureStatus":"(.*?)", |
| 署名者タイプ | いいえ | 1 | SignerType":"(.*?)", |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.2.0
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.2.0の新しいカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| アカウント名 | はい | N/A | 「証拠」[ 1]/"userAccount"/"accountName" |
| アカウント・セキュリティー ID | いいえ | N/A | 「証拠」[ 1]/"userAccount"/"userSid" |
| Alert | いいえ | N/A | /"タイトル" |
| アラート・カテゴリー (Alert Category) | いいえ | N/A | /"カテゴリー" |
| アラートの説明 | いいえ | N/A | /"説明" |
| アラートの重大度 | いいえ | N/A | /"重大度" |
| Dectection エンジン | いいえ | N/A | /"detectionSource" |
| ドメイン | いいえ | N/A | 「証拠」[ 1]/"userAccount"/"domainName" |
| ファイル・ディレクトリー | はい | N/A | 「証拠」[ 2]/"fileDetails"/"filePath" |
| ファイル拡張子 | はい | 1 | fileDetails":.*?fileName":"[^\"\.]*\.([^\"]*?)", |
| ファイル・サイズ | いいえ | N/A | 「証拠」[ 2]/"fileDetails"/"fileSize" |
| ファイル名 | はい | N/A | 「証拠」[ 2]/"fileDetails"/"fileName" |
| マシン ID | はい | N/A | 「証拠」[ 0]/"deviceDnsName" |
| マイター攻撃ID | いいえ | N/A | /"mitreTechniques"[] |
| OS 名 | いいえ | N/A | 「証拠」[ 0]/"osPlatform" |
| 親プロセス ID | いいえ | N/A | 「証拠」[ 1]/"parentProcessId" |
| 親プロセスの名前 | いいえ | N/A | 「証拠」[ 1]/"parentProcessImageFile"/"fileName" |
| 親プロセス・パス | いいえ | N/A | 「証拠」[ 1]/"parentProcessImageFile"/"filePath" |
| プロセス・コマンド行 | はい | N/A | 「証拠」[ 1]/"processCommandLine" |
| Process File Size | いいえ | N/A | 「証拠」[ 1]/"imageFile"/"fileSize" |
| プロセス ID | はい | N/A | 「証拠」[ 1]/"processId" |
| プロセス名 | はい | N/A | 「証拠」[ 1]/"imageFile"/"fileName" |
| プロセス・パス | はい | N/A | 「証拠」[ 1]/"imageFile"/"filePath" |
| Process SHA1 Hash | いいえ | N/A | 「証拠」[ 1]/"imageFile"/"sha1" |
| SHA256 ハッシュの処理 | いいえ | N/A | 「証拠」[ 1]/"imageFile"/"sha256" |
| 参照リンク | いいえ | N/A | /"alertWebUrl" |
| SHA1 ハッシュ | はい | N/A | 「証拠」[ 2]/"fileDetails"/"sha1" |
| SHA256 ハッシュ | はい | N/A | 「証拠」[ 2]/"fileDetails"/"sha256" |
| ターゲット親プロセス ID | いいえ | N/A | 「証拠」[ 2]/"parentProcessId" |
| ターゲット親プロセス名 | いいえ | N/A | 「証拠」[ 2]/"parentProcessImageFile"/"fileName" |
| ターゲット親プロセス・パス | いいえ | N/A | 「証拠」[ 2]/"parentProcessImageFile"/"filePath" |
| ターゲット・プロセス・コマンド | いいえ | N/A | 「証拠」[ 2]/"processCommandLine" |
| ターゲット・プロセス ID | いいえ | N/A | 「証拠」[ 2]/"processId" |
| ターゲット・プロセス名 (Target Process Name) | いいえ | N/A | 「証拠」[ 2]/"imageFile"/"fileName" |
| ターゲット・プロセス・パス (Target Process Path) | いいえ | N/A | 「証拠」[ 2]/"imageFile"/"filePath" |
| ターゲット・プロセス SHA1 ハッシュ | いいえ | N/A | 「証拠」[ 2]/"imageFile"/"sha1" |
| ターゲット・プロセス SHA256 ハッシュ | いいえ | N/A | 「証拠」[ 2]/"imageFile"/"sha256" |
| 脅威ファミリー (Threat Family) | いいえ | N/A | /"threatFamilyName" |
| 脅威名 | はい | N/A | /"threatDisplayName" |
| Threat Remediation | いいえ | N/A | /"recommendedActions" |
| 脅威の重大度 | いいえ | N/A | 「証拠」[ 0]/"riskScore" |
| URL | はい | N/A | /"エビデンス" [3]/"url" |
| URL ホスト (URL Host) | はい | 1 | url ":" (?:. * ?: ¥/¥/)? (? :www¥.)? ([^ ¥/: ¥, ¥ "] +)" |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.1
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.1の新規および更新されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| アラート ID | いいえ | 1 | AlertId":"(.*?)", |
| プロセス ID | はい | 1 | \bInitiatingProcessId[":]+(\d+) |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.0
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.1.0の新規および更新されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| アカウント名 | はい | 1 | \bAccountName[":]+"([^"]*)" |
| アカウント・セキュリティー ID | いいえ | 1 | \bAccountSid[":]+"([^"]*)" |
| アクション | はい | 1 | \bActionType[":]+"([^"]*)" RemediationAction":"(.*?)", |
| アクションの結果 | いいえ | 1 | RemediationIsSuccess":(.*?), |
| ドメイン | いいえ | 1 | \bDeviceName[":]+"([^"]*)" |
| 実行状況 (Execution Status) | いいえ | 1 | WasExecutingWhileDetected":(.*?), |
| ファイル・ディレクトリー | はい | 1 | \bFolderPath[":]+"([^"]*)" |
| ファイル・サイズ | いいえ | 1 | \bFileSize[":]+(\d+) |
| ファイル名 | はい | 1 | \bFileName[":]+"([^"]*)" |
| Logon ID | はい | 1 | \bLogonId[":]+(\d+) |
| MD5 ハッシュ | はい | 1 | \bMD5[":]+"([^"]*)" |
| 親プロセス ID | いいえ | 1 | \bInitiatingProcessParentId[":]+(\d+) |
| 親プロセスの名前 | はい | 1 | \bInitiatingProcessParentFileName[":]+"([^"]*)" |
| Process Account Domain | いいえ | 1 | \bInitiatingProcessAccountDomain[":]+"([^"]*)" |
| Process Account Name | いいえ | 1 | \bInitiatingProcessAccountName[":]+"([^"]*)" |
| Process Account Security ID | いいえ | 1 | \bInitiatingProcessAccountSid[":]+"([^"]*)" |
| プロセス・コマンド行 | はい | 1 | \bInitiatingProcessCommandLine[":]+(.*?)","InitiatingProcessParentCreationTime |
| Process File Size | いいえ | 1 | \bInitiatingProcessFileSize[":]+(\d+) |
| ProcessID | いいえ | 1 | \bInitiatingProcessId[":]+(\d+) |
| Process Logon ID | いいえ | 1 | \bInitiatingProcessLogonId[":]+(\d+) |
| Procecss MD5 Hash | いいえ | 1 | \bInitiatingProcessMD5[":]+"([^"]*)" |
| プロセス名 | はい | 1 | \bInitiatingProcessFileName[":]+"([^"]*)" |
| プロセス・パス | はい | 1 | \bInitiatingProcessFolderPath[":]+"([^"]*)" |
| Process SHA1 Hash | いいえ | 1 | \bInitiatingProcessSHA1[":]+"([^"]*)" |
| Process SHA256 | いいえ | 1 | \bInitiatingProcessSHA256[":]+"([^"]*)" |
| レジストリー・キー | はい | 1 | \bRegistryKey[":]+"([^"]*)" |
| SHA1 | はい | 1 | \bSHA1[":]+"([^"]*)" |
| SHA256 | はい | 1 | \bSHA256[":]+"([^"]*)" |
| 脅威カテゴリー (Threat Category) | いいえ | 1 | ThreatCategory":"(.*?)", |
| 脅威ファミリー (Threat Family) | いいえ | 1 | ThreatFamily":"(.*?)", |
| 脅威名 | はい | 1 | ThreatName":"(.*?)", |
| 脅威の重大度 | いいえ | 1 | 重大度 ":" (. *?) " |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.2
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.2で更新されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| MD5 ハッシュ | はい | 1 | Md5":"(.*?)", |
| SHA1 ハッシュ | はい | 1 | Sha1":"(.*?)", |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.1
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.1の新しいカスタム・プロパティーを示しています。
| 名前 | 最適化済み | 有効 | 正規表現 |
|---|---|---|---|
| ファイル・ディレクトリー | 1 | 1 | FilePath":"(.*?)", |
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.1で変更されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み |
|---|---|
| ファイル名 | 1 |
| ファイル拡張子 | 1 |
| UrlHost | 1 |
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.1で削除されたカスタム・プロパティーを示しています。
| 名前 | 代替のカスタム・プロパティー |
|---|---|
| ファイル・パス | ファイル・ディレクトリー |
IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.0
次の表では、 IBM Security QRadar Custom Properties for Microsoft 365 Defender コンテンツ拡張 1.0.0のカスタム・プロパティーを示しています。
| 名前 | キャプチャー・グループ | 正規表現 |
|---|---|---|
| ファイル名 | 1 | FileName":"(.*?)", |
| ファイル・パス | 1 | FilePath":"(.*?)", |
| File Hash | 1 | FileHash":"(.*?)", |
| MD5 ハッシュ | 1 | Md5":"(.*?)", |
| SHA1 ハッシュ | 1 | Sha1":"(.*?)", |
| SHA256 ハッシュ | 1 | Sha256":"(.*?)", |
| コンピューター名 | 1 | MachineName":"(.*?)" |
| 脅威名 | 1 | ThreatName":"(.*?)", |
| 脅威の重大度 | 1 | 重大度 ":" (. *?) " |
| 脅威カテゴリー (Threat Category) | 1 | ThreatCategory":"(.*?)", |
| 脅威ファミリー (Threat Family) | 1 | ThreatFamily":"(.*?)", |
| アクション | 1 | RemediationAction":"(.*?)", |
| アクションの結果 | 1 | RemediationIsSuccess":(.*?), |
| URL | 1 | Url\"\:\"(.*?)\", |
| UrlHost | 1 | Url\"\:\"(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+) |
| IOC 名 | 1 | IocName":"(.*?)", |
| IOC 値 | 1 | IocValue":"(.*?)", |
| 実行状況 (Execution Status) | 1 | WasExecutingWhileDetected":(.*?), |
| Alert | 1 | AlertTitle":"(.*?)", |
| アラート・カテゴリー (Alert_Category) | 1 | カテゴリー ":" (. *?) ", |
| アラートの重大度 (Alert_Severity) | 1 | 重大度 ":" (. *?) ", |
| 参照リンク | 1 | LinkToWDATP":"(.*?)", |
| 検出エンジン | 1 | ソース ":" (. *?) ", |
| ファイル拡張子 | 1 | FileName":"[^\"\.]*\.([^\"]*?)" |