Microsoft 365 Defender

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장에 대한 사용자 지정 속성을 사용하여 Microsoft 365 Defender 배포를 면밀히 모니터링하세요.

중요: 이 컨텐츠 확장에서 컨텐츠 오류를 방지하려면 연관된 DSM을 최신 상태로 유지하십시오. DSM은 자동 업데이트의 일부로 업데이트됩니다. 자동 업데이트가 활성화되지 않은 경우 IBM® Fix Central에서 관련 DSM의 최신 버전을 다운로드하세요(https://www.ibm.com/support/fixcentral).

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램용 사용자 지정 속성

Microsoft 365 Defender 콘텐츠 확장 1.2.1 용 IBM Security QRadar 사용자 지정 속성

다음 표에서는 Microsoft 365 Defender Content Extension 1.2.1 에 대한 IBM Security QRadar 사용자 지정 속성을 보여줍니다.

표 1. QRadarIBM 새로운 사용자 지정 속성 Microsoft 365 용 사용자 지정 속성 콘텐츠 확장 1.2.1
이름 최적화 여부 캡처 그룹 정규식
계정 이름 예 해당사항 없음 AccountName":"(.*?)",
조치 유형 아니오 1 ActionType":"(.*?)",
명령 예 해당사항 없음 CommandLine":"\\"(.*?),
파일 디렉토리 예 해당사항 없음 FolderPath":"(.*?)",
파일 크기 아니오 해당사항 없음 FileSize":(.*?),
파일 이름 예 해당사항 없음 ProcessFileName":"(.*?)",
시스템 ID 예 해당사항 없음 DeviceId":"(.*?)",
MD5 해시 예 해당사항 없음 MD5[":]+"([^"]*)"
상위 프로세스 ID 아니오 해당사항 없음 ParentId":(.*?),
상위 프로세스 이름 아니오 해당사항 없음 ParentFileName":"(.*?)",
프로세스 ID 예 해당사항 없음 ProcessId":(.*?),
프로토콜 예 해당사항 없음 프로토콜":"(.*?)",
ReferrerURL 아니오 1 ReferrerUrl":(.*?),
SHA1 해시 예 해당사항 없음 SHA1[":]+"([^"]*)"
서명 상태 아니오 1 SignatureStatus":"(.*?)",
서명자 유형 아니오 1 SignerType":"(.*?)",

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램의 사용자 지정 속성 1.2.0

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.2.0의 새 사용자 정의 특성을 표시합니다.

표 2. IBM 보안 QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.2.0 의 새 사용자 정의 특성
이름 최적화 여부 캡처 그룹 정규식
계정 이름 예 해당사항 없음 /"증거"[1]/"userAccount"/"accountName"
계정 보안 ID 아니오 해당사항 없음 "증거"[ 1]/"userAccount"/"userSid"
경보 아니오 해당사항 없음 /"제목"
경보 카테고리 아니오 해당사항 없음 /"카테고리"
경보 설명 아니오 해당사항 없음 /"설명"
경보 심각도 아니오 해당사항 없음 /"심각도"
선언 엔진 아니오 해당사항 없음 /"detectionSource"
도메인 아니오 해당사항 없음 /"증거"[1]/"userAccount"/"domainName"
파일 디렉토리 예 해당사항 없음 "증거"[ 2]/"fileDetails"/"filePath"
파일 확장자 예 1 fileDetails":.*?fileName":"[^\"\.]*\.([^\"]*?)",
파일 크기 아니오 해당사항 없음 "증거"[ 2]/"fileDetails"/"fileSize"
파일 이름 예 해당사항 없음 "증거"[ 2]/"fileDetails"/"fileName"
시스템 ID 예 해당사항 없음 "증거"[ 0]/"deviceDnsName"
mitre 공격 ID 아니오 해당사항 없음 /"mitreTechniques"[]
OS 이름 아니오 해당사항 없음 "증거"[ 0]/"osPlatform"
상위 프로세스 ID 아니오 해당사항 없음 /"증거"[1]/"parentProcessId"
상위 프로세스 이름 아니오 해당사항 없음 /"증거"[1]/"parentProcessImageFile"/"fileName"
상위 프로세스 경로 아니오 해당사항 없음 /"증거"[1]/"parentProcessImageFile"/"filePath"
프로세스 명령행 예 해당사항 없음 "증거"[ 1]/"processCommandLine"
프로세스 파일 크기 아니오 해당사항 없음 "증거"[ 1]/"imageFile"/"fileSize"
프로세스 ID 예 해당사항 없음 "증거"[ 1]/"processId"
프로세스 이름 예 해당사항 없음 /"증거"[1]/"imageFile"/"fileName"
프로세스 경로 예 해당사항 없음 /"증거"[1]/"imageFile"/"filePath"
프로세스 SHA1 해시 아니오 해당사항 없음 "증거"[ 1]/"imageFile"/"sha1"
프로세스 SHA256 해시 아니오 해당사항 없음 "증거"[ 1]/"imageFile"/"sha256"
참조 링크 아니오 해당사항 없음 /"alertWebUrl"
SHA1 해시 예 해당사항 없음 "증거"[ 2]/"fileDetails"/"sha1"
SHA256 해시 예 해당사항 없음 "증거"[ 2]/"fileDetails"/"sha256"
대상 상위 프로세스 ID 아니오 해당사항 없음 /"증거"[2]/"parentProcessId"
대상 상위 프로세스 이름 아니오 해당사항 없음 /"증거"[2]/"parentProcessImageFile"/"fileName"
대상 상위 프로세스 경로 아니오 해당사항 없음 /"증거"[2]/"parentProcessImageFile"/"filePath"
대상 프로세스 명령 아니오 해당사항 없음 "증거"[ 2]/"processCommandLine"
대상 프로세스 ID 아니오 해당사항 없음 "증거"[ 2]/"processId"
대상 프로세스 이름 아니오 해당사항 없음 /"증거"[2]/"imageFile"/"fileName"
대상 프로세스 경로 아니오 해당사항 없음 /"증거"[2]/"imageFile"/"filePath"
대상 프로세스 SHA1 해시 아니오 해당사항 없음 "증거"[ 2]/"imageFile"/"sha1"
대상 프로세스 SHA256 해시 아니오 해당사항 없음 "증거"[ 2]/"imageFile"/"sha256"
위협 제품군 아니오 해당사항 없음 /"threatFamilyName"
위협 이름 예 해당사항 없음 /"threatDisplayName"
위협 조치방안 아니오 해당사항 없음 /"recommendedActions"
위협 심각도 아니오 해당사항 없음 "증거"[ 0]/"riskScore"
URL 예 해당사항 없음 /"증거" [3]/"url"
URL 호스트 예 1 url ":" (?:. * ?:\/\/)? (? :www\.)? ([^ \/:\, \"]+) "

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램의 사용자 지정 속성 1.1.1

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.1.1의 신규 및 업데이트된 사용자 정의 특성을 표시합니다.

표 3. IBM 보안 QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.1.1 의 새 사용자 정의 특성
이름 최적화 여부 캡처 그룹 정규식
경보 ID 아니오 1 AlertId":"(.*?)",
프로세스 ID 예 1 \bInitiatingProcessId[":]+(\d+)

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램의 사용자 지정 속성 1.1.0

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.1.0의 신규 및 업데이트된 사용자 정의 특성을 표시합니다.

표 4. IBM 보안 QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.1.0 의 새 사용자 정의 특성
이름 최적화 여부 캡처 그룹 정규식
계정 이름 예 1 \bAccountName[":]+"([^"]*)"
계정 보안 ID 아니오 1 \bAccountSid[":]+"([^"]*)"
조치 예 1 \bActionType[":]+"([^"]*)"

RemediationAction":"(.*?)",
조치 결과 아니오 1 RemediationIsSuccess":(.*?),
도메인 아니오 1 \bDeviceName[":]+"([^"]*)"
실행 상태 아니오 1 WasExecutingWhileDetected":(.*?),
파일 디렉토리 예 1 \bFolderPath[":]+"([^"]*)"
파일 크기 아니오 1 \bFileSize[":]+(\d+)
파일 이름 예 1 \bFileName[":]+"([^"]*)"
로그온 ID 예 1 \bLogonId[":]+(\d+)
MD5 해시 예 1 \bMD5[":]+"([^"]*)"
상위 프로세스 ID 아니오 1 \bInitiatingProcessParentId[":]+(\d+)
상위 프로세스 이름 예 1 \bInitiatingProcessParentFileName[":]+"([^"]*)"
프로세스 계정 도메인 아니오 1 \bInitiatingProcessAccountDomain[":]+"([^"]*)"
프로세스 계정 이름 아니오 1 \bInitiatingProcessAccountName[":]+"([^"]*)"
프로세스 계정 보안 ID 아니오 1 \bInitiatingProcessAccountSid[":]+"([^"]*)"
프로세스 명령행 예 1 \bInitiatingProcessCommandLine[":]+(.*?)","InitiatingProcessParentCreationTime
프로세스 파일 크기 아니오 1 \bInitiatingProcessFileSize[":]+(\d+)
ProcessID 아니오 1 \bInitiatingProcessId[":]+(\d+)
프로세스 로그온 ID 아니오 1 \bInitiatingProcessLogonId[":]+(\d+)
프로세스 MD5 해시 아니오 1 \bInitiatingProcessMD5[":]+"([^"]*)"
프로세스 이름 예 1 \bInitiatingProcessFileName[":]+"([^"]*)"
프로세스 경로 예 1 \bInitiatingProcessFolderPath[":]+"([^"]*)"
프로세스 SHA1 해시 아니오 1 \bInitiatingProcessSHA1[":]+"([^"]*)"
프로세스 SHA256 아니오 1 \bInitiatingProcessSHA256[":]+"([^"]*)"
레지스트리 키 예 1 \bRegistryKey[":]+"([^"]*)"
SHA1 예 1 \bSHA1[":]+"([^"]*)"
SHA256 예 1 \bSHA256[":]+"([^"]*)"
위협 카테고리 아니오 1 ThreatCategory":"(.*?)",
위협 제품군 아니오 1 ThreatFamily":"(.*?)",
위협 이름 예 1 ThreatName":"(.*?)",
위협 심각도 아니오 1 심각도":"(.*?)"

(맨 위로 돌아가기)

IBM Security QRadar Microsoft 365 Defender Content Extension 1.0.2

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.2의 업데이트된 사용자 정의 특성을 표시합니다.

표 5. IBM 보안 QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.2 의 새 사용자 정의 특성
이름 최적화 여부 캡처 그룹 정규식
MD5 해시 예 1 Md5":"(.*?)",
SHA1 해시 예 1 Sha1":"(.*?)",

(맨 위로 돌아가기)

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램의 사용자 지정 속성 1.0.1

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.1의 새 사용자 정의 특성을 표시합니다.

표 6. IBM 보안 QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.1 의 새 사용자 정의 특성
이름 최적화 여부 사용 정규식
파일 디렉토리 1 1 FilePath":"(.*?)",

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.1에서 변경된 사용자 정의 특성을 표시합니다.

표 7. IBM 보안 QRadar Microsoft 365 Defender Content Extension의 사용자 정의 특성 1.0.1 에서 변경된 사용자 정의 특성
이름 최적화 여부
파일 이름 1
파일 확장자 1
URL 호스트 1

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.1에서 제거된 사용자 정의 특성을 표시합니다.

표 8. IBM 보안 QRadar Microsoft 365 Defender Content Extension의 사용자 정의 특성 1.0.1 에서 제거된 사용자 정의 특성
이름 대체 대상
파일 경로 파일 디렉토리

(맨 위로 돌아가기)

IBM 보안 QRadar Microsoft 365 Defender 콘텐츠 확장 프로그램의 사용자 지정 속성 1.0.0

다음 표는 IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.0의 사용자 정의 특성을 표시합니다.

표 9. IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.0의 사용자 정의 특성
이름 캡처 그룹 정규식
파일 이름 1 FileName":"(.*?)",
파일 경로 1 FilePath":"(.*?)",
파일 해시 1 FileHash":"(.*?)",
MD5 해시 1 Md5":"(.*?)",
SHA1 해시 1 Sha1":"(.*?)",
SHA256 해시 1 Sha256":"(.*?)",
컴퓨터 이름 1 MachineName":"(.*?)"
위협 이름 1 ThreatName":"(.*?)",
위협 심각도 1 심각도":"(.*?)"
위협 카테고리 1 ThreatCategory":"(.*?)",
위협 제품군 1 ThreatFamily":"(.*?)",
조치 1 RemediationAction":"(.*?)",
조치 결과 1 RemediationIsSuccess":(.*?),
URL 1 URL\"\: \" (. *?) \",
URL 호스트 1 Url\"\:\"(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+)
IOC 이름 1 IocName":"(.*?)",
IOC값 1 IocValue":"(.*?)",
실행 상태 1 WasExecutingWhileDetected":(.*?),
경보 1 AlertTitle":"(.*?)",
Alert_Category 1 카테고리 ":" (. *?) ",
경보 심각도 1 심각도 ":" (. *?) ",
참조 링크 1 LinkToWDATP":"(.*?)",
발견 엔진 1 소스 ":" (. *?) ",
파일 확장자 1 FileName":"[^\"\.]*\.([^\"]*?)"

(맨 위로 돌아가기)