Nawiązywanie połączenia ze źródłem danych Microsoft Defender for Endpoint

Edytuj w trybie z połączeniem

Połącz źródło danych Microsoft Defender for Endpoint z platformą, aby umożliwić aplikacjom i panelom kontrolnym gromadzenie i analizowanie danych bezpieczeństwa Microsoft Defender for Endpoint . Konektory Universal Data Insights umożliwiają wyszukiwanie stowarzyszone między produktami zabezpieczeń.

Zanim rozpoczniesz

Współpracuj z administratorem Microsoft Security Center , aby uzyskać uprawnienia wymagane dla konta użytkownika do odbierania danych za pośrednictwem konektora.

Aby włączyć dostęp do zaawansowanego interfejsu API łowiectwa dla produktu Microsoft Defender for Endpoint:

Zarejestruj aplikację dla Microsoft Defender for Endpoint w Azure Active Directory , postępując zgodnie ze wskazówkami zawartymi w sekcji Używanie interfejsów API języka Microsoft Defender for Endpoint (https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/exposed-apis-create-app-nativeapp?view=o365-worldwide).
Po wyświetleniu nowego panelu kontrolnego aplikacji wyświetlane są identyfikator najemcy i identyfikator klienta tej aplikacji. W kroku 8 potrzebny jest identyfikator najemcy i klienta tej aplikacji.
Wybierz opcję Uprawnienia interfejsu API.
Kliknij opcję Dodaj uprawnienie > Interfejsy API używane przez moją organizację, a następnie wyszukaj i wybierz model WindowsDefenderATP.
Kliknij opcję Delegowane uprawnienia i wybierz opcję AdvancedQuery > AdvancedQuery.Zapoznaj się z sekcją.
Kliknij opcję Uprawnienia aplikacji i wybierz opcję AdvancedQuery > AdvancedQuery.Read.All.
Kliknij opcję Dodaj uprawnienia.
Współpracuj z administratorem, aby udzielić zgody administratora na skonfigurowane uprawnienia.
Kliknij opcję Certyfikaty i dane niejawne.
Aby wygenerować klucz tajny klienta dla tej skonfigurowanej aplikacji, kliknij opcję Nowy klucz tajny klienta. W kroku 8 potrzebny jest klucz tajny klienta.
Wprowadź opis i wybierz wartość z opcji Utrata ważności dla klucza tajnego klienta.

Jeśli między klastrem a miejscem docelowym źródła danych znajduje się firewall, do udostępniania kontenerów należy użyć programu IBM® Security Edge Gateway . Edge Gateway musi być w wersji V1.6 lub nowszej. Więcej informacji na ten temat zawiera sekcja Konfigurowanie bramy Edge Gateway.

Informacje o tym zadaniu

Konektor Microsoft Defender for Endpoint został zaprojektowany do pracy z interfejsem API zaawansowanego wyszukiwania. Więcej informacji na temat interfejsu API zaawansowanego polowania zawiera sekcja Interfejs API zaawansowanego polowania (https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/run-advanced-query-api?view=o365-worldwide).

Informacje o ustrukturyzowanych zagrożeniach eXpression (STIX) to język i format serializacji używany przez organizacje do wymiany informacji o zagrożeniach cybernetycznych. Konektor Microsoft Defender for Endpoint używa wzorców STIX do tworzenia zapytań o dane Microsoft Defender for Endpoint i zwraca wyniki jako obiekty STIX . Więcej informacji na temat sposobu odwzorowania schematu danych Microsoft Defender for Endpoint na schemat STIXzawiera sekcja Microsoft Defender for Endpoint STIX Odwzorowanie (https://github.com/opencybersecurityalliance/stix-shifter/blob/develop/adapter-guide/connectors/msatp_supported_stix.md).

Procedura

Idź do Menu > Połączenia > Źródła danych.
Na karcie Źródła danych kliknij opcję Połącz źródło danych.
Kliknij opcję Microsoft Defender for Endpoint, a następnie kliknij przycisk Dalej.
Skonfiguruj połączenie ze źródłem danych.
1. W polu Nazwa źródła danych przypisz nazwę jednoznacznie identyfikującą połączenie ze źródłem danych.
  Istnieje możliwość utworzenia wielu instancji połączenia ze źródłem danych, aby można było je wyraźnie oddzielić za pomocą nazwy. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
2. W polu Opis źródła danych wpisz opis wskazujący przeznaczenie połączenia ze źródłem danych.
  Istnieje możliwość utworzenia wielu instancji połączenia ze źródłem danych, dlatego warto wyraźnie wskazać przeznaczenie każdego połączenia za pomocą opisu. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
3. Jeśli między klastrem a miejscem docelowym źródła danych znajduje się firewall, do udostępniania kontenerów należy użyć Edge Gateway . W polu Brama brzegowa (opcjonalnie) określ, który Edge Gateway ma być używany.
  Wybierz Edge Gateway , aby udostępnić konektor. Wyświetlenie statusu nowo wdrożonych połączeń źródła danych w Edge Gateway może potrwać do pięciu minut.
4. W polu Adres IP lub nazwa hosta zarządzania ustaw adres IP lub nazwę hosta źródła danych, aby platforma mogła się z nim komunikować.
5. W polu Port hosta ustaw numer portu, który jest powiązany z podstawowym adresem URL. Wartością domyślną jest 443.
Ustaw parametry zapytania, aby kontrolować zachowanie zapytania wyszukiwania w źródle danych.
1. W polu Limit współbieżnego wyszukiwania ustaw liczbę jednoczesnych połączeń, które można nawiązać ze źródłem danych. Domyślnym limitem liczby połączeń jest 4. Wartość nie może być mniejsza niż 1 i nie może być większa niż 100.
2. W polu Limit czasu wyszukiwania zapytania ustaw limit czasu (w minutach), przez jaki zapytanie jest uruchamiane w źródle danych. Domyślnym limitem czasu jest 30. Jeśli wartość jest ustawiona na zero, nie ma limitu czasu. Wartość nie może być mniejsza niż 1 i nie może być większa niż 120.
3. W polu Limit wielkości wyników ustaw maksymalną liczbę pozycji lub obiektów zwracanych przez zapytanie do wyszukania. Domyślnym limitem wielkości wyniku jest 10 000. Wartość nie może być mniejsza niż 1 i nie może być większa niż 500 000.
4. W polu Zakres czasu zapytania ustaw zakres czasu w minutach dla wyszukiwania, reprezentowany przez ostatnie X minut. Wartością domyślną jest 5 minut. Wartość nie może być mniejsza niż 1 i nie może być większa niż 10 000.
Ważne: Jeśli zostanie zwiększony limit współbieżnego wyszukiwania i limit wielkości wyników, do źródła danych może zostać wysłana większa ilość danych, co zwiększy obciążenie źródła danych. Zwiększenie zakresu czasu zapytania zwiększa również ilość danych.
Opcjonalnie: Jeśli konieczne jest dostosowanie odwzorowania atrybutów STIX, kliknij opcję Dostosuj odwzorowanie atrybutów i zmodyfikuj obiekt JSON, aby odwzorować nowe lub istniejące właściwości na powiązane z nimi docelowe pola źródła danych.
Skonfiguruj tożsamość i dostęp.
1. Kliknij opcję Dodaj konfigurację.
2. W polu Nazwa konfiguracji wprowadź unikalną nazwę opisującą konfigurację dostępu i odróżniającą ją od innych konfiguracji dostępu dla tego połączenia źródła danych, które można skonfigurować. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
3. W polu Opis konfiguracji wprowadź unikalny opis opisujący konfigurację dostępu i odróżniający ją od innych konfiguracji dostępu dla tego połączenia źródła danych, które można skonfigurować. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
4. Kliknij opcję Edytuj dostęp i wybierz użytkowników, którzy mogą łączyć się ze źródłem danych i typ dostępu.
5. Kliknij przycisk Dodaj.
6. W polu Podmiot wprowadź identyfikator podmiotu użytkującego aplikacji Azure Active Directory z dostępem do interfejsu API zaawansowanego polowania.
7. W polu Identyfikator klienta wprowadź identyfikator klienta aplikacji Azure Active Directory z dostępem do interfejsu API zaawansowanego wyszukiwania.
8. W polu Klucz tajny klienta wprowadź klucz tajny klienta aplikacji Azure Active Directory z dostępem do interfejsu API zaawansowanego wyszukiwania.
9. Aby zapisać konfigurację i nawiązać połączenie, kliknij przycisk Gotowe.
Na stronie ustawień źródła danych można wyświetlić konfigurację połączenia źródła danych, która została dodana w sekcji Połączenia. Komunikat na karcie wskazuje połączenie ze źródłem danych.
Po dodaniu źródła danych może upłynąć kilka minut, zanim zostanie ono wyświetlone jako połączone.
Wskazówka: Po podłączeniu źródła danych pobranie danych może potrwać do 30 sekund. Przed zwróceniem pełnego zestawu danych źródło danych może być wyświetlane jako niedostępne. Po zwróceniu danych źródło danych jest wyświetlane jako połączone i występuje mechanizm odpytywania sprawdzający status połączenia. Status połączenia jest poprawny przez 60 sekund po każdym odpytywaniu.

Dla tego źródła danych można dodać inne konfiguracje połączeń, które mają różnych użytkowników i różne uprawnienia dostępu do danych.
Aby edytować konfiguracje, wykonaj następujące kroki:
1. Na karcie Źródła danych wybierz połączenie ze źródłem danych, które ma być edytowane.
2. W sekcji Konfiguracje kliknij opcję Edytuj konfigurację ().
3. Zmodyfikuj parametry tożsamości i dostępu, a następnie kliknij przycisk Zapisz.

Co dalej

Przetestuj połączenie, uruchamiając zapytanie z IBM Security Data Explorer. Aby używać produktu Data Explorer, należy mieć połączone źródła danych, aby aplikacja mogła uruchamiać zapytania i pobierać wyniki z ujednoliconego zestawu źródeł danych. Wyniki wyszukiwania różnią się w zależności od danych zawartych w skonfigurowanych źródłach danych. Więcej informacji na temat budowania zapytania w produkcie Data Explorerzawiera sekcja Budowanie zapytania.