Opções de configuração do protocolo da API de REST do Office 365 Message Trace
O protocolo da API REST do Rastreamento de Mensagens do Office 365 para o IBM® Security QRadar® coleta registros de rastreamento de mensagens da API REST do Rastreamento de Mensagens da Microsoft. Este protocolo de saída ativo é usado para coletar logs de e-mail do Office 365.
- Exceção para clientes dos planos GCC, GCC-High, DoD, e Sovereign Cloud:
- A nova API de rastreamento de mensagens está disponível, no momento, apenas para ambientes globais (WW). Conforme declarado pela Microsoft: "Observe que este cronograma se aplica apenas ao nosso ambiente WW e não afeta o GCC, o GCC-High, o DOD ou outras nuvens soberanas." O cronograma para o GCC, o GCC-High, o DoD, e outras nuvens soberanas será disponibilizado em CY25H2."
- Se você é cliente dos planos GCC, GCC-High, DoD, ou da nuvem soberana, deve continuar usando as seguintes versões do RPM:
- Protocolo:
7.5.0-QRADAR-PROTOCOL-Office365MessageTraceRESTAPI-7.5-20250213060632.noarch.rpm - DSM:
7.5.0-QRADAR-DSM-MicrosoftOffice365MessageTrace-7.5-20260113065949.noarch.rpm
- Protocolo:
Não atualize para versões mais recentes até que a Microsoft lance oficialmente o suporte ao ` MessageTraceV2 ` para o seu ambiente de nuvem.
Para impedir atualizações automáticas, acesse “Atualização automática ” e selecione “Verificar atualizações ”. Se forem lançados novos RPMs do MessageTrace, selecione-os e escolha a opção para ocultar essas atualizações.
A autenticação moderna é selecionada por padrão, uma vez que a autenticação básica foi removida e não está mais disponível. Para usar a autenticação moderna, é necessário registrar um aplicativo no Centro de Administração do Microsoft Entra ( https://entra.microsoft.com/ ). O portal fornece os valores importantes necessários para criar uma fonte de log da API de rastreamento de mensagens da Microsoft.
- Registre um aplicativo na plataforma de identidade da Microsoft. Para obter instruções passo a passo, consulte Registrar um aplicativo na plataforma de identidade da Microsoft ( https://learn.microsoft.com/en-us/graph/auth-register-app-v2 ).
- Obtenha os valores Client ID, ID Tenant IDe Client Secret .
- Na página Visão Geral do aplicativo, localize e copie os valores ID do Cliente e ID do Tenant . Você usa esses valores quando cria uma fonte de log do Microsoft Office 365 Message Trace. Para obter mais informações, consulte Obter os valores de ID do locatário e do aplicativo para fazer login ( https://learn.microsoft.com/en-us/entra/identity-platform/howto-create-service-principal-portal#sign-in-to-the-application ).
- Na página Certificados e Secretos do aplicativo, clique em Novo Segredo para criar o segredo do cliente e, em seguida, copie o segredo do cliente para um editor de texto. Você usa esse valor para o parâmetro Client Secret quando você cria uma fonte de log do Microsoft Office 365 Message Trace. Para obter mais informações, consulte Criar um novo segredo de cliente ( https://learn.microsoft.com/en-us/graph/auth-register-app-v2#option-2-add-a-client-secret ).
- Conceda ao seu aplicativo as permissões necessárias no Microsoft Entra ID. A permissão necessária para eventos da API de rastreamento de mensagens é ExchangeMessageTrace. Read.All. Para obter mais informações, consulte Configurar permissões do Microsoft Graph ( https://learn.microsoft.com/en-us/exchange/monitoring/trace-an-email-message/graph-api-message-trace#configure-microsoft-graph-permissions ).
- Configure um principal de serviço no seu locatário. Para obter mais informações, consulte “Provisionar uma entidade de serviço ” ( https://learn.microsoft.com/en-us/exchange/monitoring/trace-an-email-message/graph-api-message-trace#provision-a-service-principal ).Observação: Após criar a entidade de serviço, o provisionamento pode levar várias horas para ser concluído. Durante esse período, as solicitações à API de rastreamento de mensagens baseada em Graph podem retornar erros 401 (Não autorizado).
Service principal-less authentication failed: The service principal for App ID 8bd644d1-64a1-4d4b-ae52-2e0cbf64e373 was not found. Please create a service principal for this app in your tenant. Provisioning may take several hours to complete.
{current_timestamp - event_delay} e recuando 30 dias a partir desse ponto.| Parâmetro | Valor |
|---|---|
| Identificador de Fonte de Log | Um nome exclusivo para a origem de log. O nome não pode incluir espaços e deve ser exclusivo entre todas as origens de log desse tipo que estão configuradas com o protocolo da API de REST do Office 365 Message Trace. |
| Método de autenticação | A autenticação moderna utiliza OAuth 2.0 para autenticar e autorizar o acesso ao recurso. A autenticação básica usa o nome de usuário e a senha. Como a autenticação básica foi removida, este é o único método disponível para recuperar eventos da API Microsoft Message Trace. Este método é selecionado por padrão. Importante: A partir de 1 de janeiro de 2023, a Microsoft não suportará mais a autenticação básica. Para continuar recebendo eventos de Rastreio de Mensagem, você deve usar a autenticação Modern .
|
| ID do Cliente | O valor do ID do cliente da configuração do seu aplicativo em Microsoft Azure Active Directory. Para obter mais informações, consulte “Fazer login no aplicativo” ( https://learn.microsoft.com/en-us/entra/identity-platform/howto-create-service-principal-portal#sign-in-to-the-application ). |
| Segredo do Cliente | O segredo do cliente que você criou para sua aplicação no portal Microsoft Azure. Para obter mais informações, consulte Criar um novo segredo de cliente ( https://learn.microsoft.com/en-us/entra/identity-platform/howto-create-service-principal-portal#option-3-create-a-new-client-secret ). |
| ID do Locatário | O valor do ID do locatário utilizado para a autenticação em Microsoft Azure Active Directory. Para obter mais informações, consulte “Fazer login no aplicativo” ( https://learn.microsoft.com/en-us/entra/identity-platform/howto-create-service-principal-portal#sign-in-to-the-application ). |
| Atraso de evento | O atraso, em segundos, para a coleta de dados. Os registros do Microsoft Message Trace funcionam com base em um sistema de entrega eventual. Para assegurar que nenhum dado seja perdido, os logs são coletados com um atraso. O atraso padrão é 900 segundos (15 minutos) e pode ser configurado tão baixo quanto 0 segundos. |
| Utilizar Proxy | Se a API for acessada usando um proxy, marque esta caixa de seleção. Configure os campos Servidor proxy, Porta de proxy, Nome do usuário de proxy e Senha de proxy. Se o proxy não requerer autenticação, será possível deixar os campos Nome do usuário de proxy e Senha de proxy em branco. |
| Ativar opções avançadas | Selecione essa opção para modificar os valores padrão dos parâmetros Microsoft API Login Endpoint e Office 365 Message Trace API Management URL. Se você não ativar esse parâmetro, os valores padrão são usados. |
| Terminal de Login da API da Microsoft | Especifique o terminal de login da API da Microsoft. O valor padrão é https://login.microsoftonline.com para a autenticação OAuth 2.0. Se você não ativar o parâmetro Ativar Opções Avançadas , o valor padrão será usado. |
| Microsoft Graph API Management URL | Este URL concederá ao seu token acesso à API do Microsoft Graph. O valor padrão é https://graph.microsoft.com para acessar a API de rastreamento de mensagens. Se você não ativar o parâmetro Ativar Opções Avançadas , o valor padrão será usado. |
| Recorrência | O intervalo de tempo entre as consultas da fonte de log à API REST do Microsoft Message Trace para novos eventos. O intervalo de tempo pode ser em horas (H), minutos (M) ou dias (D). O padrão é 5 minutos. |
| Regulador de EPS | O número máximo de eventos por segundo que o QRadar alimenta. Se sua origem de dados exceder o regulador EPS, a coleta de dados será atrasada. Os dados ainda são coletadas e, em seguida, alimentados quando a origem de dados para de exceder o regulador EPS. O padrão é 5000. |
Acesso condicional e permissão para ler relatórios de rastreamento de mensagens
- Certifique-se de que o aplicativo esteja registrado no Microsoft Entra ID.
- Certifique-se de que o aplicativo esteja configurado para usar a autenticação de aplicativos ( OAuth 2.0 ).
- Certifique-se de que uma entidade de serviço ( https://learn.microsoft.com/en-us/exchange/monitoring/trace-an-email-message/graph-api-message-trace#provision-a-service-principal ) esteja configurada no Exchange Online para o aplicativo registrado.Observação: Após criar a entidade de serviço, o provisionamento pode levar várias horas para ser concluído. Durante esse período, as solicitações à API de rastreamento de mensagens baseada em Graph podem retornar erros 401 (Não autorizado).
Service principal-less authentication failed: The service principal for App ID 8bd644d1-64a1-4d4b-ae52-2e0cbf64e373 was not found. Please create a service principal for this app in your tenant. Provisioning may take several hours to complete. - Certifique-se de que o aplicativo tenha as permissões necessárias do Microsoft Graph para acessar os dados do Rastreamento de Mensagens.
- Certifique-se de que o consentimento do administrador seja concedido para as permissões necessárias.
- Para obter mais informações sobre como bloquear e desbloquear conteúdo legado nas políticas de Acesso Condicional, consulte Acesso Condicional: Bloquear autenticação legada ( https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-block-legacy ).
- Para obter informações adicionais sobre a criação de políticas de Acesso Condicional para usuários e grupos, consulte Acesso Condicional: Usuários e grupos (https: //docs.microsoft.com/en-us/azure/active-directory/conditional-access/concept-access-users-groups).
- Para obter mais informações sobre como criar políticas de Acesso Condicional para aplicativos ou ações na nuvem, consulte Acesso Condicional: aplicativos ou ações na nuvem ( https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/concept-conditional-access-cloud-apps ).