Microsoft Office 365

Use a IBM Security QRadar Microsoft Office 365 Content Extension para monitorar de perto sua Microsoft Office 365. A IBM Security QRadar Microsoft Office 365 extensão de conteúdo adiciona regras, blocos de construção, relatórios, pesquisas salvas e propriedades de eventos personalizados para desenvolver os recursos existentes de análise de eventos do QRadar® para implantações do Microsoft Office 365.

Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).

IBM Security QRadar Microsoft Office 365 Extensões de Conteúdo

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.4.1

A tabela a seguir mostra os valores antigos e novos que foram atualizados para IBM Security QRadar Microsoft Office 365 Content Extension V1.4.1:
Tabela 1. Valores antigos e novos no IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.4.1
Antigo valor Novo Valor
Recipient_User Destinatários
ObjectType ObjectType
Nome do Usuário de Destino Nome do usuário de destino

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.4.0

As regras, relatórios e procuras salvas foram removidos e migrados para a extensão de conteúdo do Hybrid Cloud.

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.3.0

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.3.0.

Tabela 2. Propriedades Customizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.3.0
Nome Otimizada Grupo de Captura Expressão regular
Flags de auditoria Sim 1 \bName":"Default","Value":"(.*?)"
Informações de Conteúdo Sim 1 \bName":"Domains","Value":"(.*?)"

\bName":"Roles","Value":"(.*?)"
Object Name Sim 1 /"Case"
ObjectType Sim 1 /"ObjectType"
Nome da política Sim 1 \bObjectId":".*?\\\\(.*?)"
Nome da função Sim 1 Role.DisplayName.*?,"NewValue":"(.*?)"

\bName":"Identity","Value":"(.*?)"
Pesquisa Executada Sim 1 \bObjectId":".*?\\\\(.*?)"

\bObjectId":".*?\\\\(.*?)\\\\.*?"

-SearchName\s+\(\\\"(.*?)\\\"\)

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.2.1

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas na IBM Segurança QRadar Microsoft Office 365 Extensão de Conteúdo V1.2.1.

Tabela 3. Propriedades customizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.1
Nome Otimizada Grupo de Captura Expressão regular
ObjectType Sim 1 ItemType\":\"[^\"]+)
Originating_User Sim 1 UserId[":]*([^"]*)
Host do destinatário Sim 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
Recipient_User Sim 1 Valor ":" [^ "] *?: ([^"] *)
Assunto Sim 1 Assunto [":] * ([^"] *)

Assunto [":] * ([^"] *)
Nome do Usuário de Destino Sim 1 MailboxOwnerUPN[":]*([^"]*)

ObjectId[":]*([^"]*)

ObjectId[":]*([^"]*)

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.2.0

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0.

Tabela 4. Propriedades customizadas no IBM Security QRadar Microsoft Office 365 Extensão de conteúdo V1.2.0
Nome Otimizada Grupo de Captura Expressão regular
Nome da política Sim 1 ObjectId\":\"([^\"]+)
Host do destinatário Sim 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
Recipient_User Sim 1 TargetUserOrGroupType\":\"(?:Member|Guest).*TargetUserOrGroupName\":\"([^\"]+)
Nome da função Sim 1

Roles\",\"Value\":\"([^\"]+)

Role\",\"Value\":\"([^\"]+)
Nome do Usuário de Destino Sim 1

TargetUserOrGroupName\":\"([^\"]+)

A tabela a seguir mostra as novas regras e blocos de construção no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0.

Tabela 5. Novas regras e blocos de construção no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0
Tipo Nome Descrição
Bloco de construção BB:CategoryDefinition: Eventos de acesso a objetos Incluído novo bloco de construção no pacote de conteúdo do Office 365
Bloco de construção BB:CategoryDefinition: eventos de download de objeto Incluído novo bloco de construção no pacote de conteúdo do Office 365
Bloco de construção BB:CategoryDefinition: eventos de upload de objeto Incluído novo bloco de construção no pacote de conteúdo do Office 365

A tabela a seguir mostra as procuras salvas alteradas no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0.

Tabela 6. Procuras salvas alteradas no IBM Security QRadar Microsoft Office 365 Extensão de conteúdo V1.2.0
Nome Descrição
Office365: Atividade do Arquivo O filtro para essa procura salva foi filtrado para usar BB:CategoryDefinition: eventos de acesso a objeto, BB:CategoryDefinition: eventos de download de objeto, BB:CategoryDefinition: eventos de upload de objeto

A tabela a seguir mostra os dados de referência removidos no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0.

Tabela 7. Dados de Referência Removidos no IBM Security QRadar Microsoft Office 365 Content Extension V1.2.0
Tipo Nome Descrição
Conjunto de Referências Office 365 - Atividade do Arquivo Contém QIDs para eventos de atividade do arquivo, como arquivo criado, arquivo modificado, arquivo excluído e arquivo copiado.

(Voltar para o topo)

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.1.0

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.1.0

Tabela 8. Propriedades Customizadas no IBM Security QRadar Microsoft Office 365 Extensão de Conteúdo V1.1.0
Nome Otimizada Grupo de Captura Expressão regular
Carga de Trabalho Afetada Sim 1 Workload\":\"([^\"]+)
Código do erro Sim 1 LogonError\":\"([^\"]+)
Diretório de Arquivos Sim 1 SourceRelativeUrl\":\"((?:[^\"]*\/)(?=[^\.\"]+\.)|(?:[^\"]+))[^\"]*
Extensão de Arquivo Sim 1 SourceFileExtension\":\"([^\"]+)
Nome do Arquivo Sim 1 SourceFileName\":\"([^\"]+)
Nome do grupo Sim

Sim

Sim

 1

1

1

TargetUserOrGroupType\":\"[^\"]*Group.*TargetUserOrGroupName\":\"([^\"]+)

Group\.DisplayName\",\"Value\":\"([^\"]+)
ObjectType Não 1 ItemType\":\"([^\"]+)
Nome da política Sim 1 ObjectId\":\"([^\"]+)
Host do destinatário Sim 1 TargetUserOrGroupName\":\"[^\"@]*@([^\"]*)
Recipient_User Sim 1 TargetUserOrGroupType\":\"(?:Member|Guest).*TargetUserOrGroupName\":\"([^\"]+)
Área do Usuário de Destino Sim 1 TargetUserOrGroupType\":\"([^\"]+)
Nome do Usuário de Destino Sim

Sim

 1

ObjectId\":\"([^\"]*)

TargetUserOrGroupName\":\"([^\"]+)
Agente do usuário Não 1 TargetUserOrGroupName\":\"([^\"]+)

A tabela a seguir mostra as procuras salvas alteradas no IBM Security QRadar Microsoft Office 365 Content Extension V1.1.0.

Tabela 9. Procuras salvas alteradas no IBM Security QRadar Microsoft Office 365 Extensão de conteúdo V1.1.0
Nome Descrição
Office 365: Incidentes que impactaram o funcionamento de uma carga de trabalho do Office 365 A procura está disponibilizada para todos os usuários.
Office365: Atividade do Arquivo A procura está disponibilizada para todos os usuários.

(Voltar para o topo)

IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.0.0

A tabela a seguir mostra as propriedades customizadas no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0.

Tabela 10. Propriedades customizadas no IBM Security QRadar Microsoft Office 365 Extensão de conteúdo V1.0.0
Nome Expressão regular
Nome do Arquivo "SourceFileName":"(.*?)",
Carga de Trabalho Afetada "Workload":"(.*?)",
OAuth Ator "Actor":\[\{"ID":"(.*?)",
Nome da política ObjectId":"(.*?)",

A tabela a seguir mostra as regras e os blocos de construção no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0

Tabela 11. Regras e Blocos de Construção no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0
Tipo Nome Descrição
Bloco de construção BB: Office 365: Removido um OAuth2PermissionsGrant em um Diretório Usado na regra Office 365: Incluído e removido um OAuth2PermissionGrant no diretório dentro de um determinado período de tempo.
Bloco de construção BB: Office 365: Incluído um OAuth2PermissionGrant no Diretório Usado na regra Office 365: Incluído e removido um OAuth2PermissionGrant no diretório dentro de um determinado período de tempo.
Bloco de construção BB: Office 365: Designação de Função de Gerenciamento Incluída Usado na regra Office 365: Política de gerenciamento incluída e excluída com o mesmo nome de política dentro de um determinado período de tempo.
Bloco de construção BB: Office 365: Designação de Função de Gerenciamento Removida Usado na regra Office 365: Política de gerenciamento incluída e excluída com o mesmo nome de política dentro de um determinado período de tempo.
Regra Office 365: Incluído e Removido um OAuth2PermissionGrant no Diretório em um Certo Período de Tempo Detecta quando um OAuth2PermissionGrant é incluído e removido em um diretório em um certo período.
Regra Office 365: Ocorreu um evento que impacta o funcionamento da carga de trabalho do Office365 Detecta quando ocorre um evento que impacta o funcionamento de uma carga de trabalho do Office 365.
Regra Office 365: política de gerenciamento incluída e excluída com o mesmo nome de política em um certo período de tempo Detecta quando uma política de gerenciamento com o mesmo nome é incluída e excluída em um certo período de tempo.

A tabela a seguir mostra os relatórios no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0.

Tabela 12. Relatórios no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0
Nome do Relatório Nome da Procura e Dependências
Incidentes do Office 365 que impactaram o funcionamento de uma carga de trabalho do Office 365 - semanal Procura salva: Office 365: Incidentes que impactaram o funcionamento de uma carga de trabalho do Office 365
Incidentes do Office 365 que impactaram o funcionamento de uma carga de trabalho do Office 365 - mensal Procura salva: Office 365: Incidentes que impactaram o funcionamento de uma carga de trabalho do Office 365
Atividade de Arquivo do Office 365 - Semanal Procura salva: Office 365: Atividade do arquivo
Atividade de Arquivo do Office 365 - Mensal Procura salva: Office 365: Atividade do arquivo

A tabela a seguir mostra os dados de referência no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0.

Tabela 13. Dados de referência no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0
Tipo Nome Descrição
Conjunto de Referências Office 365 - Atividade do Arquivo Contém QIDs para eventos de atividade do arquivo, como arquivo criado, arquivo modificado, arquivo excluído e arquivo copiado.

A tabela a seguir mostra as procuras salvas em IBM Segurança QRadar Microsoft Office 365 Extensão de conteúdo V1.0.0.

Tabela 14. Procuras salvas no IBM Security QRadar Microsoft Office 365 Content Extension V1.0.0
Nome Descrição
Office365: Atividade do Arquivo Usado pelos relatórios Atividade do Arquivo do Office 365.
Office 365: Incidentes que impactaram o funcionamento de uma carga de trabalho do Office 365 Usado pelos relatórios Funcionamento da Carga de Trabalho do Office 365.

(Voltar para o topo)