Microsoft 365 Defender
Use as IBM Segurança QRadar Propriedades personalizadas para Microsoft 365 Extensão de conteúdo do Defender para monitorar de perto sua Microsoft 365 implantação do Defender.
Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).
IBM Security QRadar Propriedades Customizadas do Microsoft 365 Defender Content Extension
- Propriedades personalizadas IBM Security QRadar para a extensão de conteúdo do Microsoft 365 Defender 1.2.1
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.2.0
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.1.1
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.1.0
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.2
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.1
- IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.0
Propriedades personalizadas IBM Security QRadar para a extensão de conteúdo do Microsoft 365 Defender 1.2.1
A tabela a seguir mostra as propriedades personalizadas do IBM Security QRadar para o Microsoft 365 Defender Content Extension 1.2.1.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Número da conta | Sim | N/D | AccountName":"(.*?)", |
| Tipo de ação | Não | 1 | ActionType":"(.*?)", |
| Comando | Sim | N/D | CommandLine":"\\"(.*?), |
| Diretório de Arquivos | Sim | N/D | FolderPath":"(.*?)", |
| Tamanho do arquivo | Não | N/D | FileSize":(.*?), |
| Nome do Arquivo | Sim | N/D | ProcessFileName":"(.*?)", |
| Identificador da Máquina | Sim | N/D | DeviceId":"(.*?)", |
| Hash MD5 | Sim | N/D | MD5[":]+"([^"]*)" |
| ID do Processo Principal | Não | N/D | ParentId":(.*?), |
| Nome do processo pai | Não | N/D | ParentFileName":"(.*?)", |
| ID de processo | Sim | N/D | ProcessId":(.*?), |
| Protocolo | Sim | N/D | Protocolo":"(.*?)", |
| ReferrerURL | Não | 1 | ReferrerUrl":(.*?), |
| SHA1 Hash | Sim | N/D | SHA1[":]+"([^"]*)" |
| Status de assinatura | Não | 1 | SignatureStatus":"(.*?)", |
| Tipo de assinante | Não | 1 | SignerType":"(.*?)", |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.2.0
A tabela a seguir mostra as novas propriedades customizadas no IBM Security QRadar Custom Properties para Microsoft 365 Defender Content Extension 1.2.0.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Número da conta | Sim | N/D | /"evidência"[ 1]/"userAccount"/"accountName" |
| Id de Segurança da Conta | Não | N/D | /"evidência"[ 1]/"userAccount"/"userSid" |
| Alerta | Não | N/D | / "título" |
| Categoria de alerta | Não | N/D | / "categoria" |
| Descrição de alerta | Não | N/D | / "descrição" |
| Gravidade do alerta | Não | N/D | / "gravidade" |
| Mecanismo de Dectecção | Não | N/D | /"detectionSource" |
| Domínio | Não | N/D | /"evidência"[ 1]/"userAccount"/"domainName" |
| Diretório de Arquivos | Sim | N/D | /"evidência"[ 2]/"fileDetails"/"filePath" |
| Extensão de Arquivo | Sim | 1 | fileDetails":.*?fileName":"[^\"\.]*\.([^\"]*?)", |
| Tamanho do arquivo | Não | N/D | /"evidência"[ 2]/"fileDetails"/"fileSize" |
| Nome do Arquivo | Sim | N/D | /"evidência"[ 2]/"fileDetails"/"fileName" |
| ID da Máquina | Sim | N/D | /"evidência"[ 0]/"deviceDnsName" |
| Identificação de ataque Mitre | Não | N/D | /"mitreTechniques"[] |
| Nome de S.O. | Não | N/D | /"evidência"[ 0]/"osPlatform" |
| ID do Processo Principal | Não | N/D | /"evidência"[ 1]/"parentProcessId" |
| Nome do processo pai | Não | N/D | /"evidência"[ 1]/"parentProcessImageFile"/"fileName" |
| Caminho do Processo Pai | Não | N/D | /"evidência"[ 1]/"parentProcessImageFile"/"filePath" |
| Process CommandLine | Sim | N/D | /"evidência"[ 1]/"processCommandLine" |
| Tamanho do arquivo de processo | Não | N/D | /"evidência"[ 1]/"imageFile"/"fileSize" |
| ID de processo | Sim | N/D | /"evidência"[ 1]/"processId" |
| Nome do Processo | Sim | N/D | /"evidência"[ 1]/"imageFile"/"fileName" |
| Caminho do Processo | Sim | N/D | /"evidência"[ 1]/"imageFile"/"filePath" |
| Processo SHA1 Hash | Não | N/D | /"evidência"[ 1]/"imageFile"/"sha1" |
| Processo SHA256 Hash | Não | N/D | /"evidência"[ 1]/"imageFile"/"sha256" |
| Link de referência | Não | N/D | /"alertWebUrl" |
| SHA1 Hash | Sim | N/D | /"evidência"[ 2]/"fileDetails"/"sha1" |
| Hash SHA256 | Sim | N/D | /"evidência"[ 2]/"fileDetails"/"sha256" |
| ID do Processo Pai Alvo | Não | N/D | /"evidência"[ 2]/"parentProcessId" |
| Nome do Processo Pai Alvo | Não | N/D | /"evidência"[ 2]/"parentProcessImageFile"/"fileName" |
| Caminho do Processo Pai Alvo | Não | N/D | /"evidência"[ 2]/"parentProcessImageFile"/"filePath" |
| Comando de Processo de Destino | Não | N/D | /"evidência"[ 2]/"processCommandLine" |
| ID do Processo de Destino | Não | N/D | /"evidência"[ 2]/"processId" |
| Nome do processo de destino | Não | N/D | /"evidência"[ 2]/"imageFile"/"fileName" |
| Caminho do processo de destino | Não | N/D | /"evidência"[ 2]/"imageFile"/"filePath" |
| Processo de Destino SHA1 Hash | Não | N/D | /"evidência"[ 2]/"imageFile"/"sha1" |
| Processo de Destino SHA256 Hash | Não | N/D | /"evidência"[ 2]/"imageFile"/"sha256" |
| Família de ameaça | Não | N/D | /"threatFamilyName" |
| Nome da Ameaça | Sim | N/D | /"threatDisplayName" |
| Remediação da ameaça | Não | N/D | /"recommendedActions" |
| Severidade da ameaça | Não | N/D | /"evidência"[ 0]/"riskScore" |
| URL | Sim | N/D | / "evidência" [3] / "url" |
| Host de URL | Sim | 1 | url ":" (?:. * ?:\/\/\/)? (? :www\.)? ([^ \/: \, \"] +) " |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.1.1
A tabela a seguir mostra as propriedades customizadas novas e atualizadas em Propriedades Customizadas do IBM Security QRadar para Microsoft 365 Defender Content Extension 1.1.1
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| ID do alerta | Não | 1 | AlertId":"(.*?)", |
| Id do processo | Sim | 1 | \bInitiatingProcessId[":]+(\d+) |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.1.0
A tabela a seguir mostra as propriedades customizadas novas e atualizadas no IBM Security QRadar Custom Properties para Microsoft 365 Defender Content Extension 1.1.0.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Número da conta | Sim | 1 | \bAccountName[":]+"([^"]*)" |
| ID de Segurança da Conta | Não | 1 | \bAccountSid[":]+"([^"]*)" |
| Ação | Sim | 1 | \bActionType[":]+"([^"]*)" RemediationAction":"(.*?)", |
| Resultado da ação | Não | 1 | RemediationIsSuccess":(.*?), |
| Domínio | Não | 1 | \bDeviceName[":]+"([^"]*)" |
| Status da Execução | Não | 1 | WasExecutingWhileDetected":(.*?), |
| Diretório de Arquivos | Sim | 1 | \bFolderPath[":]+"([^"]*)" |
| Tamanho do arquivo | Não | 1 | \bFileSize[":]+(\d+) |
| Nome do Arquivo | Sim | 1 | \bFileName[":]+"([^"]*)" |
| ID de logon | Sim | 1 | \bLogonId[":]+(\d+) |
| Hash MD5 | Sim | 1 | \bMD5[":]+"([^"]*)" |
| ID do Processo Principal | Não | 1 | \bInitiatingProcessParentId[":]+(\d+) |
| Nome do processo pai | Sim | 1 | \bInitiatingProcessParentFileName[":]+"([^"]*)" |
| Domínio da conta de processo | Não | 1 | \bInitiatingProcessAccountDomain[":]+"([^"]*)" |
| Nome da conta de processo | Não | 1 | \bInitiatingProcessAccountName[":]+"([^"]*)" |
| ID de segurança da conta de processo | Não | 1 | \bInitiatingProcessAccountSid[":]+"([^"]*)" |
| Process CommandLine | Sim | 1 | \bInitiatingProcessCommandLine[":]+(.*?)","InitiatingProcessParentCreationTime |
| Tamanho do arquivo de processo | Não | 1 | \bInitiatingProcessFileSize[":]+(\d+) |
| ProcessID | Não | 1 | \bInitiatingProcessId[":]+(\d+) |
| ID de logon do processo | Não | 1 | \bInitiatingProcessLogonId[":]+(\d+) |
| Processo MD5 Hash | Não | 1 | \bInitiatingProcessMD5[":]+"([^"]*)" |
| Nome do Processo | Sim | 1 | \bInitiatingProcessFileName[":]+"([^"]*)" |
| Caminho do Processo | Sim | 1 | \bInitiatingProcessFolderPath[":]+"([^"]*)" |
| Processo SHA1 Hash | Não | 1 | \bInitiatingProcessSHA1[":]+"([^"]*)" |
| Processo SHA256 | Não | 1 | \bInitiatingProcessSHA256[":]+"([^"]*)" |
| Chave de registro | Sim | 1 | \bRegistryKey[":]+"([^"]*)" |
| SHA1 | Sim | 1 | \bSHA1[":]+"([^"]*)" |
| SHA256 | Sim | 1 | \bSHA256[":]+"([^"]*)" |
| Categoria da ameaça | Não | 1 | ThreatCategory":"(.*?)", |
| Família de ameaça | Não | 1 | ThreatFamily":"(.*?)", |
| Nome da Ameaça | Sim | 1 | ThreatName":"(.*?)", |
| Severidade da ameaça | Não | 1 | Gravidade ":" (. *?) " |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.2
A tabela a seguir mostra as propriedades customizadas atualizadas no IBM Security QRadar Custom Properties para Microsoft 365 Defender Content Extension 1.0.2.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Hash MD5 | Sim | 1 | Md5":"(.*?)", |
| SHA1 Hash | Sim | 1 | Sha1":"(.*?)", |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.1
A tabela a seguir mostra as novas propriedades customizadas no IBM Security QRadar Custom Properties para o Microsoft 365 Defender Content Extension 1.0.1
| Nome | Otimizada | Ativado | Expressão regular |
|---|---|---|---|
| Diretório de Arquivos | 1 | 1 | FilePath":"(.*?)", |
A tabela a seguir mostra as propriedades customizadas alteradas no IBM Security QRadar Custom Properties para Microsoft 365 Defender Content Extension 1.0.1.
| Nome | Otimizada |
|---|---|
| Nome do Arquivo | 1 |
| Extensão de Arquivo | 1 |
| UrlHost | 1 |
A tabela a seguir mostra as propriedades customizadas removidas no IBM Security QRadar Custom Properties para Microsoft 365 Defender Content Extension 1.0.1.
| Nome | Substituído por |
|---|---|
| Caminho de Arquivo | Diretório de Arquivos |
IBM Security QRadar Propriedades Customizadas para Microsoft 365 Defender Content Extension 1.0.0
A tabela a seguir mostra as propriedades customizadas no IBM Security QRadar Custom Properties for Microsoft 365 Defender Content Extension 1.0.0.
| Nome | Grupo de Captura | Expressão regular |
|---|---|---|
| Nome do Arquivo | 1 | FileName":"(.*?)", |
| Caminho de Arquivo | 1 | FilePath":"(.*?)", |
| Hash de Arquivo | 1 | FileHash":"(.*?)", |
| Hash MD5 | 1 | Md5":"(.*?)", |
| SHA1 Hash | 1 | Sha1":"(.*?)", |
| Hash SHA256 | 1 | Sha256":"(.*?)", |
| Nome de Computador | 1 | MachineName":"(.*?)" |
| Nome da Ameaça | 1 | ThreatName":"(.*?)", |
| Severidade da ameaça | 1 | Gravidade ":" (. *?) " |
| Categoria da ameaça | 1 | ThreatCategory":"(.*?)", |
| Família de ameaça | 1 | ThreatFamily":"(.*?)", |
| Ação | 1 | RemediationAction":"(.*?)", |
| Resultado da ação | 1 | RemediationIsSuccess":(.*?), |
| URL | 1 | Url \ " \: \" (. *?) \", |
| UrlHost | 1 | Url\"\:\"(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+) |
| Nome do IOC | 1 | IocName":"(.*?)", |
| Valor do IOC | 1 | IocValue":"(.*?)", |
| Status da Execução | 1 | WasExecutingWhileDetected":(.*?), |
| Alerta | 1 | AlertTitle":"(.*?)", |
| Alert_Category | 1 | Categoria ":" (. *?) ", |
| Gravidade do alerta | 1 | Gravidade ":" (. *?) ", |
| Link de referência | 1 | LinkToWDATP":"(.*?)", |
| Mecanismo de detecção | 1 | Fonte ":" (. *?) ", |
| Extensão de Arquivo | 1 | FileName":"[^\"\.]*\.([^\"]*?)" |