Microsoft 图形 Security API 协议配置选项

要从 Microsoft Graph Security API接收事件，请在 IBM QRadar 中配置日志源以使用 Microsoft Graph Security API 协议。

Microsoft Graph Security API 协议是出站/活动协议。您的 DSM 也可能使用此协议。有关支持的 DSM 列表，请参阅 QRadar® 支持的 DSM。

以下参数需要特定值才能从 Microsoft Graph Security 服务器收集事件:

表 1. Microsoft Graph Security 日志源参数
参数	值
日志源类型	这是使用此协议的定制日志源类型或特定 DSM。
协议配置	Microsoft 图形 Security API
日志源标识	请输入日志源的唯一名称。日志源标识可以是任何有效值，并且不需要引用特定的服务器。它还可以是与日志源名称相同的值。如果您有多个已配置的 Microsoft Graph Security 日志源，请确保为每个源指定唯一名称。
租户标识	用来进行 Microsoft Azure Active Directory 认证的租户标识值。
客户端 ID	Microsoft Azure Active Directory的应用程序配置中的客户机标识参数值。
认证方法	客户端密文：基于标准客户端密文的身份验证。客户端证书：基于自签名证书的身份验证。
客户机密钥	您在配置 Microsoft Azure 事件目录时收到客户机密钥密码。此密码确认您的用户帐户已被授权获取访问令牌。仅当创建此值时，才能获取此值，并且以后无法恢复此值。如果丢失客户机密钥密码，那么必须创建新的 API 密钥以继续从 Microsoft Graph Security API接收事件。
客户机证书	指定自签名 .pfx 证书路径。注意：选择身份验证方法 > 客户端证书以使客户端证书参数可用。有关详细信息，请参阅为 Office 365 REST API 协议创建自签名证书和密钥。
客户机证书密码	指定 .pfx 证书密码。注意：选择身份验证方法 > 客户端证书以使客户端证书密码参数可用。
API	该 API 规定了协议可以收集的事件类型和格式。选择与所选 DSM 兼容的 API。如果使用 Microsoft Azure Security Center DSM，请选择警报 V1。如果使用 Microsoft 365 Defender DSM，请选择警报 V2 或服务公告。
服务	将事件限制为特定服务或产品。选择与所选择的 DSM 兼容的产品。您可以使用其他选项来移除过滤器或添加更多过滤器设置。如果使用 Microsoft 365 Defender DSM ，请选择 Microsoft Defender for Endpoint。
事件过滤器	使用 Microsoft Security Graph API 查询过滤器检索事件。例如，`severity eq 'high'`。请勿在过滤器参数之前输入 "`filter=`"。有关查询参数的更多信息，请参阅过滤查询参数 ( https://learn.microsoft.com/en-us/graph/filter-query-parameter?tabs=http )。
使用代理	如果 QRadar 通过代理访问 Microsoft Graph Security API ，请启用此复选框。如果该代理需要认证，请配置代理主机名或 IP，代理端口，代理用户名和代理字段。如果代理不需要进行认证，请配置代理主机名或 IP 和代理端口字段。
代理 IP 或主机名	代理服务器的 IP 地址或主机名。如果使用代理参数设置为假，那么将隐藏此选项。
代理端口	这是用于与代理进行通信的端口号。缺省值为 8080。如果使用代理参数设置为 False ，那么将隐藏此选项。
代理用户名	这是用来与代理进行通信的用户名。如果使用代理设置为假，那么将隐藏此选项。
代理密码	这是用于访问代理的密码。如果使用代理设置为假，那么将隐藏此选项。
重复	输入从开始时间开始的时间间隔，以确定轮询扫描以获取新数据的频率。时间间隔可以包含以小时 (H) ，分钟 (M) 或天 (D) 为单位的值。例如， `2H` -2 小时， `15M` -15 分钟。缺省值为 `1M`。
EPS 调速	每秒 QRadar 摄入的最大事件数。如果数据源超过 EPS 调速，那么数据收集将延迟。仍会收集数据，然后在数据源停止超过 EPS 调速时采集数据。缺省值 5000。
显示高级选项	要配置事件收集的高级选项，请启用此选项。
登录端点	指定 Azure AD 登录端点。缺省值为 `login.microsoftonline.com`。如果禁用显示高级选项，那么此选项将隐藏。
图形 API 端点	指定Microsoft Graph Security API URL。缺省值为 `https://graph.microsoft.com`。如果禁用显示高级选项，那么此选项将隐藏。