Este artículo discute la integración de datos de Microsoft Defender for Endpoint para generar historias que se pueden revisar en el Stories Workbench de Cato.
Nota
Nota: XOps es la capa de análisis unificada de Cato para seguridad y operaciones, que ofrece insights y orientación para la remediación. XOps ha reemplazado a XDR, para más información, consulte XOps FAQ.
Usando la API de Microsoft, puede integrar datos de alertas de Microsoft Defender for Endpoint para generar historias para dispositivos de endpoint. Las historias de endpoints le ayudan a obtener una imagen más completa de las amenazas potenciales en su network.
El motor de Alertas de Endpoint de Cato crea una historia al correlacionar datos de Alertas de Defender que ocurrieron en el mismo dispositivo dentro de un período de 24 horas. Las historias de Alertas de Endpoint incluyen toda la evidencia relevante para la Alerta detectada por Defender. El Stories Workbench muestra las historias de endpoint junto con otros tipos de historias, y puede ordenarlas y filtrarlas para enfocarse en historias de Alertas de Endpoint.
Para integrar los datos de alerta de Defender para Endpoint con Cato XOps (anteriormente XDR), primero debe configurar los conectores API para Microsoft 365 y para Defender para Endpoint. Después de crear los conectores, el motor de Alertas de Endpoint recupera y analiza los datos de alerta de Defender for Endpoint.
Para más información sobre la revisión de historias de XOps, incluyendo datos de Microsoft Defender, consulte Profundizando y Analizando Historias de Seguridad de XOps
Esta es una descripción de alto nivel del flujo de trabajo para integrar y revisar historias de Defender for Endpoint en el Stories Workbench:
-
Crear el conector padre de Microsoft 365.
-
Crear el conector de Defender for Endpoint.
-
Revisar las historias de Alertas de Endpoint en el Stories Workbench.
-
La configuración en el panel Acciones de la Historia no es configurable para las historias de Alerta de Endpoint. Todos los campos relacionados con las acciones aparecen como N/D. Para más información sobre el panel de Acciones de la Historia, ver a continuación.
-
Las historias de Alerta de Microsoft Endpoint para dispositivos compartidos incluyen en la historia todos los usuarios que iniciaron sesión en el dispositivo, mientras que la Alerta relevante de Defender Para Endpoint puede mostrar solo un usuario.
Para configurar el conector de Microsoft Defender de Cato para obtener datos de alerta, primero necesita configurar el conector de Microsoft 365 como la aplicación padre para otorgar permisos de lectura para el conector de Defender. La aplicación padre solo tiene permisos para gestionar los conectores de Microsoft. Después de configurar el conector de Microsoft 365, puede configurar un conector de Defender para recuperar los datos de alerta.
Si desea importar datos de alerta de diferentes sub-organizaciones dentro de su organización, cree un conector de Microsoft 365 separado para cada inquilino de Azure relevante, y luego configure un conector de Defender para cada inquilino.
-
Se requiere una licencia de Microsoft 365 E3 o superior
-
El conector de Microsoft 365 requiere un admin con el rol de admin global para otorgar permisos al conector de Defender de Cato
Para permitir que el conector de Defender recupere los datos de alerta de su cuenta de Microsoft 365, el conector otorga a Cato los siguientes permisos y acciones con Microsoft 365:
-
Conéctese a las API de Microsoft y lea todos los datos de Defender for Endpoint de una organización
-
Inicie sesión y lea el perfil de usuario
Configure un conector padre de Microsoft 365 y luego defina un conector de Defender para la cuenta de Microsoft 365.
Si su organización ya configuró un conector principal de Microsoft 365 para otra característica, como una política de API de Seguridad de Saas para aplicaciones de Microsoft, o para importar etiquetas de sensibilidad MIP a su política de DLP, solo necesita configurar un conector de Defender.
Use la Aplicación de Administración de Cato para crear el conector de la aplicación SaaS de Microsoft 365 para el inquilino Azure relevante. Debe tener las credenciales correctas para autenticar en Microsoft 365 para agregar el conector a su cuenta de Cato.
Para configurar el conector de endpoint padre de Microsoft 365:
-
Desde el menú de navegación, seleccione Seguridad > Conectores, y seleccione la pestaña Configuración de Conectores.
-
Haga clic en Nuevo. Se abre el panel Nuevo Conector.
-
Del menú desplegable Aplicación SaaS, seleccione la aplicación Microsoft 365.
-
Ingrese un Nombre de Conector único.
-
Haga clic en Autorizar y Guardar.
Se abre una nueva pestaña del navegador en la aplicación de Microsoft 365.
-
En la nueva pestaña del navegador, autentíquese en la aplicación de Microsoft 365:
-
Seleccione la cuenta de Microsoft para la aplicación de Microsoft 365.
-
Ingrese la contraseña para la aplicación y apruébela.
-
Aceptar los permisos para permitir que Cato acceda a la aplicación de Microsoft 365.
-
La pantalla muestra que ha aplicado con éxito los permisos para la aplicación.
Puede cerrar la pestaña del navegador y volver a la Aplicación de Administración de Cato.
-
-
La aplicación SaaS de Microsoft 365 se agrega a la página Configuración de Conectores.
A Microsoft Azure le puede tomar varios segundos procesar la solicitud, así que si el Estado muestra Pendiente de consentimiento del usuario, actualice el navegador.
Use la Aplicación de Administración de Cato para crear el conector de la aplicación SaaS de Microsoft Defender for Endpoint para el inquilino Azure con los datos de alerta que desea usar. Debe tener las credenciales correctas para autenticar en Microsoft 365 para agregar el conector a su cuenta de Cato.
Nota
Nota: Cuando crea un conector de API para una aplicación de Microsoft 365, el conector crea un certificado de autenticación que es válido por 3 meses, y renueva el certificado 7 días antes de la expiración.
Para configurar el conector de Microsoft Defender:
-
Desde el menú de navegación, seleccione Seguridad > Conectores, y seleccione la pestaña Configuración de Conectores.
-
Haga clic en Nuevo. Se abre el panel Nuevo Conector.
-
Del menú desplegable Aplicación Saas, seleccione la aplicación Microsoft Defender.
-
Del menú desplegable Inquilino de Conector, seleccione el conector padre de Microsoft 365 para el inquilino con los datos de alerta que desea usar.
-
Ingrese un Nombre de Conector único para el conector de Defender.
-
Haz clic en Guardar.
-
Después de crear correctamente el conector, haga clic en Autorizar.
Se abre una nueva pestaña del navegador en la aplicación de Microsoft 365.
-
En la nueva pestaña del navegador, autentíquese en la aplicación de Microsoft 365:
-
Seleccione la cuenta de Microsoft para la aplicación de Microsoft 365.
-
Ingrese la contraseña para la aplicación y apruébela.
-
Aceptar los permisos para permitir que Cato acceda a la aplicación de Microsoft 365.
-
La pantalla muestra que ha aplicado con éxito los permisos para la aplicación.
Puede cerrar la pestaña del navegador y volver a la Aplicación de Administración de Cato.
-
-
La aplicación SaaS de Microsoft Defender se agrega a la página Configuración de Conectores.
A Microsoft Azure le puede tomar varios segundos procesar la solicitud, así que si el Estado muestra Pendiente de consentimiento del usuario, actualice el navegador.
La columna Estado en la página de Configuración de Conectores muestra el estado de la conexión entre la aplicación de Microsoft y su cuenta de Cato. Estas son las explicaciones de los estados:
-
Conectado - Su cuenta está conectada a la aplicación y está funcionando correctamente
-
Pendiente de consentimiento del usuario - No se han otorgado permisos para permitir que Cato acceda a la aplicación de Microsoft 365. Para resolver este problema, actualice el navegador. Si el Estado cambia a Conectado, el problema está resuelto, si el Estado no cambia, elimine y recree el conector.
-
Error - Hay un problema de conectividad, permisos u otro problema con el conector de Microsoft. Elimine y recree el conector.
Una vez que haya creado el conector, las historias serán visibles en el Banco de Trabajo de Historias.
Para ver la página del Banco de Trabajo de Historias:
-
Desde el menú de navegación, haga clic en Inicio > Stories Workbench.
Para obtener información sobre las columnas en el Banco de Trabajo de Historias, consulte Comprender las Columnas de Historias
Para más información sobre la revisión de historias de XOps, incluyendo datos de Microsoft Defender, consulte Profundizando y Analizando Historias de Seguridad de XOps
0 comentarios
Inicie sesión para dejar un comentario.