Cet article traite de l'intégration des données de Microsoft Defender pour Endpoint pour générer des histoires que vous pouvez consulter dans l'Atelier des Histoires de Cato.
En utilisant l'API Microsoft, vous pouvez intégrer les données d'alerte de Microsoft Defender pour Endpoint pour générer des histoires pour les appareils de point de terminaison. Les histoires de point de terminaison vous aident à obtenir une vue d'ensemble plus complète des menaces potentielles dans votre réseau.
Le moteur d'Alertes des Points de Terminaison Cato crée une histoire en corrélant les données des Alertes de Defender liées au même incident Defender. Les histoires d'Alerte de Point de Terminaison incluent toutes les preuves pertinentes pour les Alertes détectées par Defender. L'Atelier des Histoires affiche les histoires d'endpoint avec les autres types d'histoires, et vous pouvez trier et filtrer les histoires pour vous concentrer sur les histoires d'alerte Endpoint.
Pour intégrer les données d'alerte de Définisseur pour les terminaux avec Cato XOps, vous devez d'abord configurer des connecteurs API pour Microsoft 365 et pour Défenseur pour les terminaux. Après la création des connecteurs, le moteur d'alerte Endpoint récupère et analyse les données d'alerte de Defender pour Endpoint.
Pour plus d'informations sur la revue des histoires XOps, y compris les données de Microsoft Defender, consultez Analyse approfondie des histoires de sécurité XOps
Ceci est une description de haut niveau du flux de travail pour l'intégration et la revue des histoires Defender pour Endpoint dans l'Atelier des Histoires :
- Créer le connecteur parent Microsoft 365.
- Créer le connecteur Dé...]}]}
- Examiner les histoires d'alerte de point de terminaison dans l'Atelier des Histoires.
- Les paramètres du panneau Actions de l'histoire ne sont pas configurables pour les histoires d'alerte de point de terminaison. Tous les champs liés aux actions apparaissent comme N/A. Pour plus d'informations sur le panneau Actions de l'histoire, voir ci-dessous.
- Les histoires d'alerte Microsoft Endpoint pour les appareils partagés incluent dans l'histoire tous les utilisateurs connectés à l'appareil, tandis que l'alerte pertinente de Defender pour Endpoint peut n'afficher qu'un utilisateur.
- Pour ajouter un connecteur, vous devez avoir la permission d'éditeur pour Intégrations (dans la section Ressources). Pour plus d'informations, voir Gestion des rôles d'administration à l'aide de RBAC.
Comprendre les histoires de l'alerte Microsoft Endpoint
Le producteur d'alertes Microsoft Endpoint génère des histoires basées sur l'intégration. Cette section explique les informations disponibles dans l'onglet Vue d'ensemble de la page de détails de l'histoire.
Voici les widgets d'Aperçu d'histoire :
| Nom | Description |
|---|---|
| Widget de résumé |
La barre en haut de la page montre un résumé des informations de base sur l'histoire, y compris :
|
| Chronologie | Une chronologie des événements ou actions entreprises dans l'histoire. |
| Détails |
Informations de base sur l'histoire.
|
| Entités | Les entités impliquées dans l'incident. Il peut s'agir d'Utilisateurs, Appareils, Sites, Stockages de données, applications, etc. Une histoire peut inclure des alertes pour plusieurs utilisateurs et appareils. |
| Alertes |
Affiche les détails des alertes liées à l'incident Defender.
Voici les colonnes qui apparaissent pour tous les types de Preuves :
|
| Preuves |
Agrège les détails pour tous les Processus, Fichiers, valeurs de Registre et paramètres de Réseau identifiés dans les preuves pour les différentes alertes de l'histoire. Certaines des colonnes de la table Preuves sont partagées par tous les types de Preuves, et certaines sont spécifiques à chaque type. Voici les colonnes qui apparaissent pour tous les types de Preuves :
Ce sont les colonnes spécifiques pour chaque type de Preuve :
|
Vue d'ensemble des connecteurs Microsoft
Pour configurer le connecteur Microsoft Defender de Cato pour récupérer les données d'alerte, il faut d'abord configurer le connecteur Microsoft 365 en tant qu'application parent pour accorder les autorisations de lecture pour le connecteur Defender. L'application parent dispose uniquement des permissions pour gérer les connecteurs Microsoft. Après avoir configuré le connecteur Microsoft 365, vous pouvez configurer un connecteur Defender pour récupérer les données d'alerte.
Si vous souhaitez importer les données d'alerte de différentes sous-organisations au sein de votre organisation, créez un connecteur Microsoft 365 distinct pour chaque locataire Azure pertinent, puis configurez un connecteur Defender pour chaque locataire.
- Une licence Microsoft 365 E3 ou supérieure est requise
- Le connecteur Microsoft 365 nécessite un administrateur avec le rôle d'administrateur global pour accorder les permissions au connecteur Defender de Cato
Pour permettre au connecteur Defender de récupérer les données d'alerte de votre compte Microsoft 365, le connecteur octroie à Cato les permissions et actions suivantes avec Microsoft 365 :
- Se connecter aux API Microsoft et lire toutes les données de Defender pour Endpoint pour une organisation
- Se connecter et lire le profil utilisateur
Configurer un connecteur parent Microsoft 365 puis définir un connecteur Defender pour le compte Microsoft 365.
Si votre organisation a déjà configuré un connecteur parent Microsoft 365 pour une autre fonctionnalité, comme une politique API de sécurité SaaS pour les applications Microsoft, ou pour importer des étiquettes MIP dans votre politique DLP, vous n'avez besoin que de configurer un connecteur Defender.
Utilisez l'application de gestion Cato pour créer le connecteur d'application SaaS Microsoft 365 pour le locataire Azure pertinent. Vous devez avoir les bonnes informations d'identification pour vous authentifier sur Microsoft 365 afin d'ajouter le connecteur à votre compte Cato.
Pour configurer le connecteur parent Microsoft 365 pour point de terminaison :
- Dans le menu de navigation, sélectionnez Sécurité > Connecteurs, puis sélectionnez l'onglet Paramètres des connecteurs.
- Cliquez sur Nouveau. Le panneau Nouveau Connecteur s'ouvre.
-
Dans le menu déroulant Application SaaS, sélectionnez l'application Microsoft 365.
- Entrez un Nom du Connecteur unique.
-
Cliquez sur Autoriser et Enregistrer.
Un nouvel onglet du navigateur s'ouvre sur l'application Microsoft 365.
- Dans le nouvel onglet de navigateur, authentifiez-vous sur l'application Microsoft 365 :
- Sélectionnez le compte Microsoft pour l'application Microsoft 365.
- Entrez le mot de passe de l'application et validez-le.
-
Acceptez les permissions pour permettre à Cato d'accéder à l'application Microsoft 365.
-
L'écran indique que vous avez appliqué avec succès les permissions pour l'application.
Vous pouvez fermer l'onglet du navigateur et revenir à l'application de gestion Cato.
-
L'application SaaS Microsoft 365 est ajoutée à la page Paramètres des connecteurs.
Il peut falloir plusieurs secondes pour que Microsoft Azure traite la demande, donc si le Statut indique Consentement utilisateur en attente, actualisez le navigateur.
Utilisez l'application de gestion Cato pour créer le connecteur d'application SaaS Microsoft Defender pour Endpoint pour le locataire Azure avec les données d'alerte que vous voulez utiliser. Vous devez avoir les bonnes informations d'identification pour vous authentifier sur Microsoft 365 afin d'ajouter le connecteur à votre compte Cato.
Remarque
Remarque : Lorsque vous créez un connecteur API pour une application Microsoft 365, le connecteur crée un certificat d'authentification valable pendant 3 mois et renouvelle le certificat 7 jours avant son expiration.
Pour configurer le connecteur Defender de Microsoft :
- Dans le menu de navigation, sélectionnez Sécurité > Connecteurs, puis sélectionnez l'onglet Paramètres des connecteurs.
- Cliquez sur Nouveau. Le panneau Nouveau Connecteur s'ouvre.
-
Dans le menu déroulant Application SaaS, sélectionnez l'application Microsoft Defender.
- Dans le menu déroulant Connecteur Locataire, sélectionnez le connecteur parent Microsoft 365 pour le locataire avec les données d'alerte que vous voulez utiliser.
- Entrez un Nom du Connecteur unique pour le connecteur Defender.
- Cliquez sur Enregistrer.
-
Après la création réussie du connecteur, cliquez sur Autoriser.
Un nouvel onglet du navigateur s'ouvre sur l'application Microsoft 365.
- Dans le nouvel onglet de navigateur, authentifiez-vous sur l'application Microsoft 365 :
- Sélectionnez le compte Microsoft pour l'application Microsoft 365.
- Entrez le mot de passe de l'application et validez-le.
-
Acceptez les permissions pour permettre à Cato d'accéder à l'application Microsoft 365.
-
L'écran indique que vous avez appliqué avec succès les permissions pour l'application.
Vous pouvez fermer l'onglet du navigateur et revenir à l'application de gestion Cato.
-
L'application SaaS Microsoft Defender est ajoutée à la page Paramètres des connecteurs.
Il peut falloir plusieurs secondes pour que Microsoft Azure traite la demande, donc si le Statut indique Consentement utilisateur en attente, actualisez le navigateur.
La colonne Statut sur la page des Paramètres des Connecteurs montre le statut de la connexion entre l'application Microsoft et votre compte Cato. Voici les explications des statuts :
- Connecté - Votre compte est connecté à l'application et fonctionne correctement
- Consentement utilisateur en attente - Les permissions n'ont pas été accordées pour permettre à Cato d'accéder à l'application Microsoft 365. Pour résoudre ce problème, actualisez le navigateur. Si le Statut passe à Connecté, le problème est résolu, si le Statut ne change pas, supprimez et recréez le connecteur.
- Erreur - Il y a un problème de connectivité, de permissions ou un autre problème avec le connecteur Microsoft. Supprimez et recréez le connecteur.
Une fois que vous avez créé le connecteur, les histoires seront visibles dans l'Atelier des Histoires.
Pour afficher la page de l'Atelier des Histoires :
- Dans le menu de navigation, cliquez sur Accueil > Atelier des Histoires.
Pour des informations sur les colonnes dans l'Atelier des Histoires, consultez Comprendre les colonnes des histoires
Pour plus d'informations sur la revue des histoires XOps, y compris les données de Microsoft Defender, consultez Analyse approfondie des histoires de sécurité XOps
0 commentaire
Vous devez vous connecter pour laisser un commentaire.