この記事では、Microsoft Defender for Endpoint からデータを統合して、Cato Stories Workbench でレビューできるストーリーを生成する方法について説明します。
Microsoft APIを使用して、Microsoft Defender for Endpoint からアラートデータを統合し、エンドポイントデバイス用のストーリーを生成できます。 エンドポイントストーリーは、ネットワーク内の潜在的な脅威のより完全な画像を得るのに役立ちます。
Catoエンドポイントアラートエンジンは、同じDefenderインシデントに関連するDefender アラートのデータを相関させることでストーリーを作成します。 エンドポイントアラートストーリーには、Defenderによって検出されたアラートに関するすべての関連証拠が含まれています。 Stories Workbench はエンドポイントストーリーを他のストーリータイプと共に表示し、エンドポイントアラートストーリーに集中するためにストーリーを並べ替えおよびフィルターすることができます。
Defender for EndpointアラートデータをCato XOpsと統合するには、まずMicrosoft 365およびDefender for EndpointのAPIコネクタを設定する必要があります。 コネクタを作成した後、エンドポイントアラートエンジンはDefender for Endpointからアラートデータを取得して分析します。
Microsoft Defender からのデータを含むXOpsストーリーのレビューに関する詳細は XOps セキュリティストーリーの掘り下げと分析を参照してください
これは、Stories Workbench で Defender for Endpoint ストーリーを統合およびレビューするためのワークフローの概要です:
- Microsoft 365 親コネクタを作成します。
- Defender for Endpointコネクタを作成します。
- ストーリー作業台でエンドポイントアラートストーリーを確認します。
- ストーリーアクション パネルの設定はエンドポイントアラートのストーリーに対して構成できません。 アクションに関連するすべてのフィールドは「該当なし」と表示されます。 ストーリーアクション パネルの詳細については、以下を参照してください。
- 共有デバイス用のMicrosoftエンドポイントアラートストーリーには、デバイスにログインしているすべてのユーザーが含まれていますが、関連するDefender for Endpointアラートには1人のユーザーのみが表示される場合があります。
- コネクタを追加するには、リソースセクションで統合の編集者権限が必要です。 詳細については、RBACで管理者ロールを管理を参照してください。
Microsoft エンドポイントアラートストーリーの理解
Microsoft エンドポイントアラートプロデューサーは統合に基づいてストーリーを生成します。 このセクションでは、ストーリードリルダウンページの概要タブにある情報を説明します。
これらはストーリー概要ウィジェットです。
| 名前 | 説明 |
|---|---|
| 概要ウィジェット |
ページ上部のバーには、ストーリーに関する基本的な情報の概要が表示されます。
|
| タイムライン | ストーリー内のイベントやアクションのタイムライン。 |
| 詳細 |
ストーリーの基本情報。
|
| エンティティ | インシデントに関与するエンティティ。 ユーザー、デバイス、サイト、データストア、アプリケーションなどが含まれます。 ストーリーには、複数のユーザーとデバイスのアラートが含まれる場合があります。 |
| アラート |
Defenderインシデントに関連するアラートの詳細を表示します。
テーブルの列は次のとおりです。
|
| 証拠 |
各ストーリーアラートの証拠に特定されたプロセス、ファイル、レジストリ値、およびネットワークパラメータのすべての詳細を集約します。 証拠テーブルのいくつかの列は、すべての証拠タイプで共有されており、一部は特定のタイプ専用です。 これらはすべてのタイプの証拠に表示される列です。
これらは、それぞれの証拠タイプに固有の列です。
|
Microsoft コネクタの概要
CatoのMicrosoft Defenderコネクタをアラートデータを取得するために設定するには、最初にMicrosoft 365コネクタを親アプリとして設定し、Defenderコネクタに読み取り権限を与える必要があります。 親アプリはMicrosoftコネクタの管理権限のみを持っています。 Microsoft 365コネクタを設定した後、アラートデータを取得するためのDefenderコネクタを設定できます。
組織内の異なるサブ組織からアラートデータをインポートする場合は、各関連 Azure テナントごとに別の Microsoft 365 コネクタを作成し、各テナントに対して Defender コネクタを設定します。
- Microsoft 365 E3 ライセンス以上が必要です
- Microsoft 365 コネクタでは、Cato の Defender コネクタにアクセス権を与えるために、全体管理者ロールを持つ管理者が必要です
親Microsoft 365コネクタを設定し、Microsoft 365アカウントのためのDefenderコネクタを定義します。
組織がすでに別の機能のためにMicrosoft 365親コネクタを設定している場合、そのコネクタを使用してDefenderコネクタのみを設定する必要があります。
Cato 管理画面を使用して、関連する Azure テナントのために Microsoft 365 SaaS アプリケーションコネクタを作成します。 Catoアカウントにコネクタを追加するには、Microsoft 365に認証するための正しい資格情報を持っている必要があります。
Microsoft 365 親エンドポイントコネクタを設定するには:
- ナビゲーションメニューから、セキュリティ > コネクタ を選択し、コネクタ設定 タブを選択します。
- 新規 をクリックします。 新規コネクタ パネルが開きます。
-
SaaS アプリケーション ドロップダウンメニューから、Microsoft 365 アプリを選択します。
- 一意の コネクタ名 を入力します。
-
承認して保存 をクリックします。
新しいブラウザタブがMicrosoft 365アプリを開きます。
- 新しいブラウザタブで、Microsoft 365アプリに認証します:
- Microsoft 365 アプリ用の Microsoft アカウントを選択します。
- アプリのパスワードを入力し、承認します。
-
CatoがMicrosoft 365アプリにアクセスできるように、アクセス許可を承認してください。
-
アプリのアクセス許可が正常に適用されたことが表示されます。
ブラウザタブを閉じて、Cato 管理アプリケーションに戻ることができます。
-
Microsoft 365 SaaS アプリケーションがコネクタ設定ページに追加されます。
Microsoft Azure がリクエストを処理するのに数秒かかることがあるため、状況がユーザーの同意待ちと表示される場合は、ブラウザを更新してください。
Cato 管理アプリケーションを使用して、使用したいアラートデータを含む Azure テナントのために Microsoft Defender for Endpoint SaaS アプリケーションコネクタを作成します。 Catoアカウントにコネクタを追加するには、Microsoft 365に認証するための正しい資格情報を持っている必要があります。
注
注: Microsoft 365 アプリのために API コネクタを作成すると、コネクタは3ヶ月間有効な認証証明書を作成し、有効期限の7日前に証明書を更新します。
Microsoft Defender コネクタを設定するには:
- ナビゲーションメニューから、セキュリティ > コネクタ を選択し、コネクタ設定 タブを選択します。
- 新規 をクリックします。 新規コネクタ パネルが開きます。
-
Saas アプリケーション ドロップダウンメニューから、Microsoft Defender アプリを選択します。
- コネクタテナント ドロップダウンメニューから、使用したいアラートデータのテナントのための親Microsoft 365 コネクタを選択します。
- Defender コネクタのための一意の コネクタ名 を入力します。
- 保存 をクリックします。
-
コネクタが正常に作成された後、承認 をクリックします。
新しいブラウザタブが Microsoft 365 アプリを開きます。
- 新しいブラウザタブで、Microsoft 365 アプリに認証します:
- Microsoft 365 アプリ用の Microsoft アカウントを選択します。
- アプリのパスワードを入力し、承認します。
-
Cato が Microsoft 365 アプリにアクセスできるように、アクセス許可を承認してください。
-
アプリのアクセス許可が正常に適用されたことが表示されます。
ブラウザタブを閉じて、Cato 管理アプリケーションに戻ることができます。
-
Microsoft Defender SaaS アプリケーションがコネクタ設定ページに追加されます。
Microsoft Azure がリクエストを処理するのに数秒かかることがあるため、状況がユーザーの同意待ちと表示される場合は、ブラウザを更新してください。
状況列は、MicrosoftアプリとCatoアカウントの間の接続状況を表示します。 これらは状況の説明です:
- 接続済み - アカウントはアプリと接続されており、正常に機能しています
- ユーザーの同意待ち - Catoが Microsoft 365 アプリにアクセスできるように、アクセス権が付与されていません。 この問題を解決するには、ブラウザを更新してください。 状況が接続済みに変わった場合、問題は解決されます。変わらない場合は、コネクタを削除して再作成してください。
- エラー - Microsoft コネクタに接続性、アクセス権、またはその他の問題があります。 コネクタを削除して再作成してください。
コネクタを作成すると、ストーリーがStories Workbenchに表示されます。
XDR インシデント検出内の列に関する情報は、ストーリー列の理解を参照してください。
Microsoft Defender からのデータを含む XOps ストーリーのレビューに関する詳細は XOps セキュリティストーリーの掘り下げと分析を参照してください
0件のコメント
サインインしてコメントを残してください。