MSSP müşteri kiracısından uyarıları getirme

Makale
04/26/2024

Şunlar için geçerlidir:

Not

Bu eylem MSSP tarafından gerçekleştirilen.

Uyarıları getirmenin iki yolu vardır:

SIEM yöntemini kullanma
API'leri kullanma

Uyarıları SIEM'inize getirme

Uyarıları SIEM sisteminize getirmek için aşağıdaki adımları uygulamanız gerekir:

1. Adım: Üçüncü taraf bir uygulamayı İçerik Oluşturucu
2. Adım: Müşterinizin kiracısından erişim ve yenileme belirteçleri alma
3. Adım: uygulamanızın Microsoft Defender XDR

1. Adım: Microsoft Entra ID'da bir uygulamayı İçerik Oluşturucu

Müşterinizin Microsoft Defender XDR kiracısından uyarı getirmek için bir uygulama oluşturmanız ve bu uygulamaya izin vermeniz gerekir.

Microsoft Entra yönetim merkezi oturum açın.
Microsoft Entra ID>Uygulama kayıtları'ı seçin.
Yeni kayıt'a tıklayın.
Aşağıdaki değerleri belirtin:
- Ad: <Tenant_name> SIEM MSSP Bağlayıcısı (Tenant_name kiracı görünen adıyla değiştirin)
- Desteklenen hesap türleri: Yalnızca bu kuruluş dizinindeki hesap
- Yeniden yönlendirme URI'sini: Web'i seçin ve yazın https://<domain_name>/SiemMsspConnector(domain_name> kiracı adıyla değiştirin<)
Kaydet'e tıklayın. Uygulama, sahip olduğunuz uygulamalar listesinde görüntülenir.
Uygulamayı seçin ve genel bakış'a tıklayın.
Uygulama (istemci) Kimliği alanındaki değeri güvenli bir yere kopyalayın; sonraki adımda buna ihtiyacınız olacaktır.
Yeni uygulama panelinde Sertifika & gizli dizileri'ni seçin.
Yeni istemci gizli dizisi'ne tıklayın.
- Açıklama: Anahtar için bir açıklama girin.
- Süre sonu: 1 yıl içinde seçin
Ekle'ye tıklayın, istemci gizli dizisinin değerini güvenli bir yere kopyalayın, sonraki adımda buna ihtiyacınız olacaktır.

2. Adım: Müşterinizin kiracısından erişim ve yenileme belirteçleri alma

Bu bölüm, müşterinizin kiracısından belirteçleri almak için PowerShell betiğini kullanma konusunda size yol gösterir. Bu betik, OAuth Yetkilendirme Kodu Akışı'nı kullanarak erişim ve yenileme belirteçlerini almak için önceki adımdaki uygulamayı kullanır.

Kimlik bilgilerinizi sağladıktan sonra, uygulamanın müşterinin kiracısında sağlanması için uygulamaya onay vermeniz gerekir.

Yeni bir klasör İçerik Oluşturucu ve şunu adlandır: MsspTokensAcquisition.
LoginBrowser.psm1 modülünü indirin ve klasöre MsspTokensAcquisition kaydedin.

Not

30. satırda değerini ile authorizationUrldeğiştirinauthorzationUrl.

Aşağıdaki içeriğe sahip bir dosyayı İçerik Oluşturucu ve klasördeki adla MsspTokensAcquisition.ps1 kaydedin:

param (
    [Parameter(Mandatory=$true)][string]$clientId,
    [Parameter(Mandatory=$true)][string]$secret,
    [Parameter(Mandatory=$true)][string]$tenantId
)
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

# Load our Login Browser Function
Import-Module .\LoginBrowser.psm1

# Configuration parameters
$login = "https://login.microsoftonline.com"
$redirectUri = "https://SiemMsspConnector"
$resourceId = "https://graph.windows.net"

Write-Host 'Prompt the user for his credentials, to get an authorization code'
$authorizationUrl = ("{0}/{1}/oauth2/authorize?prompt=select_account&response_type=code&client_id={2}&redirect_uri={3}&resource={4}" -f
                    $login, $tenantId, $clientId, $redirectUri, $resourceId)
Write-Host "authorzationUrl: $authorizationUrl"

# Fake a proper endpoint for the Redirect URI
$code = LoginBrowser $authorizationUrl $redirectUri

# Acquire token using the authorization code

$Body = @{
    grant_type = 'authorization_code'
    client_id = $clientId
    code = $code
    redirect_uri = $redirectUri
    resource = $resourceId
    client_secret = $secret
}

$tokenEndpoint = "$login/$tenantId/oauth2/token?"
$Response = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $Body
$token = $Response.access_token
$refreshToken= $Response.refresh_token

Write-Host " ----------------------------------- TOKEN ---------------------------------- "
Write-Host $token

Write-Host " ----------------------------------- REFRESH TOKEN ---------------------------------- "
Write-Host $refreshToken

Klasörde yükseltilmiş bir PowerShell komut istemi MsspTokensAcquisition açın.
Aşağıdaki konumu çalıştırın: Set-ExecutionPolicy -ExecutionPolicy Bypass
Aşağıdaki komutları girin: .\MsspTokensAcquisition.ps1 -clientId <client_id> -secret <app_key> -tenantId <customer_tenant_id>
- client_id> yerine önceki adımdan aldığınız Uygulama (istemci) kimliğini yazın<.
- app_key> değerini önceki adımda oluşturduğunuz İstemci Gizli Anahtarı ile değiştirin<.
- customer_tenant_id> müşterinizin Kiracı Kimliği ile değiştirin<.
Kimlik bilgilerinizi ve onayınızı sağlamanız istenir. Sayfa yeniden yönlendirmesini yoksayın.
PowerShell penceresinde bir erişim belirteci ve yenileme belirteci alırsınız. SIEM bağlayıcınızı yapılandırmak için yenileme belirtecini kaydedin.

3. Adım: Uygulamanızın Microsoft Defender XDR'de izin verme

Microsoft Defender XDR'de oluşturduğunuz uygulamaya izin vermeniz gerekir.

Uygulamaya izin vermek için Portal sistem ayarlarını yönet iznine sahip olmanız gerekir. Aksi takdirde müşterinizden uygulamaya sizin için izin vermelerini istemeniz gerekir.

adresine https://security.microsoft.com?tid=<customer_tenant_id> gidin (customer_tenant_id> müşterinin kiracı kimliğiyle değiştirin<.
Ayarlar>Uç Noktaları API'leri>>SIEM'i tıklatın.
MSSP sekmesini seçin.
İlk adımdaki Uygulama Kimliğini ve Kiracı Kimliğinizi girin.
Uygulamayı yetkile'ye tıklayın.

Artık SIEM'iniz için ilgili yapılandırma dosyasını indirebilir ve Microsoft Defender XDR API'sine bağlanabilirsiniz. Daha fazla bilgi için bkz. SIEM araçlarınıza uyarılar çekme.

ArcSight yapılandırma dosyası / Splunk Kimlik Doğrulama Özellikleri dosyasında gizli dizi değerini ayarlayarak uygulama anahtarınızı el ile yazın.
Portalda yenileme belirteci almak yerine bir yenileme belirteci almak (veya başka bir yolla almak) için önceki adımdaki betiği kullanın.

API'leri kullanarak MSSP müşteri kiracısından uyarıları getirme

REST API kullanarak uyarıları getirme hakkında bilgi için bkz. MSSP müşteri kiracısından uyarıları getirme.

Ayrıca bkz.

İpucu

Daha fazla bilgi edinmek mi istiyorsunuz? Teknoloji Topluluğumuzdaki Microsoft Güvenlik topluluğuyla Engage: Uç Nokta için Microsoft Defender Teknoloji Topluluğu.

Aracılığıyla paylaş