重要事項
棄用通知：Microsoft Defender for Cloud Apps SIEM 代理程式
作為跨 Microsoft Defender 工作負載進行的融合程式的一部分，Microsoft Defender for Cloud Apps SIEM 代理程式將從 2025 年 11 月開始被取代。
現有的 Microsoft Defender for Cloud Apps SIEM 代理將持續運作至 2025 年 11 月。 自 2025 年 6 月 19 日起， 無法設定新的 SIEM 代理程式，但 Microsoft Sentinel 代理程式整合 (預覽版) 仍將受到支援，並且仍可新增。
我們建議移轉至支援管理來自多個工作負載之活動與警示資料的 API。 這些 API 可增強安全性監視和管理，並使用來自多個 Microsoft Defender 工作負載的數據提供其他功能。
若要確保持續性和存取目前透過 Microsoft Defender for Cloud Apps SIEM 代理程式提供的資料，建議您轉換至下列支援的 API：
- 如需警示和活動，請參閱：Microsoft Defender 全面偵測回應 串流 API。
- 若要查看 Microsoft Entra ID Protection 登入事件，請參閱進階搜捕結構描述中的 IdentityLogonEvents 資料表。
- 如需 Microsoft Graph 安全性警示 API，請參閱： 清單alerts_v2
- 若要檢視Microsoft Defender 全面偵測回應事件 API 中的Microsoft Defender for Cloud Apps警示資料，請參閱 Microsoft Defender 全面偵測回應事件 API 和事件資源類型
您可以將 Microsoft Defender for Cloud Apps 與一般 SIEM 伺服器整合，以集中監視來自連線應用程式的警示和活動。 隨著連接的應用程式支援新活動與事件，這些活動與事件的可見性會逐步整合至 Microsoft Defender for Cloud Apps。 與 SIEM 服務整合可讓您更好地保護雲端應用程式，同時維護通常的安全工作流程、自動化安全程序以及在雲端和內部部署事件之間建立關聯。 Microsoft Defender for Cloud Apps SIEM 代理程式會在您的伺服器上執行，並從適用於雲端的 Microsoft Defender Defender Apps 提取警示和活動，並將其串流至 SIEM 伺服器。
當您首次將 SIEM 與 Defender for Cloud Apps 整合時，過去兩天的活動與警示會轉發至 SIEM，之後所有活動與警示（根據您在 SIEM 設定時設定的警示與活動篩選器）都會被轉發給 SIEM。 如果你長時間停用 SIEM 整合，然後重新啟用，過去兩天的警示和活動會被轉發，接著所有警示和活動都會被轉發。
其他整合解決方案包括：
- Microsoft Sentinel - 可調整的雲端原生 SIEM 和 SOAR，用於原生整合。 如需與 Microsoft Sentinel 整合的相關資訊，請參閱 Microsoft Sentinel 整合。
- Microsoft 安全性圖形 API - 提供單一程式設計介面來連線多個安全性提供者的中介服務 (或代理程式) 。 如需詳細資訊，請參閱使用 Microsoft Graph 安全性 API 進行安全性解決方案整合。
一般 SIEM 整合架構
SIEM 代理程式會部署在您組織的網路中。 部署與設定後，SIEM 代理會利用 Defender for Cloud Apps 的 RESTful API 擷取已設定的資料型別（警示與活動）。 SIEM 代理接著透過加密的 HTTPS 通道在 443 埠傳送警報與活動資料。
一旦 SIEM 代理程式從 Defender for Cloud Apps 擷取資料，它就會將 Syslog 訊息傳送至您的本機 SIEM。 Defender for Cloud Apps 會使用您在設定期間提供的網路組態 (TCP 或 UDP 搭配自訂連接埠) 。
支援的 SIEM
Defender for Cloud Apps 目前支援 Micro Focus ArcSight 和一般 CEF。
如何將您的 SIEM 與 Defender for Cloud Apps 整合
與 SIEM 整合可透過三個步驟完成：
- 在 Defender for Cloud Apps 中設定它。
- 下載 JAR 檔案並在您的伺服器上執行它。
- 驗證 SIEM 代理程式是否正常運作。
必要條件
- 標準 Windows 或 Linux 伺服器 (可以是虛擬機器) 。
- 作業系統：Windows 或 Linux
- 中央處理器：2
- 磁碟空間：20 GB
- 內存：2 GB
- 伺服器必須執行 Java 8。 不支援舊版。
- 傳輸層安全性 (TLS) 1.2+。 不支援舊版。
- 設定防火牆，如網路需求中所述
與您的 SIEM 整合
步驟 1：在 Defender for Cloud Apps 中設定
請執行以下步驟，在 Defender for Cloud Apps 中建立並設定 SIEM 代理：
在 Microsoft Defender 入口網站中，選取 [設定]。 然後選擇 [雲端應用程式]。
在 [系統] 下，選擇 [SIEM 代理程式]。 選取 [新增 SIEM 代理程式]，然後選擇 [一般 SIEM]。
在精靈中，選取 [啟動精靈]。
在精靈中，填寫名稱，然後 選取您的 SIEM 格式 ，然後設定與該格式相關的任何 進階設定 。 選取 [下一步]。
輸入 遠端系統日誌主機 的IP地址或主機名以及 系統日誌埠號。 選擇TCP或UDP作為遠端系統日誌協定。 如果您沒有這些詳細資料，您可以與安全性管理員合作取得這些詳細資料。 選取 [下一步]。
選取您要匯出至 SIEM 伺服器以取得 警示 和 活動的資料類型。 使用滑桿啟用和停用它們，預設情況下，所有內容都處於選中狀態。 您可以使用 [套用至 ] 下拉式清單來設定篩選器，以僅將特定警示和活動傳送至 SIEM 伺服器。 選取 [編輯並預覽結果] 以檢查篩選器是否如預期般運作。 選取 [下一步]。
複製權杖並儲存以供日後使用。 選取 [完成] ，然後離開精靈。 返回 SIEM 頁面，查看您在表格中新增的 SIEM 代理程式。 SIEM 代理會以已建立狀態出現在表格中，直到代理連接到 Defender for Cloud Apps。
注意事項
您建立的任何權杖都會綁定至建立該權杖的管理員。 這表示如果系統管理員使用者從 Defender for Cloud Apps 中移除，權杖將不再有效。 一般 SIEM 權杖會為唯一必要的資源提供唯讀權限。 除了此權杖所包含的權限外，不會授予任何其他權限。
第 2 步：下載 JAR 檔案並在伺服器上運行它
在 Microsoft下載中心，接受軟體授權條款後，下載 .zip 檔案並解壓縮。
在您的伺服器上執行解壓縮的檔案：
java -jar mcas-siemagent-0.87.20-signed.jar [--logsDirectory DIRNAME] [--proxy ADDRESS[:PORT]] --token TOKEN
注意事項
- 檔案名稱可能會因 SIEM 代理程式的版本而異。
- 括弧 [ ] 中的參數是選擇性的，只有在相關時才應使用。
- 我們建議在伺服器啟動期間執行 JAR。
- Windows：以排程工作的形式執行，並確定您將工作設定為 [無論使用者是否登入都執行] ，並取消核取 [如果執行時間超過則停止工作] 核取方塊。
- Linux：將帶有 & 的執行命令新增至 rc.local 檔案。 例如：
java -jar mcas-siemagent-0.87.20-signed.jar [--logsDirectory DIRNAME] [--proxy ADDRESS[:PORT]] --token TOKEN &
其中使用了下列變數：
- DIRNAME 是您想要用於本機代理程式偵錯記錄的目錄路徑。
- ADDRESS[:PORT] 是伺服器用來連線至網際網路的代理伺服器位址和連接埠。
- TOKEN 是你在 Defender for Cloud Apps 建立 SIEM 代理時複製的 SIEM 代理令牌。
您可以隨時鍵入 -h 以取得協助。
範例活動記錄
以下是傳送至 SIEM 的範例活動記錄：
2017-11-22T17:50:04.000Z CEF:0|MCAS|SIEM_Agent|0.111.85|EVENT_CATEGORY_LOGOUT|Log out|0|externalId=1511373015679_167ae3eb-ed33-454a-b548-c2ed6cea6ef0 rt=1511373004000 start=1511373004000 end=1511373004000 msg=Log out suser=admin@contoso.com destinationServiceName=ServiceNow dvc=13.82.149.151 requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511373015679_167ae3eb-ed33-454a-b548-c2ed6cea6ef0,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
2017-11-28T19:40:15.000Z CEF:0|MCAS|SIEM_Agent|0.112.68|EVENT_CATEGORY_VIEW_REPORT|View report|0|externalId=1511898027370_e272cd5f-31a3-48e3-8a6a-0490c042950a rt=1511898015000 start=1511898015000 end=1511898015000 msg=View report: ServiceNow Report 23 suser=admin@contoso.com destinationServiceName=ServiceNow dvc= requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511898027370_e272cd5f-31a3-48e3-8a6a-0490c042950a,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=23,sys_report,admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
2017-11-28T19:25:34.000Z CEF:0|MCAS|SIEM_Agent|0.112.68|EVENT_CATEGORY_DELETE_OBJECT|Delete object|0|externalId=1511897141625_7558b33f-218c-40ff-be5d-47d2bdd6b798 rt=1511897134000 start=1511897134000 end=1511897134000 msg=Delete object: ServiceNow Object f5122008db360300906ff34ebf96198a suser=admin@contoso.com destinationServiceName=ServiceNow dvc= requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511897141625_7558b33f-218c-40ff-be5d-47d2bdd6b798,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=,,admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
2017-11-27T20:40:14.000Z CEF:0|MCAS|SIEM_Agent|0.112.49|EVENT_CATEGORY_CREATE_USER|Create user|0|externalId=1511815215873_824f8f8d-2ecd-439b-98b1-99a1adf7ba1c rt=1511815214000 start=1511815214000 end=1511815214000 msg=Create user: user 747518c0db360300906ff34ebf96197c suser=admin@contoso.com destinationServiceName=ServiceNow dvc= requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511815215873_824f8f8d-2ecd-439b-98b1-99a1adf7ba1c,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=,747518c0db360300906ff34ebf96197c,sys_user,admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
2017-11-27T20:41:20.000Z CEF:0|MCAS|SIEM_Agent|0.112.49|EVENT_CATEGORY_DELETE_USER|Delete user|0|externalId=1511815287798_bcf60601-ecef-4207-beda-3d2b8d87d383 rt=1511815280000 start=1511815280000 end=1511815280000 msg=Delete user: user 233490c0db360300906ff34ebf9619ef suser=admin@contoso.com destinationServiceName=ServiceNow dvc= requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511815287798_bcf60601-ecef-4207-beda-3d2b8d87d383,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=,233490c0db360300906ff34ebf9619ef,,admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
2017-11-28T19:24:55.000Z LAB-EUW-ARCTEST CEF:0|MCAS|SIEM_Agent|0.112.68|EVENT_CATEGORY_DELETE_OBJECT|Delete object|0|externalId=1511897117617_5be018ee-f676-4473-a9b5-5982527409be rt=1511897095000 start=1511897095000 end=1511897095000 msg=Delete object: ServiceNow Object b1709c40db360300906ff34ebf961923 suser=admin@contoso.com destinationServiceName=ServiceNow dvc= requestClientApplication= cs1Label=portalURL cs1=https://contoso.portal.cloudappsecurity.com/#/audits?activity.id\=eq(1511897117617_5be018ee-f676-4473-a9b5-5982527409be,) cs2Label=uniqueServiceAppIds cs2=APPID_SERVICENOW cs3Label=targetObjects cs3=,,admin@contoso.com,admin@contoso.com,admin@contoso.com cs4Label=policyIDs cs4= c6a1Label="Device IPv6 Address" c6a1=
下列文字是警示記錄檔範例：
2017-07-15T20:42:30.531Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|myPolicy|3|externalId=596a7e360c204203a335a3fb start=1500151350531 end=1500151350531 msg=Activity policy ''myPolicy'' was triggered by ''admin@box-contoso.com'' suser=admin@box-contoso.com destinationServiceName=Box cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596a7e360c204203a335a3fb cs2Label=uniqueServiceAppIds cs2=APPID_BOX cs3Label=relatedAudits cs3=1500151288183_acc891bf-33e1-424b-a021-0d4370789660 cs4Label=policyIDs cs4=59f0ab82f797fa0681e9b1c7
2017-07-16T09:36:26.550Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|test-activity-policy|3|externalId=596b339b0c204203a33a51ae start=1500197786550 end=1500197786550 msg=Activity policy ''test-activity-policy'' was triggered by ''user@contoso.com'' suser=user@contoso.com destinationServiceName=Salesforce cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596b339b0c204203a33a51ae cs2Label=uniqueServiceAppIds cs2=APPID_SALESFORCE cs3Label=relatedAudits cs3=1500197720691_b7f6317c-b8de-476a-bc8f-dfa570e00349 cs4Label=policyIDs cs4=
2017-07-16T09:17:03.361Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|test-activity-policy3|3|externalId=596b2fd70c204203a33a3eeb start=1500196623361 end=1500196623361 msg=Activity policy ''test-activity-policy3'' was triggered by ''admin@contoso.com'' suser=admin@contoso.com destinationServiceName=Microsoft 365 cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596b2fd70c204203a33a3eeb cs2Label=uniqueServiceAppIds cs2=APPID_O365 cs3Label=relatedAudits cs3=1500196549157_a0e01f8a-e29a-43ae-8599-783c1c11597d cs4Label=policyIDs cs4=
2017-07-16T09:17:15.426Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|test-activity-policy|3|externalId=596b2fd70c204203a33a3eec start=1500196635426 end=1500196635426 msg=Activity policy ''test-activity-policy'' was triggered by ''admin@contoso.com'' suser=admin@contoso.com destinationServiceName=Microsoft 365 admin center cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596b2fd70c204203a33a3eec cs2Label=uniqueServiceAppIds cs2=APPID_O365_PORTAL cs3Label=relatedAudits cs3=1500196557398_3e102b20-d9fa-4f66-b550-8c7a403bb4d8 cs4Label=policyIDs cs4=59f0ab35f797fa9811e9b1c7
2017-07-16T09:17:46.290Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|test-activity-policy4|3|externalId=596b30200c204203a33a4765 start=1500196666290 end=1500196666290 msg=Activity policy ''test-activity-policy4'' was triggered by ''admin@contoso.com'' suser=admin@contoso.com destinationServiceName=Microsoft Exchange Online cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596b30200c204203a33a4765 cs2Label=uniqueServiceAppIds cs2=APPID_OUTLOOK cs3Label=relatedAudits cs3=1500196587034_a8673602-7e95-46d6-a1fe-c156c4709c5d cs4Label=policyIDs cs4=
2017-07-16T09:41:04.369Z CEF:0|MCAS|SIEM_Agent|0.102.17|ALERT_CABINET_EVENT_MATCH_AUDIT|test-activity-policy2|3|externalId=596b34b10c204203a33a5240 start=1500198064369 end=1500198064369 msg=Activity policy ''test-activity-policy2'' was triggered by ''user2@test15-adallom.com'' suser=user2@test15-adallom.com destinationServiceName=Google cn1Label=riskScore cn1= cs1Label=portalURL cs1=https://cloud-app-security.com/#/alerts/596b34b10c204203a33a5240 cs2Label=uniqueServiceAppIds cs2=APPID_33626 cs3Label=relatedAudits cs3=1500197996117_fd71f265-1e46-4f04-b372-2e32ec874cd3 cs4Label=policyIDs cs4=
Defender for Cloud Apps 的 CEF 格式警示範例
下表描述了 Defender for Cloud Apps 警示與活動中使用的 CEF 欄位。
| 適用於 | CEF 欄位名稱 | 描述 |
|---|---|---|
| 活動/警報 | start | 活動或警示時間戳記 |
| 活動/警報 | 端 | 活動或警示時間戳記 |
| 活動/警報 | rt | 活動或警示時間戳記 |
| 活動/警報 | msg | 入口網站中顯示的活動或警示描述 |
| 活動/警報 | suser | 活動或警示主體使用者 |
| 活動/警報 | 目的地服務名稱 | 活動或警示來源應用程式，例如 Microsoft 365、Sharepoint、Box。 |
| 活動/警報 | cs<X>標籤 | 每個標籤都有不同的意義，但標籤本身會解釋它，例如 targetObjects。 |
| 活動/警報 | CS<X> | 與標籤相對應的資訊 (活動或警示的目標使用者，如標籤範例) 。 |
| 活動 | EVENT_CATEGORY_* | 活動的高階類別 |
| 活動 | <動作> | 活動類型，如入口網站中所示 |
| 活動 | 外部識別碼 | 事件識別碼 |
| 活動 | dvc | 用戶端裝置的 IP |
| 活動 | requestClientApplication | 用戶端裝置的使用者代理程式 |
| 警示 | <警示類型> | 例如 "ALERT_CABINET_EVENT_MATCH_AUDIT" |
| 警示 | <名字> | 相符的原則名稱 |
| 警示 | 外部識別碼 | 警示標識碼 |
| 警示 | 來源 | 用戶端裝置的 IPv4 位址 |
| 警示 | c6a1 | 用戶端裝置的 IPv6 位址 |
步驟 3：驗證 SIEM 代理程式是否正常運作
請確定入口網站中 SIEM 代理程式的狀態不是 [連線錯誤 ] 或 [ 中斷連線 ]，而且沒有代理程式通知。 如果連線關閉超過兩小時，狀態會變更為 連線錯誤。 如果連線關閉超過 12 小時，狀態會變更為 [ 已中斷連線]。
而是，狀態應顯示為「已連線」，如下所示：
在您的 Syslog/SIEM 伺服器中，請確定您看到來自 Defender for Cloud Apps 的活動和警示。
重新生成你的代幣
如果您遺失權杖，則一律可以重新產生權杖，方法是選取表格中 SIEM 代理程式資料列結尾處的三個點。 選取 [重新產生權杖 ] 以取得新的權杖。
編輯你的 SIEM 代理人
若要編輯 SIEM 代理程式，請選取表格中 SIEM 代理程式資料列結尾的三個點，然後選取 [編輯]。 如果您編輯 SIEM 代理程式，則不需要重新執行 .jar 檔案，它會自動更新。
刪除你的 SIEM 代理
若要刪除 SIEM 代理程式，請選取表格中 SIEM 代理程式資料列結尾的三個點，然後選取 [刪除]。
後續步驟
如果您遇到任何問題，我們隨時為您提供協助。 若要就您的產品問題取得協助或支援，請提交支援單。