Integration mit Microsoft 365 Authentifizierung mit der Office 365 Management Activity API Konfiguration der CloudWatch Pipeline Unterstützte Open Cybersecurity Schema Framework-Eventklassen

Quellkonfiguration für Microsoft 365

Integration mit Microsoft 365

Microsoft 365 ist eine Produktfamilie von Produktivitätssoftware, Kollaborations- und Cloud-basierten Diensten, die Microsoft gehört. CloudWatch Pipeline verwendet die Office 365 Management Activity API, um Informationen über Benutzer-, Administrator-, System- und Richtlinienaktionen und Ereignisse aus Office 365- und Microsoft Entra-Aktivitätsprotokollen abzurufen. Die Office 365 Management Activity API (auch bekannt als Unified Auditing API) ist Teil der Sicherheits- und Compliance-Angebote von Office 365. Kunden und Partner können diese Informationen verwenden, um neue Betriebs-, Sicherheits- und Compliance-Monitoring-Lösungen für das Unternehmen zu entwickeln oder bestehende zu verbessern.

Authentifizierung mit der Office 365 Management Activity API

Um die Aktivitäten von Office 365 abzurufen, müssen sich Pipelines mit Ihrem Konto authentifizieren. Folgen Sie den Anweisungen in Office 365 Management: APIs

Registrieren Sie eine Anwendung in Azure mit unterstützten Kontotypen, Konten nur in diesem Organisationsverzeichnis (Einzelmandant). Notieren Sie sich nach Abschluss der Registrierung die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant).
Generieren Sie einen neuen Schlüssel für Ihre Anwendung. Der Schlüssel wird auch als Client-Geheimnis bezeichnet. Er wird verwendet, wenn ein Autorisierungscode gegen ein Zugriffstoken ausgetauscht wird.
Erstellen Sie in der AWS Secrets Manager ein Geheimnis und speichern Sie die Anwendungs-ID (Client) unter dem Schlüssel client_id und das Client-Geheimnis unter dem Schlüssel client_secret
Geben Sie die Berechtigungen an, die Ihre Anwendung für den Zugriff auf Office 365 Management benötigt APIs. Die Berechtigungen, die Sie benötigen, sind:
- ActivityFeed.Read: Erforderlich für alle von Ihnen aufgelisteten Audit-Inhaltstypen, einschließlich Audit. AzureActiveDirectory, Audit.Exchange, Audit. SharePoint, und Audit.General.
- ActivityFeed. ReadDlp: Speziell für den Inhaltstyp DLP.All erforderlich
Bevor Sie über die Office 365 Management Activity API auf Daten zugreifen können, müssen Sie die einheitliche Auditprotokollierung für Ihre Office 365-Organisation aktivieren. Sie tun dies, indem Sie das Office 365-Auditprotokoll aktivieren. Anweisungen finden Sie unter Aktivieren oder Deaktivieren der Office 365-Überwachungsprotokollsuche.

Konfiguration der CloudWatch Pipeline

Wenn Sie die Pipeline zum Lesen von Aktivitäten aus Office 365 konfigurieren, wählen Sie Microsoft 365 als Datenquelle. Geben Sie die erforderlichen Informationen wie die Mandanten-ID mithilfe der Verzeichnis-ID (Mandanten-ID) client_id und client_secret den geheimen Speicherort ein. Sobald Sie die Pipeline erstellt haben, sind die Daten in der ausgewählten Protokollgruppe CloudWatch Logs verfügbar.

Unterstützte Open Cybersecurity Schema Framework-Eventklassen

Diese Integration unterstützt die OCSF-Schemaversion v1.5.0 und die Aktionen aus verschiedenen Workloads wie Exchange SharePoint, Teams und Azure Active Directory sind Kontoänderung (3001), Authentifizierung (3002), Benutzerzugriffsverwaltung (3005), Gruppenverwaltung (3006), E-Mail-Aktivität (4009), Webressourcenaktivität (6001), Datei-Hosting-Aktivität (6006), Anwendungslebenszyklus (6002), (2003), Erkennungsfindung (2004), Incident Finding (2005), Vulnerability Finding (2002) und Unknown (0).