Integración con Microsoft 365 Autenticación con la API de actividades de administración de Office 365 Configuración de la canalización de CloudWatch Clases de eventos del Marco de esquema de ciberseguridad abierto compatibles

Configuración del origen para Microsoft 365

Integración con Microsoft 365

Microsoft 365 es una familia de productos software de productividad, colaboración y servicios en la nube de Microsoft. La canalización de CloudWatch usa la API de actividades de administración de Office 365 para recuperar información sobre las acciones y eventos de los usuarios, administradores, sistemas y políticas de los registros de actividad de Office 365 y Microsoft Entra. La API de actividades de administración de Office 365 (también conocida como API de auditoría unificada) forma parte de las ofertas de seguridad y cumplimiento de Office 365. Los clientes y socios pueden usar esta información para crear nuevas soluciones de supervisión del cumplimiento, seguridad y operaciones o mejorar las existentes para la empresa.

Autenticación con la API de actividades de administración de Office 365

Para recuperar las actividades de Office 365, las canalizaciones deben autenticarse con la cuenta. Siga las instrucciones de las API de administración de Office 365:

Registre una aplicación en Azure con los tipos de cuentas compatibles, solo las cuentas de este directorio organizativo (inquilino único). Una vez finalizado el registro, anote el ID de aplicación (cliente) y el ID de directorio (inquilino).
Genere una nueva clave para la aplicación. La clave también se conoce como secreto de cliente, que se usa cuando se intercambia un código de autorización por un token de acceso.
En AWS Secrets Manager, cree un secreto y almacene el ID de aplicación (cliente) en la clave client_id y el secreto de cliente en la clave client_secret.
Especifique los permisos que requiere la aplicación para acceder a las API de administración de Office 365. Los permisos que necesita son los siguientes:
- ActivityFeed.Read: obligatorio para todos los tipos de contenido de auditoría que enumere, lo que incluye Audit.AzureActiveDirectory, Audit.Exchange, Audit.SharePoint y Audit.General.
- ActivityFeed.ReadDlp: obligatorio específicamente para el tipo de contenido DLP.All
Para poder acceder a los datos a través de la API de actividades de administración de Office 365, debe activar el registro de auditoría unificado para la organización de Office 365. Para ello, active el registro de auditoría de Office 365. Para obtener instrucciones, consulte Turn Office 365 audit log search on or off.

Configuración de la canalización de CloudWatch

Al configurar la canalización para leer actividades de Office 365, elija Microsoft 365 como origen de datos. Rellene la información obligatoria, como el ID de inquilino, con el ID de directorio (inquilino) y el secreto en el que se almacenan client_id y client_secret. Una vez que haya creado la canalización, los datos estarán disponibles en el grupo de registro de Registros de CloudWatch.

Clases de eventos del Marco de esquema de ciberseguridad abierto compatibles

Esta integración es compatible con la versión 1.5.0 del esquema OCSF y las acciones de varias cargas de trabajo, como Exchange, SharePoint, Teams y Azure Active Directory, se asignan al cambio de cuentas (3001), la autenticación (3002), la administración de acceso de usuarios (3005), la administración de grupos (3006), la actividad de correo electrónico (4009), la actividad de recursos web (6001), la actividad de alojamiento de archivos (6006), el ciclo de vida de la aplicación (6002), (2003), el resultado de detecciones (2004), el resultado de incidentes (2005), el resultado de vulnerabilidades (2002) y desconocido (0).