Integrazione con Microsoft 365 Autenticazione con l'API Office 365 Management Activity Configurazione della pipeline CloudWatch Classi di eventi Open Cybersecurity Schema Framework supportate

Configurazione del codice sorgente per Microsoft 365

Integrazione con Microsoft 365

Microsoft 365 è una famiglia di prodotti di software di produttività, collaborazione e servizi basati sul cloud di proprietà di Microsoft. CloudWatch Pipeline utilizza l'API Office 365 Management Activity per recuperare informazioni su azioni ed eventi di utenti, amministratori, sistemi e policy dai registri delle attività di Office 365 e Microsoft Entra. L'API Office 365 Management Activity (nota anche come API Unified Auditing) fa parte delle offerte di sicurezza e conformità di Office 365. I clienti e i partner possono utilizzare queste informazioni per creare nuove o migliorare le soluzioni operative, di sicurezza e di monitoraggio della conformità per l'azienda.

Autenticazione con l'API Office 365 Management Activity

Per recuperare le attività Office 365, pipelines deve autenticarsi con il tuo account. Segui le istruzioni in Gestione di Office 365: APIs

Registra un'applicazione in Azure con tipi di account supportati, account solo in questa directory organizzativa (tenant singolo). Una volta completata la registrazione, annota l'ID dell'applicazione (client) e l'ID della directory (tenant).
Genera una nuova chiave per la tua applicazione. La chiave è anche nota come client secret, che viene utilizzata quando si scambia un codice di autorizzazione con un token di accesso.
In Gestione dei segreti AWS, crea un segreto e archivia l'ID dell'applicazione (client) sotto la chiave client_id e il segreto del client sotto la chiave client_secret
Specificate le autorizzazioni richieste dall'applicazione per accedere alla gestione APIs di Office 365. Le autorizzazioni necessarie sono:
- ActivityFeed.Leggi: obbligatorio per tutti i tipi di contenuto di audit che hai elencato, incluso Audit. AzureActiveDirectory, Audit.Exchange, Audit. SharePointe Audit.General.
- ActivityFeed. ReadDlp: Obbligatorio specificamente per il tipo di contenuto DLP.All
Prima di poter accedere ai dati tramite l'API Office 365 Management Activity, è necessario abilitare la registrazione di controllo unificata per l'organizzazione Office 365. Puoi farlo attivando il registro di controllo di Office 365. Per istruzioni, vedi Attivare o disattivare la ricerca nei log di controllo di Office 365.

Configurazione della pipeline CloudWatch

Quando configuri la pipeline per leggere le attività da Office 365, scegli Microsoft 365 come origine dati. Inserisci le informazioni richieste, come l'ID del tenant utilizzando l'ID della directory (tenant) e il luogo segreto in cui client_id sono archiviati. client_secret Una volta creata la pipeline, i dati saranno disponibili nel gruppo di CloudWatch log Logs selezionato.

Classi di eventi Open Cybersecurity Schema Framework supportate

Questa integrazione supporta la versione dello schema OCSF v1.5.0 e le azioni di vari carichi di lavoro come Exchange SharePoint, Teams e Azure Active Directory sono mappate su Account Change (3001), Authentication (3002), User Access Management (3005), Group Management (3006), Email Activity (4009), Web Resources Activity (6001), File Hosting Activity (6006), Application Lifecycle (6002), (), Detection Finding (2004), Incident Finding (2005), Vulnerability Finding (2002) e Unknown (0).