Integrar com o Microsoft 365 Autenticar com a API da Atividade de Gestão do Office 365 Configurar o CloudWatch Pipeline Classes de eventos do Open Cybersecurity Schema Framework compatíveis

Configuração de fonte para o Microsoft 365

Integrar com o Microsoft 365

O Microsoft 365 é uma família de produtos de software de produtividade, colaboração e serviços baseados na nuvem pertencentes à Microsoft. O CloudWatch Pipeline usa a API da Atividade de Gestão do Office 365 para recuperar informações sobre ações e eventos de usuários, administradores, sistemas e políticas dos logs de atividades do Office 365 e do Microsoft Entra. A API da Atividade de Gestão do Office 365 (também conhecida como API de Auditoria Unificada) faz parte das ofertas de segurança e conformidade do Office 365. Clientes e parceiros podem usar essas informações para criar novas soluções ou aprimorar as soluções existentes de monitoramento de operações, segurança e conformidade para a empresa.

Autenticar com a API da Atividade de Gestão do Office 365

Para recuperar as atividades do Office 365, os pipelines precisam ser autenticados na sua conta. Siga as instruções nas APIs de Gerenciamento do Office 365:

Registre uma aplicação no Azure com os tipos de conta compatíveis; contas nesse diretório organizacional apenas (locatário único). Após a conclusão do registro, anote o ID da aplicação (cliente) e o ID do diretório (locatário).
Gere uma nova chave para a aplicação. A chave, também conhecida como segredo do cliente, é usada ao trocar um código de autorização por um token de acesso.
No AWS Secrets Manager, crie um segredo e armazene o ID da aplicação (cliente) com a chave client_id e o segredo do cliente com a chave client_secret
Especifique as permissões de que a aplicação precisa para acessar as APIs de Gerenciamento do Office 365. As permissões de que você precisa são:
- ActivityFeed.READ: obrigatório para todos os tipos de conteúdo de auditoria listados, incluindo Audit.AzureActiveDirectory, Audit.Exchange, Audit.SharePoint e Audit.General.
- ActivityFeed.ReadDlp: obrigatório especificamente para o tipo de conteúdo DLP.All
Antes de acessar dados usando a API da Atividade de Gestão do Office 365, você deve habilitar o registro em log de auditoria unificado para a organização do Office 365. Faça isso ativando o log de auditoria do Office 365. Para obter instruções, consulte Ativar ou desativar a pesquisa de logs de auditoria do Office 365.

Configurar o CloudWatch Pipeline

Ao configurar o pipeline para ler atividades do Office 365, escolha o Microsoft 365 como a fonte de dados. Preencha as informações necessárias, como ID do locatário, usando o ID do diretório (locatário) e o segredo onde client_id e client_secret estão armazenados. Depois de criado o pipeline, os dados estarão disponíveis no grupo de logs do CloudWatch Logs selecionado.

Classes de eventos do Open Cybersecurity Schema Framework compatíveis

Essa integração é compatível com o esquema OCSF versão v1.5.0 e ações de várias workloads, como Exchange, SharePoint, Teams e Azure Active Directory, são mapeadas para Account Change (3001), Authentication (3002), User Access Management (3005), Group Management (3006), Email Activity (4009), Web Resources Activity (6001), File Hosting Activity (6006), Application Lifecycle (6002), (2003), Detection Finding (2004), Incident Finding (2005), Vulnerability Finding (2002) e Unknown (0).