Office 365 Management API インテグレーションガイド🔗

Office 365 Management API は、Office 365 および Azure Active Directory のアクティビティログから、さまざまなユーザー、管理者、システム、ポリシーのアクションとイベントに関する監査情報を提供します。Secureworks® Taegis™ XDR がデータを受信するには、Azure AD と Office 365 Management API からの認可が必要です。XDR は、Office 365 Commercial、Office 365 Government Community Cloud (GCC) および Office 365 GCC High 環境をサポートしています。

重要

XDR がそこからデータを受信するには、Office 365 の監査ログを有効にする必要があります。Office 365 の監査ログはデフォルトで無効になっています。詳細については、Microsoft ドキュメントの Turn Office 365 audit log search on or off を参照してください。

Office 365 Management Activity API の詳細については、Microsoft ドキュメントの Office 365 Management APIs Overview を参照してください。

データの可用性と収集時間🔗

アラートは、Microsoft REST API を使用してポーリングベースで取り込まれます。データの可用性については、Office 365 and Azure Data Availability を参照してください。

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region	IP Address Range
Charlie	`216.9.204.0/24`
Delta	`216.9.204.0/24`
Echo	`216.9.205.0/24`
Foxtrot	`216.9.206.0/24`
Golf	`216.9.207.0/24`
Hotel	`208.89.40.0/24`
India	`208.89.42.0/24`
Juliet	`208.89.41.0/24`
Kilo	`208.89.43.0/24`
Quebec	`208.89.44.0/24`

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
MS Office 365		Auth	Auth, CloudAudit, Email, Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

Office 365 を開始する🔗

注意

グローバルプラットフォームとして、Office 365 Management API GCC / GCC High インテグレーションのログは、XDR の他の部分と同じデータレジデンシーおよびデータ主権の取り扱いの対象となります。

Entra でアプリケーションを登録する🔗

注意

以下の手順では、テナント管理者としてログインしていることを前提としています。

Entra ID でアプリケーションを登録します。

Name — 任意の説明文字列
Supported account types — この組織ディレクトリ内のアカウントのみ

以下の値は XDR でインテグレーションを作成する際に使用するため、控えておいてください。

Directory (tenant) ID
Application (client) ID

Application Permissions を選択して、アプリケーション権限を設定します。

以下の権限が必要です。

ActivityFeed.Read
ActivityFeed.ReadDlp
ServiceHealth.Read

Grant admin consent for <Microsoft tenant name> をクリックします。

証明書をアップロードして、アプリケーションの資格情報を指定します。

重要

XDR は Privacy-Enhanced Mail (PEM) 形式のみをサポートします。PEM 形式の詳細は、RFC 7468 に記載されています。

暗号化されたキーおよびクライアントシークレットはサポートされていません。

注意

自己署名証明書はサポートされています。

注意

証明書には有効期限があり、有効期限前に継続して機能させるためには、Microsoft Entra ID と XDR の両方で更新する必要があります。

PowerShell または OpenSSL を使用して自己署名 PEM（拡張子 .pem）証明書を生成するには、次のいずれかのコマンドを使用します。

# Prompt user for input
$certname = Read-Host -Prompt "Enter certificate name"
$keyname = Read-Host -Prompt "Enter key name"
$mypwd = Read-Host -Prompt "Enter password" -AsSecureString
$location = Read-Host -Prompt "Enter location"
$cert = New-SelfSignedCertificate -Subject "CN=$certname" -CertStoreLocation "Cert:\CurrentUser\My" -KeyExportPolicy Exportable -KeySpec Signature -KeyLength 2048 -KeyAlgorithm RSA -HashAlgorithm SHA256
Export-PfxCertificate -Cert $cert -FilePath "$location\$certname.pfx" -Password $mypwd
Install-Module -Name PSPKI -Scope CurrentUser
Import-Module -Name PSPKI
Convert-PfxToPem -InputFile "$location\$certname.pfx" -Outputfile "$location\$certname.pem"
# Read the PEM file content
$pemContent = Get-Content "$location\$certname.pem" -Raw
# Extract private key and certificate
$privateKey = $pemContent -replace "(?ms).*?(-----BEGIN PRIVATE KEY-----.+?-----END PRIVATE KEY-----).*", '$1'
$certificate = $pemContent -replace "(?ms).*?(-----BEGIN CERTIFICATE-----.+?-----END CERTIFICATE-----).*", '$1'
# Save private key and certificate to separate files
$privateKey | Set-Content "$location\$keyname.pem"
$certificate | Set-Content "$location\$certname.pem"
Write-Host "Files located at: $location"
pause

注意

前述のコードをテキストファイルにコピーして貼り付け、ファイルを .ps1 拡張子（例: CertGen.ps1）で保存し、Powershell を使用してスクリプトを実行します。

注意

使用している PowerShell のバージョンによっては、-Subject でエラーが発生する場合、-Subject を -SubjectName に置き換える必要があることがあります。

または:

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

XDR でインテグレーションを追加する🔗

Taegis Menu から、Integrations → Cloud APIs を選択します。
ページ上部から Add an Integration を選択します。

インテグレーションの追加
最適化されたインテグレーションタブから、O365 / Azure を選択します。
お客様のサブスクリプションに一致する Office 365 カードの Set Up を選択します。
- Commercial を契約しているお客様の場合は、Office 365 Management を選択します
- GCC を契約しているお客様の場合は、Office 365 Government Community Cloud (GCC) を選択します
- GCC High を契約しているお客様の場合は、Office 365 Government Community Cloud (GCC High) を選択します
O365 Management API インテグレーションの追加
インテグレーションの名前を入力します。これは任意の文字列にできます。
Entra でアプリケーションを登録するの手順 1 で取得した Tenant ID と Application Client ID を入力します。
証明書と、それに関連付けられた秘密鍵をアップロードします。
Done を選択してインテグレーションを完了します。

SecureworksをMicrosoftパートナーとしてリンクする🔗

Secureworksをセキュリティのソリューションプロバイダーとしてリンクすることは任意のプロセスですが、これによりMicrosoftはSecureworksがどのお客様のセキュリティ目標達成やMicrosoftエコシステムの価値実現を支援しているかをより深く理解できるようになります。これにより、SecureworksはパートナーとしてMicrosoftへのアクセスが向上し、お客様により良い製品やサービスを提供できるようになります。お客様のAzure環境へのアクセスを追加し、Secureworksがセキュリティ強化を通じてお客様のビジネスを支援できるようにしていただいた場合、あわせてパートナーリンクとして弊社を追加していただけますと幸いです。

Secureworksをパートナーとしてリンクするには、以下の手順に従ってください。

AzureポータルでパートナーIDへのリンクにアクセスします。
対象となるロールまたは権限を持つユーザーを使用してください。詳細はクレジットを受け取るために必要なロールと権限をご参照ください。
MicrosoftパートナーID欄に、次の値を入力します：4834104
パートナーIDをリンク ボタンをクリックしてプロセスを完了します。