Co zbiera
Przez Microsoft Graph konektor zbiera logowania Entra ID, w tym logowania do Microsoft 365, oraz zdarzenia audytu katalogu (zmiany użytkowników, grup, ról i aplikacji). Zdarzenia są oznaczane jako observer.product: entra, a event.dataset ma wartość entra.signin lub entra.audit. Użytkownik wykonujący działanie trafia do user.name, a wyniki oceny ryzyka i dostępu warunkowego do osobnych pól.
Wymagania
- Rejestracja aplikacji w Twoim tenancie Microsoft z uprawnieniami aplikacji do odczytu logów audytu i logowań. Wymagana jest zgoda administratora.
- Sekret klienta dla aplikacji.
- Wychodzące połączenie HTTPS z wdrożenia do Microsoft Graph.
Konfiguracja
Settings › Integrations › Add integration › Microsoft 365 / Entra ID. Wpisz identyfikator tenanta, identyfikator klienta i sekret klienta, wybierz organizację i zapisz. Microsoft udostępnia logi logowań z kilkuminutowym opóźnieniem.
Reagowanie
Z odpowiednimi uprawnieniami playbooki mogą wyłączyć użytkownika w Entra ID, unieważnić jego sesje oraz poddać kwarantannie lub usunąć wiadomość w Microsoft 365 (przeniesienie do wiadomości-śmieci lub usunięcie nietrwałe). Nadawaj te uprawnienia tylko wtedy, gdy zamierzasz z nich korzystać.