Office 365 мэдрэгч (sensor) ба түүнийг GravityZone-той холбох

Microsoft Office 365 платформ нь Mail болон Audit мэдрэгчийг (sensor) агуулдаг. Эдгээр нь и-мэйлийн урсгал, агуулгын мэдээлэл болон Microsoft 365-ийн нэгдсэн аудитын логоос авсан хэрэглэгч, админы үйлдлийн өгөгдлөөр XDR-ийн илрүүлэлтийг баяжуулдаг.

• Mail мэдрэгч нь Exchange Online болон SharePoint Online дээрх и-мэйл нээсэн, хариу бичсэн, дамжуулсан, мөн хэрэглэгч юу хайсан зэрэг үйл явдлыг авна.
• Audit мэдрэгч нь Microsoft 365-ийн үйлчилгээ, шийдлүүд дэх хэрэглэгч болон админы үйлдлийг авна. Эдгээр үйлдэл таны байгууллагын нэгдсэн аудитын логт бүртгэгдэж, хадгалагддаг.

Урьдчилсан нөхцөл

Office 365 мэдрэгчийн платформыг GravityZone-той холбохын өмнө Mail болон Audit мэдрэгчийг тохируулах шаардлагатай.

Эхлээд Microsoft Entra апп бүртгэнэ. Энэ аппыг Mail болон Audit мэдрэгчийн аль алинд нь ашиглаж болно. Апп-г нэг tenant-ын (single-tenant) тохиргоотой үүсгэхэд хангалттай. Дараа нь аппын бүртгэлийн Overview хуудас харагдана.

Mail мэдрэгчийн тохиргоо

1. 1Microsoft Entra апп-д шаардлагатай зөвшөөрлүүдийг тохируулна:

1. API permissions > Add a permission дээр дарна.

2. Microsoft APIs > Microsoft Graph дээр дарна.

3. Application permissions-г сонгоно.

4. Select permissions хэсгээс мэдрэгчийг хэрхэн тохируулахаас хамааран апп-д олгох зөвшөөрлүүдийг сонгоно:

1. Хэрэв та үйл явдал хүлээн авахаас гадна O365-ийн аюулын тохиолдлуудад GravityZone-оос шууд хариу арга хэмжээ авахыг хүсвэл дараах зөвшөөрлүүд шаардлагатай:

- Files.ReadWrite.All: Шинжээчид мэдрэгчийн үүсгэсэн сэрэмжлүүлгээс хортой эсвэл хүсээгүй файлыг шууд устгах боломжтой болно.

- Mail.ReadWrite: Аюулын тохиолдолд (XDR incident) оролцсон и-мэйл нөөцөд аюулгүй байдлын шинжээч хариу арга хэмжээ авах боломжтой болно.

- User.ReadWrite.All, User.EnableDisableAccount.All: XDR-ийн аюулын тохиолдолд оролцсон хэрэглэгчийн акаунтыг шинжээч идэвхгүй болгох боломжтой болно.

- User.ReadWrite.All, User.RevokeSessions.All, User-PasswordProfile.ReadWrite.All: XDR-ийн аюулын тохиолдолд оролцсон хэрэглэгчийн акаунтын нууц үгийг шинжээч албадан шинэчлүүлэх боломжтой болно.

- IdentityRiskyUser.ReadWrite.All: хэрэглэгчийн акаунтыг эвдэрсэн (compromised) гэж тэмдэглэхэд.

> Анхаар: IdentityRiskyUser.ReadWrite.All нь Microsoft Entra апп-ыг эзэмшдэг ядаж нэг хэрэглэгч Microsoft Entra ID P2 лицензтэй үед л боломжтой болдог. Бусад зөвшөөрөл Microsoft Entra ID P1 лиценз шаарддаг.
>
> Office 365 мэдрэгчийг Microsoft Entra ID Free-тэй ч ашиглаж болно. Гэхдээ тэр үед илрүүлэлт нь Entra ID Free лицензэд багтсан директорийн аудитын логт байгаа мэдээллээр хязгаарлагдана.

2. Хэрэв та зөвхөн үйл явдал хүлээн авах бөгөөд O365-ийн аюулын тохиолдлуудад GravityZone-оос шууд хариу арга хэмжээ авахгүй бол Mail.Read болон User.Read.All зөвшөөрөл хангалттай.

5. Add permissions дээр дарна.

> Тэмдэглэл: Microsoft Graph-д хандах зөвшөөрөл нэмэх талаар дэлгэрэнгүйг Add permissions to access Microsoft Graph хуудаснаас үзнэ үү.

2. 2Admin consent олгоно.

3. 3GravityZone XDR-ийн аюулын тохиолдлоос O365 акаунтын нууц үгийг шууд албадан шинэчлүүлэхийн тулд Microsoft Entra апп-д User administrator дүрийг оноох ёстой.

Microsoft Entra admin center дээр Roles & admins > User Administrator дүр > Add assignments руу орж, GravityZone O365 Mail мэдрэгчийн холболтод ашиглаж буй аппын нэрийг хайж олоод онооно.

4. 4Client secret value үүсгэнэ.

Audit мэдрэгчийн тохиргоо

1. 1Microsoft Entra апп-д шаардлагатай зөвшөөрлүүдийг тохируулна:

1. API permissions > Add a permission дээр дарна.

2. Microsoft APIs > Microsoft Graph дээр дарна.

3. Application permissions-г сонгоно.

4. Select permissions хэсгээс мэдрэгчийг хэрхэн тохируулахаас хамааран апп-д олгох зөвшөөрлүүдийг сонгоно:

1. Хэрэв та үйл явдал хүлээн авахаас гадна O365-ийн аюулын тохиолдлуудад GravityZone-оос шууд хариу арга хэмжээ авахыг хүсвэл дараах зөвшөөрлүүдийг нэмнэ: User.ReadWrite.All, Files.ReadWrite.All, Sites.Read.All, User.EnableDisableAccount.All, User.RevokeSessions.All, User-PasswordProfile.ReadWrite.All, IdentityRiskyUser.ReadWrite.All.

> Анхаар: IdentityRiskyUser.ReadWrite.All нь Microsoft Entra апп-ыг эзэмшдэг ядаж нэг хэрэглэгч Microsoft Entra ID P2 лицензтэй үед л боломжтой болдог. Бусад зөвшөөрөл Microsoft Entra ID P1 лиценз шаарддаг.
>
> Office 365 мэдрэгчийг Microsoft Entra ID Free-тэй ч ашиглаж болно. Гэхдээ тэр үед илрүүлэлт нь Entra ID Free лицензэд багтсан директорийн аудитын логт байгаа мэдээллээр хязгаарлагдана.

2. Хэрэв та зөвхөн үйл явдал хүлээн авах бөгөөд O365-ийн аюулын тохиолдлуудад GravityZone-оос шууд хариу арга хэмжээ авахгүй бол зөвхөн Sites.Read.All зөвшөөрлийг нэмнэ.

5. Add permissions дээр дарна.

6. API permissions > Add a permission дээр дахин дарна.

7. Microsoft APIs > Office 365 Management APIs дээр дарна.

8. Application permissions-г сонгоно.

9. Select permissions хэсгээс апп-д олгох зөвшөөрлүүдийг сонгоно: ActivityFeed.Read болон ActivityFeed.ReadDlp.

10. Add permissions дээр дарна.

2. 2Admin consent олгоно.

3. 3Client secret value үүсгэнэ.

4. 4GravityZone XDR-ийн аюулын тохиолдлоос O365 акаунтын нууц үгийг шууд албадан шинэчлүүлэхийн тулд Microsoft Entra апп-д User administrator дүрийг оноох ёстой.

Microsoft Entra admin center дээр Roles & admins > User administrator дүр > Add assignments руу орж, GravityZone O365 Audit мэдрэгчийн холболтод ашиглаж буй аппын нэрийг хайж олоод онооно.

5. 5Microsoft Purview portal дээр аудитыг идэвхжүүлнэ.

> Анхаар: Аудитыг асаах, унтраахын тулд танд Exchange Online дахь Audit Logs дүр оноогдсон байх ёстой. Before you turn auditing on or off хэсгийг үзнэ үү.
>
> Ихэнх Microsoft 365 tenant-д аудит анхнаасаа идэвхтэй байдаг. Гэхдээ зарим Business Basic, Business Standard, Business Premium болон туршилтын tenant-д идэвхгүй байж болно.
>
> Аудитыг идэвхжүүлсний дараа өөрчлөлт хүчин төгөлдөр болоход 60 минут хүртэл хугацаа шаардагдана. Аудитын бичлэг хайлтын үр дүнд харагдахад хэдэн цаг зарцуулж болно.

Office 365 мэдрэгчийг тохируулах

Mail болон Audit мэдрэгчийг тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Configuration > Sensors Management хуудсанд Add new дээр дарж шинэ мэдрэгчийн платформыг холбоно.

2. 2Office 365 мэдрэгчийн платформыг сонгоод Integrate дээр дарна.

3. 3Check requirements хуудсанд урьдчилсан нөхцөлүүдийг биелүүлснээ баталгаажуулна.

4. 4Мэдрэгчийн холболтдоо нэр өгнө.

5. 5Office 365-ийн нэвтрэх мэдээллээ бөглөнө: Application ID, Tenant ID болон Client Secret value.

6. 6Office 365 платформ ба GravityZone-ийн хоорондын холболт зөв ажиллаж байгааг шалгахын тулд Test connectivity дээр дарна.

7. 7Мэдрэгчийн холболтын тохиргоог хадгалахын тулд APPLY дээр дарна.

Шинэ холболт Sensors Management жагсаалтад Active төлөвтэй харагдана.

Audit мэдрэгчийн алдааг засах

Audit мэдрэгчийн холболт амжилтгүй болсон бол доорх PowerShell скриптийг ашиглан дараах захиалгуудыг (subscription) идэвхжүүлж болно:

• Audit.Exchange
• Audit.General
• Audit.SharePoint
• DLP.All

Эхний мөрүүд дэх утгуудыг өөрийн мэдээллээр солиод скриптийг ажиллуулна:

# Replace the three values below with your own details.
$TenantID      = "tenant_id"       # Directory (tenant) ID, e.g. ac593d47-7293-47ed-a8fc-c5824d38673a
$ApplicationID = "application_id"  # Application (client) ID, e.g. f5b17a13-6e4e-4c3e-81f4-51fb9a377182
$ClientSecret  = "client_secret"   # Client secret VALUE (not the secret ID)

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

$body = @{
    grant_type    = "client_credentials"
    resource      = "https://manage.office.com"
    client_id     = $ApplicationID
    client_secret = $ClientSecret
}

try {
    $oauth = Invoke-RestMethod -Method Post -Uri "https://login.microsoftonline.com/$TenantID/oauth2/token" -Body $body
} catch {
    Write-Host "Could not get an access token. Check the tenant ID, application ID, and client secret." -ForegroundColor Red
    Write-Host $_.ErrorDetails.Message
    return
}

$headers = @{ Authorization = "Bearer $($oauth.access_token)" }

foreach ($contentType in "Audit.Exchange", "Audit.SharePoint", "Audit.General", "DLP.All") {
    try {
        Invoke-RestMethod -Method Post -Headers $headers -Uri "https://manage.office.com/api/v1.0/$TenantID/activity/feed/subscriptions/start?contentType=$contentType" | Out-Null
        Write-Host "$contentType : enabled" -ForegroundColor Green
    } catch {
        if ($_.ErrorDetails.Message -match "already enabled") {
            Write-Host "$contentType : already enabled" -ForegroundColor Yellow
        } else {
            Write-Host "$contentType : failed - $($_.ErrorDetails.Message)" -ForegroundColor Red
        }
    }
}