Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
La transition de l’agent SIEM Defender for Cloud Apps hérité vers les API prises en charge permet un accès continu aux activités enrichies et aux données d’alertes. Bien que les API ne présentent pas de correspondances exactes terme à terme avec le schéma CEF (Common Event Format) hérité, elles fournissent des données complètes et enrichies grâce à l’intégration de plusieurs solutions Microsoft Defender.
API recommandées pour la migration
Pour garantir la continuité et l’accès aux données actuellement disponibles via Microsoft Defender for Cloud Apps agents SIEM, nous vous recommandons de passer aux API prises en charge suivantes :
- Pour les alertes et les activités, consultez : API de streaming Microsoft Defender XDR.
- Pour les événements d’ouverture de session de Protection Microsoft Entra ID, consultez la table IdentityLogonEvents dans le schéma de chasse avancée.
- Pour l’API Microsoft Graph Security Alerts, consultez : Répertorier alerts_v2
- Pour afficher les données d’alerte de Microsoft Defender for Cloud Apps dans l’API des incidents Microsoft Defender XDR, consultez les API des incidents Microsoft Defender XDR et le type de ressource Incident
Mappage des champs d'un SIEM hérité vers les API prises en charge
Le tableau ci-dessous compare les champs CEF de l’agent SIEM hérité aux champs équivalents les plus proches dans l’API Defender XDR Streaming (schéma d’événement de repérage avancé) et l’API Alertes de sécurité Microsoft Graph.
| Champ CEF (MDA SIEM) | Description | API de streaming Defender XDR (CloudAppEvents/AlertEvidence/AlertInfo) | API Alertes de sécurité Graph (v2) |
|---|---|---|---|
start |
Horodatage de l’activité ou de l’alerte | Timestamp |
firstActivityDateTime |
end |
Horodatage de l’activité ou de l’alerte | Aucun | lastActivityDateTime |
rt |
Horodatage de l’activité ou de l’alerte | createdDateTime |
createdDateTime / lastUpdateDateTime / resolvedDateTime |
msg |
Description de l’alerte ou de l’activité, comme indiqué dans le portail dans un format lisible par l’utilisateur | Champs structurés les plus proches qui contribuent à une description similaire : actorDisplayName, ObjectName, ActionType, ActivityType |
description |
suser |
Utilisateur concerné par l’activité ou l’alerte |
AccountObjectId, , AccountIdAccountDisplayName |
Voir le userEvidence type de ressource |
destinationServiceName |
Activité ou alerte de l’application d’origine (par exemple, SharePoint, Box) | CloudAppEvents > Application |
Voir le cloudApplicationEvidence type de ressource |
cs<X>Label, cs<X> |
Champs dynamiques d’alerte ou d’activité (par exemple, utilisateur cible, objet) |
Entities, , EvidenceadditionalData, ,ActivityObjects |
Différents alertEvidence types de ressources |
EVENT_CATEGORY_* |
Catégorie d’activité de haut niveau | ActivityType / ActionType |
category |
<name> |
Nom de stratégie correspondant |
Title, alertPolicyId |
Title, alertPolicyId |
<ACTION> (Activités) |
Type d’activité spécifique | ActionType |
S/O |
externalId (Activités) |
ID d’événement | ReportId |
S/O |
requestClientApplication (activités) |
Agent utilisateur de l'appareil client dans les activités | UserAgent |
S/O |
Dvc (activités) |
Adresse IP de l’appareil client | IPAddress |
S/O |
externalId (Alerte) |
ID d’alerte | AlertId |
id |
<alert type> |
Type d’alerte (par exemple, ALERT_CABINET_EVENT_MATCH_AUDI) | - | - |
Src
/
c6a1 (alertes) |
IP Source | IPAddress |
ipEvidence type de ressource |