Migreren van Defender for Cloud Apps SIEM-agent naar ondersteunde API's

Als u overstapt van de verouderde Defender for Cloud Apps SIEM-agent naar ondersteunde API's, kunt u doorlopend toegang krijgen tot verrijkte activiteiten en waarschuwingen. Hoewel de API's mogelijk niet één op één overeenkomen met het verouderde CEF-schema (Common Event Format), bieden ze uitgebreide, verrijkte gegevens dankzij integratie in meerdere Microsoft Defender-workloads.

Voor continuïteit en toegang tot gegevens die momenteel beschikbaar zijn via Microsoft Defender for Cloud Apps SIEM-agents, raden we u aan over te stappen op de volgende ondersteunde API's:

Veldtoewijzing van verouderde SIEM naar ondersteunde API's

In de onderstaande tabel worden de CEF-velden van de verouderde SIEM-agent vergeleken met de dichtstbijzijnde equivalente velden in de Defender XDR Streaming API (advanced hunting event schema) en de Microsoft Graph Security Alerts API.

CEF-veld (MDA SIEM) Beschrijving Defender XDR Streaming-API (CloudAppEvents/AlertEvidence/AlertInfo) Graph Security Alerts-API (v2)
start Tijdstempel van activiteit of waarschuwing Timestamp firstActivityDateTime
end Tijdstempel van activiteit of waarschuwing Geen lastActivityDateTime
rt Tijdstempel van activiteit of waarschuwing createdDateTime createdDateTime / lastUpdateDateTime / resolvedDateTime
msg Beschrijving van waarschuwing of activiteit zoals weergegeven in de portal in een door mensen leesbare indeling De dichtstbijzijnde gestructureerde velden die bijdragen aan een vergelijkbare beschrijving: actorDisplayName, ObjectName, ActionType, , ActivityType description
suser Gebruiker van activiteit of waarschuwingsonderwerp AccountObjectId, , AccountIdAccountDisplayName Resourcetype weergeven userEvidence
destinationServiceName Activiteit of waarschuwing van de oorspronkelijke app (bijvoorbeeld SharePoint, Box) CloudAppEvents > Application Resourcetype weergeven cloudApplicationEvidence
cs<X>Label, cs<X> Dynamische velden van waarschuwingen of activiteiten (bijvoorbeeld doelgebruiker, object) Entities,Evidence,additionalData,ActivityObjects Verschillende alertEvidence resourcetypen
EVENT_CATEGORY_* Activiteitscategorie op hoog niveau ActivityType / ActionType category
<name> Overeenkomende beleidsnaam Title, alertPolicyId Title, alertPolicyId
<ACTION> (Activiteiten) Type specifieke activiteit ActionType N.v.t.
externalId (Activiteiten) Gebeurtenis-id ReportId N.v.t.
requestClientApplication (activiteiten) Gebruikersagent van het clientapparaat in activiteiten UserAgent N.v.t.
Dvc (activiteiten) IP-adres van clientapparaat IPAddress N.v.t.
externalId (Waarschuwing) Waarschuwings-id AlertId id
<alert type> Waarschuwingstype (bijvoorbeeld ALERT_CABINET_EVENT_MATCH_AUDI) - -
Src / c6a1 (waarschuwingen) Bron-IP-adres IPAddress ipEvidence resourcetype