Azure AD传感器

在 Microsoft Entra管理中心 中注册应用程序（若尚未注册）。详情请参阅 向Microsoft身份平台注册应用程序 .

请记录 应用程序(客户端)ID 以及 目录（租户）ID .

根据传感器配置需求，为您的应用程序添加以下应用程序权限以访问Microsoft Graph。具体请参阅 Microsoft Graph应用程序权限 .

1. 若需直接在 GravityZone 中接收Microsoft Entra ID事件并针对事件执行响应操作，需具备以下权限：

   • AuditLog.Read.All

   • Directory.Read.all

   • Mail.ReadWrite ：用于删除电子邮件

   • User.ReadWrite.All , User.EnableDisableAccount.All ：允许安全分析师禁用涉及 XDR 事件的用户账户

   • User.ReadWrite.All , User.RevokeSessions.All ：允许安全分析师强制重置涉及 XDR 事件的用户账户密码

   • IdentityRiskyUser.Read.All ：用于在 XDR 事件图谱详情面板中显示Microsoft Entra ID高风险用户信息

   • IdentityRiskyUser.ReadWrite.All ：用于将用户账户标记为已泄露

2. 若仅需接收来自Microsoft Entra ID的事件，以下权限已足够：

   • AuditLog.Read.All

   • Directory.ReadAll

   • IdentityRiskyUser.Read.All

若需直接从 GravityZone XDR 事件中强制重置Microsoft 365账户密码，必须为先前创建的应用程序分配 用户管理员 角色。请按以下步骤操作：

为了能对管理员用户执行响应操作，请将 全局管理员 角色分配给该应用程序。为此，请从第三步开始重复 全局管理员 角色的分配流程。

为应用程序生成客户端密钥（若尚未拥有）。详情请参阅 添加客户端密钥 章节（位于 添加凭据 文章中）。

请记录所添加客户端密钥的 值 。

在 Azure门户 中创建资源组（若尚未创建）。详情请参阅 创建资源组 .

在资源组中创建事件中心命名空间。具体操作参见 创建事件中心命名空间 .

在命名空间内创建事件中心。更多信息请访问 创建事件中心 .

为事件中心创建SAS策略并获取连接字符串。参考 命名空间中特定事件中心的连接字符串 .

在 Microsoft Entra管理中心 中，按照 将日志流式传输到事件中心 主题的前七个步骤，启用日志路由至先前创建的事件中心。

在第五步，选择以下日志类别：