Azure AD传感器

在 Microsoft Entra管理中心 中注册应用程序（若无现有应用）。详情参阅 向Microsoft身份平台注册应用程序 .

请记录 应用程序(客户端)ID 及 目录(租户)ID .

根据传感器配置需求，为应用程序添加以下访问Microsoft Graph的应用程序权限。参见 Microsoft Graph应用程序权限 .

1. 要在 GravityZone 中直接接收来自Microsoft Entra ID的事件并对事件采取响应操作，需要以下权限：

   • AuditLog.Read.All

   • Directory.Read.all

   • Mail.ReadWrite ：用于删除电子邮件

   • User.ReadWrite.All , User.EnableDisableAccount.All ：允许安全分析师禁用涉及 XDR 事件的用户账户。

   • User.ReadWrite.All , User.RevokeSessions.All ：允许安全分析师强制重置涉及 XDR 事件的用户账户密码。

   • IdentityRiskyUser.Read.All ：用于在 XDR 事件图谱详情面板中显示Microsoft Entra ID高风险用户信息

   • IdentityRiskyUser.ReadWrite.All ：用于将用户账户标记为已泄露

2. 若仅需接收Microsoft Entra ID的事件，以下权限即可满足需求：

   • AuditLog.Read.All

   • Directory.ReadAll

   • IdentityRiskyUser.Read.All

若要从 GravityZone XDR 事件直接强制重置Microsoft 365账户密码，必须将 用户管理员 角色分配给之前创建的应用程序。请按以下步骤操作：

为了能对管理员用户执行响应操作，请将 全局管理员 角色分配给该应用程序。为此，请从第三步开始重复 全局管理员 角色的分配流程。

为应用程序生成客户端密钥（若尚未创建）。详情请参阅 添加客户端密钥 流程（位于 添加凭据 文档中）。

请记录所添加客户端密钥的 值 。

在 Azure门户 中创建资源组（若尚未创建）。更多信息请参考 创建资源组 .

在资源组中创建事件中心命名空间。详情请参阅 创建事件中心命名空间 .

在命名空间内创建事件中心。更多信息请访问 创建事件中心 .

为事件中心创建SAS策略并获取连接字符串。参考 命名空间中特定事件中心的连接字符串 .

在 Microsoft Entra 管理中心 中，按照 将日志流式传输到事件中心 主题的前七个步骤操作，以启用日志路由至先前创建的事件中心。

在第五步中，选择以下日志类别：