Microsoft Defender for Endpoint — User Guide

Overview

Pack cung cấp giám sát endpoint từ Microsoft Defender for Endpoint trên SecOps platform, bao gồm:

• Pull connector — tự động lấy incident và alert từ Microsoft Graph security API (GET /security/incidents), kèm evidence của alert (device, user, process, file, IP, URL, registry). Không cần cài agent shipper
• Transformation — chuẩn hóa hai loại bản ghi (alert, incident) sang ECS trong một transformation duy nhất. Transformation được đóng gói kèm trong connector (connectors/defender-incident/parser.yaml) nên tự động được gán làm transformation mặc định khi tạo source
• 5 streaming rules — phát hiện alert thuộc nhóm Malware, Ransomware, Credential Access, Defense Evasion và Command and Control
• 2 correlation rules — phát hiện nhiều alert trên cùng một thiết bị và cùng một threat lan trên nhiều thiết bị
• 1 dashboard — 12 chart giám sát SOC endpoint security
• 1 report template — 14 chart báo cáo định kỳ, có mapping PCI DSS và ISO 27001

Connector chỉ đọc dữ liệu (quyền SecurityIncident.Read.All), không thay đổi trạng thái incident hay alert trên Defender.

Yêu cầu trước khi cài đặt

Tạo app registration

1. Đăng nhập Microsoft Entra admin center → App registrations → New registration → đặt tên (ví dụ secops-defender-collector) → Register
2. Từ trang Overview, ghi lại Application (client) ID và Directory (tenant) ID
3. API permissions → Add a permission → Microsoft Graph → Application permissions → tìm SecurityIncident → chọn SecurityIncident.Read.All → Add permissions
4. Bấm Grant admin consent for và xác nhận cột Status hiển thị Granted
5. Certificates & secrets → New client secret → chọn thời hạn → Add
6. Sao chép cột Value của secret ngay lập tức (chỉ hiển thị một lần duy nhất)

Lưu ý: Phải chọn loại Application permissions. Quyền Delegated chỉ hoạt động khi có người dùng đăng nhập nên không dùng được cho connector chạy nền.

Lưu ý: Dùng cột Value của client secret, không dùng cột Secret ID. Dùng nhầm Secret ID sẽ gặp lỗi AADSTS7000215: Invalid client secret provided.

Xác thực

Connector lấy token bằng OAuth2 client credentials:

POST https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token
grant_type=client_credentials
scope=https://graph.microsoft.com/.default

Kiểm tra nhanh quyền của token: giải mã access token tại jwt.ms và xác nhận claim roles có SecurityIncident.Read.All.

Cài đặt

1. Vào Marketplace → tìm "Microsoft Defender for Endpoint" → Install
2. Vào Data Collection → Data Connectors → Add Connection → chọn connector type defender-incident
3. Điền cấu hình (bảng bên dưới) → Test Connection → Save
4. Kiểm tra Transformations → defender-endpoint-parser đang active (transformation đi kèm connector nên source mới sẽ tự dùng transformation này)
5. Kiểm tra Detection Rules → filter tag Microsoft → 7 rules đang enabled
6. Mở Dashboards → Microsoft Defender Endpoint Overview
7. Mở Reports → Report Library → Microsoft Defender Endpoint Security Report để tạo báo cáo định kỳ

Cấu hình Connector

Lưu ý khi cấu hình qua API: payload phải đúng kiểu JSON. collect_incidents, collect_alerts và service_sources là chuỗi; page_size, lookback_hours và time_interval là số (50, không phải "50"). Sai kiểu sẽ nhận lỗi failed to validate log source structure: invalid type for field: ...

Cơ chế hoạt động:

• Mỗi lần poll gọi GET /security/incidents?$expand=alerts với bộ lọc lastUpdateDateTime ge <watermark> và đi theo @odata.nextLink đến hết
• Watermark là lastUpdateDateTime mới nhất đã đọc, lưu dạng chuỗi. Watermark chỉ được cập nhật sau khi đọc hết mọi trang, nên một trang bị lỗi sẽ được đọc lại ở lần poll kế tiếp
• Mỗi incident tạo một event cho mỗi lần cập nhật (idem_key gồm lastUpdateDateTime), giúp theo dõi lịch sử đổi trạng thái
• Mỗi alert chỉ tạo một event (idem_key theo alertId), nên nhiều lần cập nhật incident không sinh alert trùng
• Evidence của alert được làm phẳng ở connector (lấy device, user, process, file, IP, URL, registry đầu tiên của mỗi loại)

Định dạng log

Connector đẩy hai loại bản ghi, phân biệt bằng field _log_type.

Ví dụ log hợp lệ

Alert — Credential Access (rút gọn):

{"_log_type":"alert","alert":{"id":"da0000000003_1","severity":"high","status":"new","serviceSource":"microsoftDefenderForEndpoint","title":"Suspicious access to LSASS service","category":"CredentialAccess","mitreTechniques":"T1003.001","createdDateTime":"2026-10-10T08:15:29.8566667Z"},"incident":{"id":"1042","status":"active","severity":"high","priorityScore":"62"},"device":{"id":"335b3ef544f5d3690b6c75c776dc3e52bb3485c4","name":"wks-fin-014","dns_name":"wks-fin-014.corp.example.local","os_platform":"Windows11","os_version":"25H2","ip":"10.10.4.21","external_ip":"203.0.113.45"},"user":{"name":"an.nv","domain":"CORP","upn":"an.nv@example.com"},"process":{"pid":"9112","command_line":"rundll32.exe comsvcs.dll MiniDump 612 out.dmp full","image_name":"rundll32.exe","image_path":"C:\\Windows\\System32"},"ip":{},"file":{},"url":{},"registry":{}}

Alert — Command and Control (rút gọn):

{"_log_type":"alert","alert":{"id":"da0000000006_1","severity":"medium","status":"new","title":"Communication with a malicious network destination","category":"CommandAndControl","createdDateTime":"2026-10-10T08:20:11Z"},"device":{"name":"wks-fin-014","os_platform":"Windows11"},"ip":{"address":"198.51.100.77","country":"US"},"url":{"url":"http://files.example-share.net/payload.bin"},"related_ips":"198.51.100.77"}

Incident (rút gọn):

{"_log_type":"incident","incident":{"id":"1042","displayName":"Multi-stage incident involving Execution and Credential Access on one endpoint","status":"active","severity":"high","classification":"unknown","determination":"unknown","priorityScore":"62","lastUpdateDateTime":"2026-10-10T08:21:44.1Z","alertCount":"2"}}

Timestamp hỗ trợ độ chính xác tới 7 chữ số thập phân (...29.8566667Z) và giây (...29Z). Timestamp của alert là createdDateTime, của incident là lastUpdateDateTime.

Transformation — Các trường ECS chính

Lưu ý khi dùng dữ liệu:

• event.id của alert là alertId, nên đếm số alert dùng COUNT trên dataset defender.alert. Dataset defender.incident có thể có nhiều event cho cùng một incident, nên đếm số incident phải dùng COUNT_DISTINCT theo event.id
• threat.category giữ nguyên giá trị của Defender. Các rule khớp cả dạng viết liền (CredentialAccess) và dạng có khoảng trắng (Credential Access)

Detection Rules

Streaming Rules (5 rules — real-time)

Correlation Rules (2 rules — pattern)

Dashboard — Microsoft Defender Endpoint Overview

SOC Triage nhanh

1. Xem High Severity Alerts và Alerts Trend. Số alert high tăng đột biến cho thấy có chiến dịch đang diễn ra
2. Dùng Alert Category Distribution để biết kẻ tấn công đang ở giai đoạn nào. Credential Access hoặc Ransomware cần xử lý ngay
3. Mở Top Devices By Alerts để chọn thiết bị cần cô lập trước
4. Với mỗi alert ở Recent High Severity Alerts, mở labels.alert_url để xem câu chuyện đầy đủ trên Defender, kiểm tra process.command_line và file.hash.sha256
5. Dùng Top Users By Alerts để xác định tài khoản cần reset mật khẩu hoặc thu hồi phiên

Report — Microsoft Defender Endpoint Security Report

Template báo cáo định kỳ (tuần, tháng) cho review bảo vệ endpoint. Khoảng thời gian do người tạo báo cáo chọn. Mỗi chart có mapping control PCI DSS và ISO 27001 để dùng làm bằng chứng tuân thủ.

Lưu ý: alert chỉ được thu thập một lần nên threat.status của alert là trạng thái tại thời điểm Defender báo lần đầu. Trạng thái hiện tại của incident được theo dõi qua các event defender.incident, mỗi lần incident đổi trạng thái có một event mới, nên Open Incident Details có thể hiển thị cả trạng thái cũ của incident đã được đóng sau đó.

Troubleshooting

Checklist sau khi cài đặt:

• App registration có quyền Application SecurityIncident.Read.All đã được admin consent
• Test Connection thành công
• Sau chu kỳ poll đầu tiên, dataset defender.alert có dữ liệu
• 7 detection rules ở trạng thái enabled
• Dashboard hiển thị dữ liệu trong 24 giờ gần nhất
• Report template xuất hiện trong Report Library

Changelog

1.0.1

• Sửa connector để vượt qua kiểm tra submission của platform (không dùng re.compile)

1.0.0

• Phát hành đầu tiên
• Pull connector defender-incident cho Microsoft Graph security incidents API, hỗ trợ lọc theo service source và evidence làm phẳng
• Transformation chuẩn hóa alert và incident sang ECS
• 5 streaming rules và 2 correlation rules
• 1 dashboard 12 chart
• 1 report template 14 chart có mapping PCI DSS và ISO 27001

Hỗ trợ

• Lỗi platform/Góp ý pack: Dùng tính năng feedback trên trang Marketplace

Last updated: 2026-10-16 · Vendor: Microsoft · Author: secops-team