Installer et configurer Microsoft Defender pour EDR Integration

Installez et configurez l’intégration de Microsoft Defender pour EDR à partir du ServiceNow Store.

Avant de commencer

Rôle requis : sn_sec_tisc.admin

• Centre de sécurité des renseignements sur les menaces L’application doit être installée et activée à partir de ServiceNow Store.
• Obtenez l’ID de locataire de l’API, l’ID client et le secret client à partir de la console Microsoft Defender for EDR.

Procédure

1. Téléchargez l’intégration de Microsoft Defender for EDR à partir du ServiceNow Store et installez-la.
2. À l’aide de votre instance, accédez à Centre de sécurité des renseignements sur les menaces.
3. Télécharger l’intégration à partir de ServiceNow Store.
4. Sélectionner Intégrations > Outils de Security > EDR.
5. Cliquez sur Configurer une nouvelle intégration d’outil source.
6. Sélectionnez l’option Microsoft Defender pour EDR .
7. Cliquez sur Sélectionner.
8. Renseignez les champs suivants du formulaire.

   Tableau 1. Configurer l’intégration de Microsoft Defender pour EDR

   Champ	Description
   Nom	Nom de la nouvelle configuration d’intégration de l’outil de sécurité. Par exemple, l’intégration de Microsoft Defender pour EDR.
   Catégorie d'intégration	Option qui affiche la catégorie d’intégration.
   Nom du fournisseur	Nom du fournisseur. Les détails du fournisseur sélectionné sont renseignés par défaut.
   Type d'intégration	Option qui affiche le type d’intégration.
   Description	Saisissez la description de la nouvelle configuration d’intégration de l’outil de Security.
   Configuration de l'intégration
   URL de base	L’URL de base est l’URL de base de l’API Microsoft Defender for EDR. La valeur par défaut est https://api.securitycenter.microsoft.com/.
   ID de locataire	L’ID de locataire que vous avez obtenu à partir de Microsoft Defender.
   ID client	L’ID client que vous avez obtenu à partir de Microsoft Defender.
   Secret client	Clé secrète du client que vous avez obtenue à partir de Microsoft Defender.
   Titre prérempli (utilisé lors de la soumission)	Le titre prérempli définit le titre par défaut utilisé lors de la soumission d’observables à Microsoft Defender. Ces détails sont affichés par défaut, vous n’avez donc pas besoin de les saisir à nouveau chaque fois que vous les soumettez à EDR.
   Description préremplie (utilisée lors de la soumission)	La description préremplie définit le titre par défaut utilisé lors de la soumission d’observables à Microsoft Defender. Ces détails sont affichés par défaut, vous n’avez donc pas besoin de les saisir à nouveau chaque fois que vous les soumettez à EDR.
   Période d’expiration en jours pour tout type d’observables	La période d’expiration en jours qui est appliquée aux observables lorsqu’ils sont envoyés à Microsoft Defender EDR. Remarque : Cette option est une période d’expiration de secours lorsque le délai d’expiration n’est défini pour aucun type d’observable spécifique.
   Période d’expiration en jours pour le type d’adresse IP des observables	La période d’expiration en jours qui est appliquée au type d’adresse IP de l’observable lorsqu’ils sont envoyés à Microsoft Defender EDR.
   Période d’expiration en jours pour le type de domaine des observables	Période d’expiration, en jours, qui est appliquée au type de domaine des observables lorsqu’ils sont envoyés à Microsoft Defender EDR.
   Période d’expiration en jours pour le type de hachage des observables	Période d’expiration, en jours, qui est appliquée au type Hachage de l’observable lorsqu’ils sont envoyés à Microsoft Defender EDR.

9. Cliquez sur Enregistrer après avoir ajouté les informations de configuration nécessaires.
10. Cliquez sur Activer pour activer la configuration, après avoir enregistré la nouvelle intégration Microsoft Defender EDR.
    Un message de confirmation s’affiche pour indiquer que l’intégration de l’enrichissement a été activée.

Résultats

Une fois l’intégration configurée, vous pouvez sélectionner n’importe quel type d’observable qui prend en charge Microsoft Defender EDR à partir de la bibliothèque Renseignements sur les menaces. Vous pouvez ensuite envoyer des observables à EDR. Pour plus d'informations, consultez Envoyer des observables à EDR.