Masz Microsoft 365, ale nie widzisz jego zdarzeń w centralnym monitoringu? Wazuh 4.x może pobierać aktywność z Microsoft 365 i analizować ją razem z innymi źródłami. Kluczowe jest jednak przygotowanie dostępu do danych audytowych i sprawdzenie, jakie zdarzenia rzeczywiście docierają.
Najpierw określ cel
Nie zaczynaj od próby zbierania wszystkiego. W małej organizacji użyteczne pytania to na przykład: czy pojawiły się nietypowe logowania, zmiany uprawnień albo działania na istotnych zasobach? Dla każdej klasy zdarzeń określ osobę odpowiedzialną i oczekiwany sposób weryfikacji. Sama obecność alertu nie oznacza incydentu.
Przygotowanie integracji
- Sprawdź dostępność źródła. Zweryfikuj wymagania dotyczące rejestrowania aktywności oraz uprawnień w środowisku Microsoft 365 opisane w bieżącej dokumentacji Wazuh i Microsoft.
- Przygotuj dostęp aplikacyjny. Nadawaj tylko uprawnienia potrzebne do pobierania danych. Sekrety traktuj jak dane wrażliwe: przechowuj poza publicznym repozytorium, ogranicz dostęp i planuj rotację.
- Skonfiguruj moduł Office 365 w Wazuh. Uzupełnij identyfikatory oraz dane uwierzytelniające w konfiguracji integracji według instrukcji dla swojej wersji 4.x.
- Uruchom pilotaż. Zacznij od ograniczonego zakresu, sprawdź połączenie i pobranie zdarzeń w dashboardzie lub dziennikach Wazuh.
- Zapisz kontrolę odbioru. Odnotuj czas zdarzenia, czas jego pojawienia się w Wazuh, źródło i osobę, która ocenia wynik.
Na co uważać przy analizie
Brak zdarzenia w dashboardzie nie jest automatycznie dowodem, że działanie nie nastąpiło. Sprawdź ustawienia audytu po stronie usługi, uprawnienia integracji, zakres pobieranych danych oraz opóźnienie. Jeśli porównujesz wyniki z innym systemem, uzgodnij strefy czasowe i identyfikatory użytkowników.
Rekomendacja praktyczna: przygotuj 2–3 kontrolowane działania testowe w dzierżawie i sprawdź, czy odpowiadające im rekordy trafiają do Wazuh. Test wykonuj na koncie i zasobach przeznaczonych do pilotażu, z zachowaniem polityki organizacji.
Minimalna checklista utrzymania
- Wiadomo, kto utrzymuje poświadczenia i odnawia dostęp.
- Zdarzenia testowe są widoczne, a opóźnienie jest znane.
- Wybrane reguły mają właściciela i procedurę weryfikacji.
- Po zmianach uprawnień integracja jest ponownie testowana.
Źródło: oficjalna dokumentacja Wazuh 4.x — monitoring aktywności Office 365. Wymagania usługi chmurowej sprawdź również w aktualnej dokumentacji Microsoft.