Explanation:

Explanation:

参照：
https://docs.microsoft.com/en-us/azure/sentinel/detect-threats-custom

1 - GcP セキュリティ コマンド センターを構成します。
2 - セキュリティヘルス分析を有効にします。
3 - GCP Security Command Center API を有効にします。
4 - 専用のサービス アカウントと秘密キーを作成します。
5 - Azure Security Center からクラウド コネクタを追加します。
参照：
https://docs.microsoft.com/en-us/azure/security-center/quickstart-onboard-gcp

Explanation:

グループを変更または削除したすべてのセキュリティプリンシパル（ユーザーまたはサービスプリンシパル/アプリ）を見つけるには、MicrosoftGraphActivityLogsをクエリし、グループエンドポイントを対象とするリクエストをフィルター処理し、読み取り専用操作を除外する必要があります。RequestUriフィールドには、プリンシパルが呼び出したGraph URL（例：/v1.0）が含まれます。
/groups/{id}）であるため、RequestUriに「/group」（または「/groups」）が含まれる場合にフィルタリングすることで、グループ関連の操作を分離できます。変更と削除は、POST、PATCH、PUT、DELETEなどの読み取り専用HTTP動詞です。
これらすべてをキャプチャする最も簡単な方法は、読み取りを除外することです（RequestMethod != "GET"）。最後に、AppId、UserId、ServicePrincipalIdを射影すると、各リクエストの背後にあるID（ユーザーまたはアプリ）が返されます。これが、レポートに必要な「セキュリティプリンシパル」です。
完成した KQL は次のようになります。
MicrosoftGraphアクティビティログ
| RequestUriに「/group」が含まれる場合
| ここで、RequestMethod != "GET"
| プロジェクトの AppId、UserId、ServicePrincipalId

Explanation:

Microsoft Defender for Cloud (旧称 Azure Security Center) は、Google Cloud Security Command Center (SCC) から検出結果を読み取るネイティブ GCP コネクタを介して、GCP セキュリティ シグナルを取り込みまこのシーケンスによりエラーが最小限に抑えられます。資格情報が作成される前に API と検出がアクティブになり、データが利用可能になった後にのみコネクタが追加されるため、即時の検証が保証され、管理オーバーヘッドが最小限に抑えられます。