Skip to main content

​
Bu integratsiya nimani taqdim etadi

Microsoft Entra ID normallashtirilgan identifikatsiya, tizimga kirish, xavf, qurilma va hujum simulyatsiyasi faoliyati ma’lumotlarini taqdim etishi mumkin. Ko’rib chiqilgan misollar:
  • account.compromised — buzilgan deb belgilangan hisob
  • auth.login.unusual — odatiy bo’lmagan kontekstlardan tizimga kiradi
  • phishing.simulation.clicked — simulyatsiyani xabar bermasdan bosgan
Bu namunaviy misollar bo’lib, har bir tenantda barcha hodisalar mavjudligini kafolatlamaydi. Integratsiya ma’lumotlari Signals’ga qanday aylanishi haqida ma’lumot oling.

​
Living Security uchun nimalar kerak

Scopes (Application permissions):

​
Bu ulanish nima qila olishini siz belgilaysiz

Bu ulanish ma’lumotlarni o’qiydi. U, shuningdek, katalogingizda amallar bajarishi ham mumkin, lekin faqat siz ruxsat berishni tanlasangizgina. Yuqoridagi barcha permission’lar, oxirgisidan tashqari, faqat o’qish uchun mo’ljallangan. Faqat shularni bersangiz, ulanish tenantingizdagi hech narsani o’zgartira olmaydi — platforma buni aniqlaydi va guruh Actions’ni umuman taklif qilmaydi. GroupMember.ReadWrite.All qo’shilsa, guruh a’zoligi bo’yicha Actions playbook’larda foydalanish uchun mavjud bo’ladi. Hech narsa o’z-o’zidan boshlanmaydi: platforma qaysi guruhlarga tegishi mumkinligini (quyida qarang) siz tanlashingiz va ulardan foydalanadigan playbook yaratishingiz kerak. Fikringizni istalgan vaqtda o’zgartirishingiz mumkin. Microsoft Entra ID’da permission qo’shish yoki olib tashlash va admin consent’ni qayta berish yetarli — platformada credential’larni qayta kiritish shart emas va ma’lumotlar sinxronizatsiyasi butun vaqt davomida ishlashda davom etadi. O’zgarish taxminan bir soat ichida kuchga kiradi.
Guruh a’zoligi bo’yicha Actions qo’shimcha ravishda siz belgilagan guruhlar bilan cheklangan. Ulanganingizdan so’ng administrator ulanishda guruhlarning aniq ruxsat etilgan ro’yxatini (allowlist) tanlaydi. Bu ro’yxat yaratilmaguncha, permission berilgan bo’lsa ham, guruh Actions mavjud bo’lmaydi — shuning uchun GroupMember.ReadWrite.All hech qachon “tenantdagi istalgan guruh” degani emas.Bu guruhlarni ehtiyotkorlik bilan tanlang: ma’muriy rollar, imtiyozli kirish yoki litsenziya huquqlarini beradigan guruhlardan saqlaning.
Required role: Microsoft Entra ID’da Application Administrator yoki Global Administrator
Bu permission’lardan ikkitasi yangi qo’shilgan. Agar Microsoft Entra ID’ni ular ushbu ro’yxatda paydo bo’lishidan oldin ulagan bo’lsangiz, ularni mavjud ilova registratsiyasiga qo’shing va admin consent’ni qayta bering — Microsoft permission’lar o’zgarganda consent qayta berilishini talab qiladi. Shu vaqt davomida boshqa barcha ma’lumotlar oqimlari odatdagidek ishlashda davom etadi.Policy.Read.ConditionalAccess — bu permission bo’lmasa, Microsoft har bir tizimga kirish yozuvidan shartli kirish (conditional access) tafsilotlarini olib tashlaydi. Yozuv shartli kirish siyosati bajarilganini baribir ko’rsatadi, lekin siyosatlar ro’yxati bo’sh qaytadi. Hech narsa xato bermaydi va hech narsa ogohlantirmaydi: tizimga kirish ma’lumotlari kelishda davom etadi va ulanish sog’lom holatda qoladi. Platforma qaysi kirishlar ko’p faktorli autentifikatsiya bilan bajarilganini aniqlay olmaydi, shuning uchun bu ulanishdan MFA faoliyati bo’sh qoladi.IdentityRiskEvent.Read.All — xavf aniqlashlarini o’qish uchun, shuningdek, Microsoft Entra ID P1 yoki P2 litsenziyasi talab qilinadi. Sizib chiqqan credential’larni aniqlashning o’zi P1 ni o’z ichiga olgan barcha darajalarda mavjud; premium aniqlashlar P2 dan pastda generic sifatida ko’rsatiladi.

​
Prerequisites

  • Ilovalarni ro’yxatdan o’tkazish va admin consent berish uchun Microsoft Entra ID’da Application Administrator yoki Global Administrator huquqiga ega bo’lishingiz kerak.

​
A qism — Microsoft Entra ID’da

Bu qadamlarni Microsoft Entra ID administratoringiz bajaradi.
1

Yangi ilovani ro'yxatdan o'tkazing

  1. Microsoft Entra admin center’ga kiring.
  2. Chap navigatsiyada Entra ID → App registrations bo’limiga o’ting.
  3. New registration tugmasini bosing.
  4. Ilova uchun mazmunli nom kiriting, masalan, Living Security Platform.
  5. Supported account types ostida Accounts in this organizational directory only variantini tanlang.
  6. Redirect URI maydonini bo’sh qoldiring — bu integratsiya client credentials flow’dan foydalanadi.
  7. Register tugmasini bosing.
Ro’yxatdan o’tkazilgandan so’ng, Overview sahifasidan quyidagi qiymatlarni yozib oling:
  • Application (client) ID
  • Directory (tenant) ID
2

Microsoft Graph application permission'larini qo'shing

  1. Ilovangizning Overview sahifasida chap menyudagi API permissions bo’limini bosing.
  2. Add a permission tugmasini bosing.
  3. Microsoft Graph variantini tanlang.
  4. Application permissions variantini tanlang.
  5. Quyidagi permission’larning har birini qidirib toping va tanlang, so’ngra Add permissions tugmasini bosing:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. GroupMember.ReadWrite.All ni faqat playbook’lar guruh a’zoligini o’zgartira olishini istasangizgina qo’shing. Bu ulanishni faqat o’qish rejimida saqlash uchun uni o’tkazib yuboring.
Bular barcha ma’lumotlar oqimlari uchun minimal permission’lardir. Agar oqimlarning faqat bir qismini yoqishni rejalashtirgan bo’lsangiz, foydalanmaydigan oqimlaringiz uchun permission’larni qoldirib ketishingiz mumkin.
3

Admin consent bering

Application permission’lar aniq admin consent talab qiladi.
  1. API permissions sahifasida Grant admin consent for <your tenant name> tugmasini bosing.
  2. Tasdiqlash dialogida Yes tugmasini bosing.
  3. Status ustunida har bir permission uchun Granted ko’rsatilganini tekshiring.
Agar Grant admin consent tugmasi faol bo’lmasa (kulrang), sizga Privileged Role Administrator yoki Global Administrator huquqlari kerak. Yangi permission’lar qo’shilganda admin consent qayta berilishi kerak.
4

Client secret yarating

  1. Ilovangizning Overview sahifasida chap menyudagi Certificates & secrets bo’limini bosing.
  2. Client secrets yorlig’ini bosing, so’ngra New client secret tugmasini bosing.
  3. Tavsif kiriting (masalan, Living Security Platform).
  4. Rotatsiya siyosatingizga mos amal qilish muddatini tanlang.
  5. Add tugmasini bosing.
Secret qiymatini darhol nusxalab oling. Microsoft Entra ID to’liq client secret’ni faqat bir marta ko’rsatadi. Agar nusxalashdan oldin boshqa sahifaga o’tsangiz, secret’ni o’chirib, yangisini yaratishingiz kerak bo’ladi.
Secret’ni xavfsiz saqlang. Uni muddati tugashidan oldin almashtirish uchun taqvimda eslatma o’rnating — muddati tugagan secret sinxronizatsiyalarning 401 Unauthorized xatosi bilan muvaffaqiyatsiz bo’lishiga olib keladi.
5

Graph API va Authority host'larini aniqlang

Tijorat bulutidagi ko’pchilik tashkilotlar uchun standart qiymatlardan foydalaning:Davlat yoki suveren bulutlar uchun muhitingizga mos endpoint’lardan foydalaning.
Graph API host va Authority host bir-biriga mos bo’lishi kerak — bir bulut authority’sidan olingan token’lar boshqa bulutning Graph endpoint’i uchun yaroqsiz.

​
B qism — Living Security Platform’da

Bu qadamni dastur egasi yoki, agar platformaga taklif qilingan bo’lsa, tizim administratori bajaradi.
Siz endi Microsoft Entra ID (Client Credentials) ga ulandingiz.

​
Troubleshooting

Credential’lar yaroqsiz yoki muddati tugagan. Tekshiring:
  1. Client Secret muddati tugamagan yoki almashtirilmagan
  2. Tenant ID va Client ID to’g’ri
  3. Authority host bulut muhitingizga mos keladi
Ilova registratsiyasida permission’lar yetishmaydi yoki admin consent berilmagan. Tekshiring:
  1. Barcha kerakli permission’lar API permissions ro’yxatida bor
  2. Har bir permission Granted holatini ko’rsatadi (yashil belgi)
  3. Admin consent permission’lar qo’shilgandan keyin berilgan
Agar dastlabki consent’dan keyin yangi permission’lar qo’shgan bo’lsangiz, admin consent’ni qayta berishingiz kerak.
Ilovada ushbu oqim uchun aniq permission yetishmayotgan bo’lishi mumkin:
  • Foydalanuvchilar yo’q → User.Read.All yetishmaydi
  • Xavfsizlik ogohlantirishlari yo’q → SecurityAlert.Read.All yetishmaydi
  • Tizimga kirish jurnallari yo’q → AuditLog.Read.All yetishmaydi
  • Hujum simulyatsiyasi natijalari yo’q → AttackSimulation.Read.All yetishmaydi
  • Entra ID qurilmalari yo’q → Device.Read.All yetishmaydi
  • Intune boshqaradigan qurilmalar yo’q → DeviceManagementManagedDevices.Read.All yetishmaydi
  • Xavf aniqlashlari yo’q → IdentityRiskEvent.Read.All yetishmaydi, uni qo’shgandan keyin admin consent qayta berilmagan yoki tenant Microsoft Entra ID P1 litsenziyasining minimal darajasidan pastda
Graph API host va Authority host bir-biriga mos kelmayotgan bo’lishi mumkin. Ikkalasi ham bir xil bulut muhitiga (tijorat, davlat va h.k.) mos kelishi kerak.
Guruh a’zoligi bo’yicha Actions faqat quyidagi uchala shart bajarilgandagina taklif etiladi:
  1. GroupMember.ReadWrite.All ilova registratsiyasida mavjud va admin consent berilgan. Agar uni yaqinda qo’shgan bo’lsangiz, bir soatgacha kuting.
  2. Administrator ulanishda guruhlarning ruxsat etilgan ro’yxatini (allowlist) belgilagan.
  3. Ulanish faol va sog’lom holatda.
Agar permission’ni bergan bo’lsangiz-u, Actions baribir mavjud bo’lmasa, admin consent’ni qayta bering — Microsoft buni permission’lar o’zgarganda talab qiladi.
Agar tenantingizda IP manzil bo’yicha cheklangan Conditional Access siyosati mavjud bo’lsa, u ushbu ulanish credential’ini olib yuruvchi so’rovlarni bloklashi mumkin. Ko’pchilik tenantlarga bu ta’sir qilmaydi — Microsoft Graph odatda IP manzil bo’yicha cheklamaydi. Agar service principal’lar uchun IP bo’yicha cheklangan siyosatni qo’llasangiz, bu integratsiya uchun manzillarning ikki to’plami allowlist’ga kiritilishi kerak, chunki sozlash va ma’lumotlar sinxronizatsiyasi turli tarmoqlardan chiqadi.Living Security bu ulanishning access token’ini o’zi yaratadi va uni uzluksiz yangilab turadi, shuning uchun token so’rovlari ma’lumotlar sinxronizatsiyasi ishlatadigan manzillardan emas, platformaning o’z manzillaridan chiqadi.Guruh Actions alohida. Odatda ular ma’lumotlar sinxronizatsiyasi bilan bir xil yo’nalishda boradi va sinxronizatsiya manzillaridan chiqadi. Ular platforma manzillariga faqat administrator ulanishni to’g’ridan-to’g’ri egress rejimiga o’tkazganda o’tadi.Ikkala to’plamni Conditional Access siyosatingiz ishonchli deb hisoblaydigan yoki istisno qiladigan named location’ga qo’shing. Token so’rovlari login.microsoftonline.com ga, ma’lumotlar so’rovlari esa graph.microsoft.com ga yetib boradi; ikkalasi ham o’tishi kerak.Agar faqat sinxronizatsiya manzillari allowlist’ga kiritilgan bo’lsa, sozlash token olish bosqichida muvaffaqiyatsiz bo’ladi va ulanish yaratilmaydi. Agar faqat platforma manzillari allowlist’ga kiritilgan bo’lsa, sozlash muvaffaqiyatli bo’ladi, lekin har bir sinxronizatsiya hech qanday yozuv qaytarmaydi.