Cómo transmitir registros de actividad a un centro de eventos

El inquilino de Microsoft Entra genera grandes cantidades de datos cada segundo. La actividad de inicio de sesión y los registros de cambios realizados en el inquilino suman tantos datos que pueden ser difíciles de analizar. La integración con las herramientas de Administración de eventos e información de seguridad (SIEM) puede ayudarle a obtener información sobre su entorno.

En este artículo se muestra cómo transmitir los registros a un centro de eventos, para integrarlos con una de varias herramientas de SIEM.

Requisitos previos

• Suscripción a Azure. Si no tiene ninguna suscripción de Azure, puede registrarse para obtener una evaluación gratuita.
• Un centro de eventos de Azure que ya está configurado. Aprenda a crear un centro de eventos.
• Acceso de administrador de seguridad para crear una configuración de diagnóstico general para el inquilino de Microsoft Entra.
• Acceso de administrador de registros de atributos para crear opciones de diagnóstico para registros de atributos de seguridad personalizados.

Transmitir registros a un centro de eventos

Sugerencia

Los pasos de este artículo pueden variar ligeramente en función del portal desde donde comienzas.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de seguridad.

2. Vaya a Identidad>Supervisión y estado>Configuración del diagnóstico. También puede seleccionar Exportar configuraciones desde la página de Registros de auditoría o Inicios de sesión.

3. Seleccione + Agregar configuración de diagnóstico para crear una nueva integración o seleccione Editar configuración para una integración existente.

4. Escriba un Nombre de configuración de diagnóstico. Si está editando una integración existente, no puede cambiar el nombre.

5. Seleccione las categorías de registro que desee transmitir.

6. Active la casilla Transmitir a un centro de eventos.

7. Seleccione la suscripción de Azure, el espacio de nombres de Event Hubs y el centro de eventos opcional en el que desea enrutar los registros.

Tanto la suscripción como el espacio de nombres de Event Hubs deben estar asociados al inquilino de Microsoft Entra desde el que se envían los registros.

Una vez que tenga listo el centro de eventos de Azure, vaya a la herramienta SIEM que desea integrar con los registros de actividad. El proceso finaliza en la herramienta SIEM.

Actualmente se admite Splunk, SumoLogic y ArcSight. Selecciona una pestaña a continuación para empezar. Consulte la documentación de la herramienta.

Splunk

Para usar esta característica, necesita el Complemento de Splunk para Microsoft Cloud Services.

Integración de registros de Microsoft Entra con Splunk

1. Abra la instancia de Splunk y seleccione Resumen de datos.

   

2. Seleccione la pestaña Sourcetypes y, a continuación, seleccione mscs:azure:eventhub

   

Anexe body.records.category=AuditLogs a la búsqueda. En la siguiente ilustración se muestran los registros de actividad de Microsoft Entra:

Si no puedes instalar un complemento en la instancia de Splunk (por ejemplo, si usas un proxy o se ejecuta en Splunk Cloud), puedes reenviar estos eventos al recopilador de eventos de HTTP de Splunk. Para ello, use esta función de Azure que se desencadena con los nuevos mensajes del centro de eventos.

sumologic

Para usar esta característica, necesita una suscripción habilitada para el inicio de sesión único en SumoLogic.

Integración de registros de Microsoft Entra con SumoLogic

1. Configure la instancia de SumoLogic para recopilar registros de Microsoft Entra ID.

2. Instala la aplicación SumoLogic de Microsoft Entra para usar los paneles preconfigurados que proporcionan análisis en tiempo real de tu entorno.

   

ArcSight

Para usar esta característica, necesita una instancia configurada de ArcSight Syslog NG Daemon SmartConnector (SmartConnector) o ArcSight Load Balancer. Si los eventos se envían al equilibrador de carga de ArcSight, el equilibrador de carga los envía a SmartConnector.

Descarga y abra la guía de configuración de ArcSight SmartConnector para el centro de eventos de Azure Monitor. Esta guía contiene los pasos necesarios para instalar y configurar ArcSight SmartConnector para Azure Monitor.

Integración de registros de Microsoft Entra con ArcSight

1. Complete los pasos de la sección Requisitos previos de la guía de configuración de ArcSight. Esta sección incluye los siguientes pasos:

   • Establecer permisos de usuario en Azure, a fin de garantizar que haya un usuario con el rol propietario para implementar y configurar el conector.
   • Abra los puertos del servidor con Syslog NG Daemon SmartConnector, para que se pueda acceder desde Azure.
   • La implementación ejecuta un script de PowerShell, por lo que debe habilitar PowerShell para que ejecute scripts en el equipo en el que desea implementar el conector.

2. Siga los pasos descritos en la sección de Implementación del conector de la guía de configuración de ArcSight para implementar el conector. En esta sección se explica cómo descargar y extraer el conector, configurar las propiedades de la aplicación y ejecutar el script de implementación desde la carpeta extraída.

3. Siga los pasos descritos en la sección de verificación de la implementación en Azure para asegurarse de que el conector está configurado y funciona correctamente. Verifique los requisitos previos siguientes:

   • Que las funciones de Azure necesarias se han creado en la suscripción de Azure.
   • Los registros de Microsoft Entra se transmiten al destino correcto.
   • Que la configuración de la aplicación de la implementación se conserva en la configuración de la aplicación en Azure Function App.
   • Se ha creado un grupo de recursos para ArcSight en Azure, con una aplicación de Microsoft Entra para el conector de ArcSight y las cuentas de almacenamiento que contienen los archivos asignados con el formato CEF.

4. Complete los pasos posteriores a la implementación descritos en la sección de Configuraciones posteriores a la implementación de ArcSight de la guía de configuración. En esta sección se explica cómo realizar otra configuración si tiene un plan de App Service para prevenir que las aplicaciones de función queden inactivas tras un período de tiempo de expiración, cómo configurar el streaming de los registros de recursos desde el centro de eventos y cómo actualizar el certificado del almacén de claves de SysLog NG Daemon SmartConnector para asociarlo con la cuenta de almacenamiento recién creada.

5. En la guía de configuración también se explica cómo personalizar las propiedades del conector en Azure y cómo actualizar y desinstalar el conector. También hay una sección dedicada a las mejoras de rendimiento, incluida la actualización a un plan de consumo de Azure y la configuración de un equilibrador de carga de ArcSight si la carga de eventos es mayor de lo que puede manipular un único conector Syslog NG Daemon SmartConnector.

Consideraciones y opciones de integración del registro de actividad

Si su herramienta SIEM actual aún no se admite en los diagnósticos de Azure Monitor, puede configurar herramientas personalizadas mediante las API de Event Hubs. Para más información, consulte la Introducción a la recepción de mensajes con el Host del procesador de eventos en .NET Standard.

IBM QRadar es otra opción para la integración con los registros de actividad de Microsoft Entra. El DSM y el protocolo de Azure Event Hubs están disponibles para descarga en el Soporte técnico de IBM. Para más información sobre la integración con Azure, vaya al sitio IBM QRadar Security Intelligence Platform 7.3.0.

Algunas categorías de inicio de sesión contienen grandes cantidades de datos de registro, en función de la configuración del inquilino. En general, los inicios de sesión de usuario no interactivos y los inicios de sesión de entidad de servicio pueden ser entre 5 y 10 veces mayores que los inicios de sesión de usuario interactivos.

Pasos siguientes

• Análisis de registros de actividad de Microsoft Entra con registros de Azure Monitor
• Uso de Microsoft Graph para acceder a los registros de actividad de Microsoft Entra