Envoyer des données à Microsoft Sentinel à l’aide du connecteur de données Microsoft Entra ID

Les journaux Microsoft Entra ID fournissent des informations détaillées sur les utilisateurs, les applications et les réseaux qui accèdent à votre tenant Microsoft Entra. Cet article explique les types de journaux que vous pouvez collecter à l’aide du connecteur de données Microsoft Entra ID, comment activer le connecteur pour envoyer des données à Microsoft Sentinel, et comment trouver vos données dans Microsoft Sentinel.

Prérequis

  • Une licence ID de charge de travail Microsoft Entra Premium est nécessaire pour diffuser en continu les journaux AADRiskyServicePrincipals et AADServicePrincipalRiskEvents dans Microsoft Sentinel.

  • Une licence Microsoft Entra ID P1 ou P2 est nécessaire pour ingérer les journaux de connexion dans Microsoft Sentinel. N’importe quelle licence Microsoft Entra ID (Free/O365/P1 ou P2) suffit pour l’ingestion des autres types de journaux. D’autres frais par gigaoctet peuvent s’appliquer pour Azure Monitor (Log Analytics) et Microsoft Sentinel.

  • Le rôle Contributeur Microsoft Sentinel doit être attribué à votre utilisateur sur l’espace de travail.

  • Votre utilisateur doit avoir le rôle Administrateur de la sécurité sur le locataire à partir duquel vous souhaitez diffuser les journaux ou les autorisations équivalentes.

  • Votre utilisateur doit disposer d’autorisations de lecture et d’écriture sur les paramètres de diagnostic Microsoft Entra pour pouvoir voir la connexion status.

Types de données du connecteur de données Microsoft Entra ID

Ce tableau répertorie les journaux que vous pouvez envoyer depuis Microsoft Entra ID vers Microsoft Sentinel grâce au connecteur de données Microsoft Entra ID. Microsoft Sentinel stocke ces journaux dans l’espace de travail Log Analytics lié à votre espace de travail Microsoft Sentinel.

Type de journal Description Schéma de journal
Journaux d’audit Activité système liée à la gestion des utilisateurs et des groupes, aux applications managées et aux activités d’annuaire. AuditLogs
Journaux de connexion Connexions utilisateur interactives où un utilisateur fournit un facteur d’authentification. SigninLogs
Journaux de connexion utilisateur non interactifs Connexions effectuées par un client pour le compte d’un utilisateur sans aucun facteur d’interaction ou d’authentification de la part de l’utilisateur. AADNonInteractiveUserSignInLogs
Journaux de connexion du principal de service Connexions par des applications et des principaux de service sans intervention d’un utilisateur. Dans ces connexions, l’application ou le service fournit des informations d’identification pour son propre compte pour s’authentifier ou accéder aux ressources. AADServicePrincipalSignInLogs
Journaux de connexion d’identité managée Connexions des ressources Azure dont les secrets sont gérés par Azure. Pour plus d’informations, consultez Que sont les identités managées pour les ressources Azure ? AADManagedIdentitySignInLogs
Journaux de connexion AD FS Connexions effectuées via Services ADFS (AD FS). ADFSSignInLogs
Journaux d’audit Office 365 enrichis Événements de sécurité liés aux applications Microsoft 365. EnrichedOffice365AuditLogs
Journaux d’approvisionnement Informations sur l’activité système sur les utilisateurs, les groupes et les rôles approvisionnés par le service d’approvisionnement Microsoft Entra. AADProvisioningLogs
Journaux d’activité Microsoft Graph Requêtes HTTP accédant aux ressources de votre locataire via le API Graph Microsoft. MicrosoftGraphActivityLogs
Journaux du trafic d’accès réseau Trafic et activités d’accès réseau. NetworkAccessTraffic
Journaux d’état du réseau distant Informations sur l’intégrité des réseaux distants. RemoteNetworkHealthLogs
Événements à risque de l’utilisateur Événements à risque utilisateur générés par Protection Microsoft Entra ID. AADUserRiskEvents
Utilisateurs risqués Utilisateurs à risque enregistrés par Protection Microsoft Entra ID. AADRiskyUsers
Principaux de service à risque Informations concernant les principaux de service signalés comme présentant un risque par Protection Microsoft Entra ID. AADRiskyServicePrincipals
Événements à risque du principal de service Détections de risques associées à des principaux de service consignées par Protection Microsoft Entra ID. AADServicePrincipalRiskEvents

Importante

Certains des types de journaux disponibles sont actuellement en PRÉVERSION. Consultez les Conditions d’utilisation supplémentaires de Microsoft Azure Préversions pour obtenir d’autres conditions légales qui s’appliquent aux fonctionnalités Azure en version bêta, en préversion ou qui ne sont pas encore publiées en disponibilité générale.

Remarque

Pour plus d’informations sur la disponibilité des fonctionnalités dans les clouds du gouvernement des États-Unis, consultez les tables Microsoft Sentinel dans Disponibilité des fonctionnalités cloud pour les clients du gouvernement des États-Unis.

Activer le connecteur de données Microsoft Entra ID

Pour activer le connecteur, suivez les étapes décrites dans Activer un connecteur de données.

Installer la solution Microsoft Entra ID (facultatif)

Installez la solution pour Microsoft Entra ID à partir du hub de contenu dans Microsoft Sentinel pour obtenir des classeurs prédéfinis, des règles d’analyse, des playbooks, etc. Pour plus d’informations, consultez Découvrir et gérer le contenu prêt à l’emploi de Microsoft Sentinel.

Étapes suivantes

Pour en savoir plus sur Microsoft Sentinel, consultez les articles suivants :

  • Last updated on