Analysez les journaux et rapports d’audit d’Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.

Vous pouvez analyser les journaux d’audit d’Azure Synapse Analytics envoyés à Azure Monitor Log Analytics, Azure Event Hubs ou stockage Azure.

Analyser les journaux à l’aide de Log Analytics

Si vous choisissez d’écrire des journaux d’audit sur Log Analytics :

  1. Dans le portail Azure, recherchez des bases de données SQL et sélectionnez votre base de données, ou cherchez des serveurs SQL et sélectionnez votre serveur SQL Synapse.
  2. Dans le menu des ressources, sous Sécurité, sélectionnez Audit.
  3. En haut de la page Audit , sélectionnez Afficher les journaux d’audit.

Note

Le bouton Afficher les journaux d’audit s’affiche sur les pages Audit au niveau du serveur et au niveau de la base de données. Lorsque vous le sélectionnez dans la ressource de base de données , vous voyez des enregistrements d’audit spécifiques à cette base de données. Lorsque vous le sélectionnez dans la ressource de serveur , vous voyez des enregistrements d’audit pour toutes les bases de données sur ce serveur. Assurez-vous de naviguer vers le niveau de ressources approprié en fonction de la portée des journaux d’audit que vous devez examiner.

Il existe deux manières de consulter les logs à partir de la page Enregistrements d’audit :

  • Sélectionnez Log Analytics en haut de la page pour ouvrir l’affichage des journaux dans l’espace de travail Log Analytics, où vous pouvez personnaliser l’intervalle de temps et la requête de recherche.
  • Sélectionnez Afficher le tableau de bord en haut de la page pour ouvrir un tableau de bord affichant des informations sur les journaux d’audit, où vous pouvez explorer Security Insights ou accéder aux données sensibles. Ce tableau de bord vous aide à obtenir des insights de sécurité pour vos données. Vous pouvez également personnaliser l’intervalle de temps et la requête de recherche.

Tip

L’option Afficher le tableau de bord est disponible uniquement lorsque vous accédez aux enregistrements d’audit à partir d’une page Audit au niveau de la base de données sur laquelle l’audit au niveau de la base de données est activé. Si vous avez configuré l’audit au niveau serveur uniquement, vous pouvez toujours interroger les données d’audit directement dans votre espace de travail Log Analytics en suivant les étapes de la section suivante.

Consulter directement les journaux d'audit dans Log Analytics

Vous pouvez également accéder aux journaux d’audit directement à partir de votre espace de travail Log Analytics sans naviguer dans la page Audit. Cette approche est utile lorsque vous disposez d’un audit au niveau du serveur uniquement ou lorsque vous souhaitez exécuter des requêtes personnalisées sur plusieurs bases de données.

  1. Dans le portail Azure, ouvrez l’espace de travail Log Analytics configuré comme destination d’audit.
  2. Sous Général, sélectionnez Journaux.
  3. Commencez par une requête simple, par exemple search "SQLSecurityAuditEvents" pour afficher les journaux d’audit.

À partir d'ici, vous pouvez utiliser les journaux Azure Monitor pour exécuter des recherches avancées sur vos données de journal d’audit. Azure Monitor journaux de surveillance vous offrent des aperçus opérationnels en temps réel en utilisant une recherche intégrée et des tableaux de bord personnalisés pour analyser facilement des millions d'enregistrements sur l'ensemble de vos charges de travail et vos serveurs. Pour plus d’informations sur le langage de recherche des journaux Azure Monitor et les commandes associées, consultez référence sur la recherche dans les journaux Azure Monitor.

Analyser les journaux de logs à l’aide d’Event Hubs

Si vous avez choisi d’écrire les journaux d’audit dans Event Hubs :

  • Pour consommer les données des journaux d’audit à partir d’Event Hubs, vous devez configurer un flux destiné à consommer les événements et à les écrire dans une cible. Pour plus d’informations, consultez Azure Event Hubs Documentation.
  • Les journaux d’audit dans Event Hubs sont capturés dans le corps des événements Apache Avro et stockés à l’aide de la mise en forme JSON avec encodage UTF-8. Pour lire les journaux d’audit, vous pouvez utiliser Avro Tools, Microsoft Fabric flux d’événements ou des outils similaires qui traitent ce format.

Analyser les logs dans stockage Azure

Si vous choisissez d’écrire des journaux d’audit sur un compte de stockage Azure, vous pouvez utiliser plusieurs méthodes pour visualiser les journaux :

  • Les journaux d’audit s’agrégent dans le compte que vous choisissez lors de la configuration. Vous pouvez explorer les journaux d’audit à l’aide d’un outil tel que Explorateur Stockage Azure. Dans Azure stockage, les journaux d’audit sont enregistrés sous la forme d’une collection de fichiers blob dans un conteneur nommé sqldbauditlogs. Pour plus d’informations sur la hiérarchie des dossiers de stockage, les conventions de nommage et le format du journal, consultez le format du journal d’audit Azure Synapse Analytics.

    1. Dans le portail Azure, recherchez des serveurs SQL et sélectionnez votre serveur.
    2. Dans le menu des ressources, sous Sécurité, sélectionnez Audit.
    3. En haut de la page Audit , sélectionnez Afficher les journaux d’audit. La page Enregistrements d’audit s’ouvre et vous pouvez afficher les logs.
    4. Vous pouvez afficher des dates spécifiques en sélectionnant Filtrer en haut de la page Enregistrements d’audit .
    5. Vous pouvez basculer entre les enregistrements d’audit créés par la politique d’audit serveur et la politique d’audit de base de données en activant la source d’audit.

  • Utilisez la fonction sys.fn_get_audit_file système (T-SQL) pour retourner les données du journal d’audit au format tabulaire. Pour plus d’informations sur l’utilisation de cette fonction, consultez sys.fn_get_audit_file.

  • Utilisez Merge Audit Files dans SQL Server Management Studio (à compter de SSMS 17) :

    1. Dans le menu SSMS, sélectionnez Fichier>Ouvrir>Fusionner les fichiers d’audit.

    2. La boîte de dialogue Ajouter des fichiers d’audit s’ouvre. Sélectionnez l’une des options Add pour choisir de fusionner des fichiers d’audit à partir d’un disque local ou de les importer à partir de stockage Azure. Vous devez fournir vos informations stockage Azure et votre clé de compte.

    3. Après avoir ajouté tous les fichiers à la fusion, sélectionnez OK pour compléter l’opération de fusion.

    4. Le fichier fusionné s’ouvre dans SSMS, où vous pouvez l’afficher et l’analyser, ainsi que l’exporter vers un fichier XEL ou CSV, ou vers une table.

  • Utilisez Power BI. Vous pouvez afficher et analyser les données du journal d’audit dans Power BI. Pour plus d’informations, consultez Utilisant Azure Log Analytics dans Power BI.

  • Téléchargez des fichiers journaux à partir de votre conteneur de blobs Azure via le portail ou à l’aide d’un outil tel que Explorateur Stockage Azure.

    • Après avoir téléchargé un fichier journal sur votre ordinateur, double-cliquez dessus pour l’ouvrir, puis consulter et analyser les journaux dans SSMS.
    • Vous pouvez également télécharger plusieurs fichiers simultanément dans Explorateur Stockage Azure. Pour ce faire, cliquez avec le bouton droit sur un sous-dossier spécifique, puis sélectionnez Enregistrer sous pour enregistrer dans un dossier local.

  • Après avoir téléchargé plusieurs fichiers (ou un sous-dossier contenant des fichiers journaux), vous pouvez les fusionner localement en suivant les instructions relatives à l’option Fusionner les fichiers d’audit dans SSMS, décrites précédemment.

  • Affichez les journaux d’audit d’objets blob de manière programmatique : requête des fichiers d’événements étendus à l’aide de PowerShell.

Contenu connexe

  • Dernière mise à jour :