Tevékenységnaplók streamelése eseményközpontba
A Microsoft Entra-bérlő másodpercenként nagy mennyiségű adatot állít elő. A bejelentkezési tevékenység és a bérlőben végrehajtott módosítások naplói sok olyan adatot adnak hozzá, amelyeket nehéz elemezni. A biztonsági információ- és eseménykezelési (SIEM) eszközökkel való integrációval betekintést nyerhet a környezetébe.
Ez a cikk bemutatja, hogyan streamelheti naplóit egy eseményközpontba, hogy integrálható legyen a számos SIEM-eszköz egyikével.
Előfeltételek
Ha naplókat szeretne streamelni egy SIEM-eszközre, először létre kell hoznia egy Azure-eseményközpontot. Megismerkedhet az eseményközpont létrehozásának menetével.
Miután rendelkezik a Microsoft Entra-tevékenységnaplókat tartalmazó eseményközponttal, beállíthatja a SIEM eszközintegrációt a Microsoft Entra diagnosztikai beállításaival.
Naplók streamelése eseményközpontba
Tipp.
A cikkben szereplő lépések a portáltól függően kissé eltérhetnek.
Jelentkezzen be a Microsoft Entra felügyeleti központba legalább biztonsági Rendszergazda istratorként.
Tallózással keresse meg az Identitásfigyelés>& Állapotdiagnosztikai>beállításokat. Az Gépház exportálása lehetőséget a Naplózási naplók vagy a Bejelentkezések lapon is kiválaszthatja.
Válassza a + Diagnosztikai beállítás hozzáadása lehetőséget egy új integráció létrehozásához, vagy válassza a Szerkesztés beállítást egy meglévő integrációhoz.
Adjon meg egy diagnosztikai beállításnevet. Ha meglévő integrációt szerkeszt, nem módosíthatja a nevet.
Válassza ki a streamelni kívánt naplókategóriákat.
Jelölje be a Stream egy eseményközpontba jelölőnégyzetet.
Válassza ki az Azure-előfizetést, az Event Hubs-névteret és az opcionális eseményközpontot, ahová a naplókat irányítani szeretné.
Az előfizetésnek és az Event Hubs-névtérnek egyaránt hozzá kell tartoznia a Microsoft Entra-bérlőhöz, ahonnan a naplókat streameli.
Miután elkészült az Azure-eseményközponttal, lépjen a tevékenységnaplókkal integrálni kívánt SIEM-eszközre. A folyamatot a SIEM eszközben fogja befejezni.
Jelenleg a Splunk, a SumoLogic és az ArcSight támogatott. Első lépésként válasszon egy lapot. Tekintse meg az eszköz dokumentációját.
A funkció használatához szüksége van a Microsoft Cloud Services Splunk bővítményére.
Microsoft Entra-naplók integrálása a Splunkkal
Nyissa meg a Splunk-példányt, és válassza az Adatok összegzése lehetőséget.
Válassza a Sourcetypes lapot, majd válassza az mscs:azure:eventhub lehetőséget
A body.records.category=AuditLogs hozzáfűzése a kereséshez. A Microsoft Entra tevékenységnaplói az alábbi ábrán láthatók:
Ha nem tud bővítményt telepíteni a Splunk-példányba (például ha proxyt használ, vagy a Splunk Cloudon fut), továbbíthatja ezeket az eseményeket a Splunk HTTP-eseménygyűjtőnek. Ehhez használja ezt az Azure-függvényt, amelyet az eseményközpont új üzenetei aktiválnak.
Tevékenységnapló-integrációs lehetőségek és szempontok
Ha a jelenlegi SIEM még nem támogatott az Azure Monitor-diagnosztika során, az Event Hubs API-val egyéni eszközkészletet állíthat be. További részletekért lásd az eseményközpontból való üzenetfogadás első lépéseit ismertető cikket.
Az IBM QRadar egy másik lehetőség a Microsoft Entra tevékenységnaplóival való integrációra. A DSM és az Azure Event Hubs Protocol az IBM ügyfélszolgálatánál tölthető le. Az Azure-integrációról további információkat az IBM QRadar Security Intelligence Platform 7.3.0 webhelyén talál.
Egyes bejelentkezési kategóriák nagy mennyiségű naplóadatot tartalmaznak a bérlő konfigurációjától függően. A nem interaktív felhasználói bejelentkezések és a szolgáltatásnév-bejelentkezések általában 5–10-szer nagyobbak lehetnek, mint az interaktív felhasználói bejelentkezések.