Bagikan melalui


Cara mengalirkan log aktivitas ke pusat aktivitas

Penyewa Microsoft Entra Anda menghasilkan data dalam jumlah besar setiap detik. Aktivitas masuk dan log perubahan yang dilakukan di penyewa Anda menambahkan hingga banyak data yang dapat sulit dianalisis. Mengintegrasikan dengan alat Security Information and Event Management (SIEM) dapat membantu Anda mendapatkan wawasan tentang lingkungan Anda.

Artikel ini menunjukkan bagaimana Anda dapat mengalirkan log Anda ke pusat aktivitas, untuk diintegrasikan dengan salah satu dari beberapa alat SIEM.

Prasyarat

  • Untuk mengalirkan log ke alat SIEM, Anda harus terlebih dahulu membuat hub peristiwa Azure. Pelajari cara membuat pusat aktivitas.

  • Setelah Anda memiliki pusat aktivitas yang berisi log aktivitas Microsoft Entra, Anda dapat menyiapkan integrasi alat SIEM menggunakan pengaturan diagnostik Microsoft Entra.

Mengalirkan log ke pusat aktivitas

Ujung

Langkah-langkah dalam artikel ini mungkin sedikit berbeda berdasarkan portal tempat Anda memulai.

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Keamanan.

  2. Telusuri pengaturan Pemantauan Identitas>& Diagnostik kesehatan.> Anda juga dapat memilih Pengaturan Ekspor dari halaman Log Audit atau Masuk .

  3. Pilih + Tambahkan pengaturan diagnostik untuk membuat integrasi baru atau pilih Edit pengaturan untuk integrasi yang sudah ada.

  4. Masukkan nama pengaturan Diagnostik. Jika Anda mengedit integrasi yang sudah ada, Anda tidak dapat mengubah namanya.

  5. Pilih kategori log yang ingin Anda streaming.

  1. Pilih kotak centang Streaming ke pusat aktivitas.

  2. Pilih langganan Azure, namespace layanan Azure Event Hubs, dan hub peristiwa opsional tempat Anda ingin merutekan log.

Namespace layanan langganan dan Azure Event Hubs harus dikaitkan dengan penyewa Microsoft Entra dari tempat Anda melakukan streaming log.

Setelah Anda menyiapkan hub peristiwa Azure, navigasikan ke alat SIEM yang ingin Anda integrasikan dengan log aktivitas. Proses ini selesai di alat SIEM.

Saat ini kami mendukung Splunk, SumoLogic, dan ArcSight. Pilih tab untuk memulai. Lihat dokumentasi alat.

Untuk menggunakan fitur ini, Anda memerlukan Add-on Splunk untuk Microsoft Cloud Services.

Mengintegrasikan log Microsoft Entra dengan Splunk

  1. Buka instans Splunk Anda dan pilih Ringkasan Data.

    Tombol

  2. Pilih tab Sourcetypes , lalu pilih mscs:azure:eventhub

    Tab Tipe Sumber Ringkasan Data

Tambahkan body.records.category=AuditLogs ke pencarian. Log aktivitas Microsoft Entra ditampilkan dalam gambar berikut:

Log aktivitas

Jika Anda tidak dapat menginstal add-on di instans Splunk Anda (misalnya, jika Anda menggunakan proksi atau berjalan di Splunk Cloud), Anda dapat meneruskan peristiwa ini ke Splunk HTTP Event Collector. Untuk melakukannya, gunakan fungsi Azure ini, yang dipicu oleh pesan baru di hub peristiwa.

Opsi dan pertimbangan integrasi log aktivitas

Jika SIEM Anda saat ini belum didukung di diagnostik Azure Monitor, Anda dapat menyiapkan alat kustom dengan menggunakan API Azure Event Hubs. Untuk mempelajari selengkapnya, lihat Mulai menerima pesan dari pusat aktivitas.

IBM QRadar adalah opsi lain untuk mengintegrasikan dengan log aktivitas Microsoft Entra. Protokol DSM dan Azure Event Hubs tersedia untuk diunduh di dukungan IBM. Untuk informasi selengkapnya tentang integrasi dengan Azure, buka situs IBM QRadar Security Intelligence Platform 7.3.0 .

Beberapa kategori masuk berisi data log dalam jumlah besar, tergantung pada konfigurasi penyewa Anda. Secara umum, rincian masuk pengguna non-interaktif dan rincian masuk perwakilan layanan bisa 5 hingga 10 kali lebih besar dari rincian masuk pengguna interaktif.

Langkah berikutnya