Analizzare i log attività di Microsoft Entra con Log Analytics

Articolo
12/15/2023

Dopo aver integrato i log attività di Microsoft Entra con i log di Monitoraggio di Azure, è possibile usare le funzionalità di Log Analytics e dei log di Monitoraggio di Azure per ottenere informazioni dettagliate sull'ambiente.

Confrontare i log di accesso di Microsoft Entra con i log di sicurezza pubblicati da Microsoft Defender per il cloud.
Risolvere i problemi di colli di bottiglia delle prestazioni nella pagina di accesso dell'applicazione tramite la correlazione dei dati sulle prestazioni delle applicazioni da Azure Application Insights.
Analizzare i log degli utenti rischiosi di protezione dell’identità e dei rilevamenti dei rischi per rilevare le minacce nell'ambiente in uso.

Questo articolo descrive come analizzare i log attività di Microsoft Entra nell'area di lavoro Log Analytics.

Prerequisiti

Per analizzare i log attività con Log Analytics, è necessario:

Un tenant di Microsoft Entra con una licenza Premium P1
Un'area di lavoro Log Analytics e accesso a tale area di lavoro
Ruoli appropriati per Monitoraggio di Azure e Microsoft Entra ID

area di lavoro Log Analytics

È necessario creare un'area di lavoro Log Analytics. Esistono diversi fattori che determinano l'accesso alle aree di lavoro Log Analytics. Sono necessari i ruoli appropriati per l'area di lavoro e le risorse che inviano i dati.

Per altre informazioni, vedere Gestire l’accesso a un'area di lavoro Log Analytics.

Ruoli di Monitoraggio di Azure

Monitoraggio di Azure offre due ruoli predefiniti per la visualizzazione dei dati di monitoraggio e la modifica delle impostazioni di monitoraggio. Il controllo degli accessi in base al ruolo di Azure offre anche due ruoli predefiniti di Log Analytics che concedono un accesso simile.

Visualizza:
- Lettore di monitoraggio
- Lettore di Log Analytics
Visualizzare e modificare le impostazioni:
- Collaboratore al monitoraggio
- Collaboratore di Log Analytics

Per altre informazioni sui ruoli predefiniti di Monitoraggio di Azure, vedere Ruoli, autorizzazioni e sicurezza in Monitoraggio di Azure.

Per altre informazioni sui ruoli di Controllo degli accessi in base al ruolo di Log Analytics, vedere Ruoli predefiniti di Azure

Ruoli di Microsoft Entra

L'accesso in sola lettura consente di visualizzare i dati di log di Microsoft Entra ID all'interno di una cartella di lavoro, eseguire query sui dati da Log Analytics o leggere i log nell'interfaccia di amministrazione di Microsoft Entra. L'accesso agli aggiornamenti consente di creare e modificare le impostazioni di diagnostica per inviare i dati di Microsoft Entra a un'area di lavoro Log Analytics.

Read:
- Amministratore che legge i report
- Ruolo con autorizzazioni di lettura per la sicurezza
- Ruolo con autorizzazioni di lettura globali
Aggiornamento:
- Amministratore della sicurezza

Per altre informazioni sui ruoli predefiniti di Microsoft Entra, vedere Ruoli predefiniti di Microsoft Entra.

Accedere a Log Analytics

Per visualizzare Microsoft Entra ID Log Analytics, è necessario inviare già i log attività da Microsoft Entra ID a un'area di lavoro Log Analytics. Questo processo è illustrato nell'articolo Come integrare i log attività con Monitoraggio di Azure.

Suggerimento

I passaggi descritti in questo articolo possono variare leggermente in base al portale da cui si inizia.

Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Lettore report.
Passare a Identità>Monitoraggio e integrità>Log Analytics. Viene eseguita una query di ricerca predefinita.
Espandere la categoria LogManagement per visualizzare l'elenco delle query correlate al log.
Selezionare o passare il puntatore del mouse sul nome di una query per visualizzare una descrizione e altri dettagli utili.
Espandere una query nell'elenco per visualizzare lo schema.

Eseguire query nei log attività

È possibile eseguire query sui log attività indirizzati a un'area di lavoro Log Analytics. Ad esempio, per ottenere un elenco di applicazioni con il maggior numero di accessi durante la settimana scorsa, immettere la query seguente e selezionare il pulsante Esegui.

SigninLogs 
| where CreatedDateTime >= ago(7d)
| summarize signInCount = count() by AppDisplayName 
| sort by signInCount desc

Per ottenere i principali eventi di controllo nell'ultima settimana, usare la query seguente:

AuditLogs 
| where TimeGenerated >= ago(7d)
| summarize auditCount = count() by OperationName 
| sort by auditCount desc

Impostare gli avvisi

È anche possibile impostare avvisi in una query. Dopo aver eseguito una query, il pulsante + Nuova regola di avviso diventa attivo.

In Log Analytics selezionare il pulsante + Nuova regola di avviso.
- Il processo Crea una regola include diverse sezioni per personalizzare i criteri per la regola.
- Per altre informazioni sulla creazione di regole di avviso, vedere Creare una nuova regola di avviso nella documentazione di Monitoraggio di Azure, a partire dalla procedura Condizione.
Nella scheda Azioni selezionare il gruppo di azioni che dovrebbe ricevere l'avviso quando si verifica il segnale.
- È possibile scegliere di inviare notifiche al team tramite posta elettronica o SMS oppure è possibile automatizzare l'azione con webhook, funzioni di Azure o app per la logica.
- Vedere altre informazioni sulla creazione e gestione di gruppi di azioni nel portale di Azure.
Nella scheda Dettagli assegnare alla regola di avviso un nome e associarlo a una sottoscrizione e a un gruppo di risorse.
Dopo aver configurato tutti i dettagli necessari, selezionare il pulsante Rivedi e crea.

Usare le cartelle di lavoro per analizzare i log

Le cartelle di lavoro di Microsoft Entra forniscono diversi report correlati a scenari comuni che coinvolgono eventi di audit, accesso e provisioning. È possibile anche impostare un avviso per tutti i dati disponibili nei report, seguendo la procedura descritta nella sezione precedente.

Analisi del provisioning: questa cartella di lavoro mostra i report correlati all'attività di provisioning del audit. Le attività possono includere il numero di nuovi utenti di cui è stato effettuato il provisioning, gli errori di provisioning, il numero di utenti aggiornati, gli errori di aggiornamento, il numero di utenti di cui è stato eseguito il deprovisioning e gli errori corrispondenti. Per altre informazioni, vedere Informazioni sull'integrazione del provisioning con i log di Monitoraggio di Azure.
Eventi di accesso: questa cartella di lavoro mostra i report rilevanti relativi al monitoraggio delle attività di accesso, ad esempio gli accessi per applicazione, utente e dispositivo, nonché una visualizzazione di riepilogo che riporta il numero di accessi nel tempo.
Insights sull’accesso condizionale: la cartella di lavoro Informazioni dettagliate e report di Accesso condizionale consente di conoscere l'impatto dei criteri di accesso condizionale dell'organizzazione nel tempo. Per altre informazioni, vedere Informazioni dettagliate e creazione di report per l'accesso condizionale.

Condividi tramite