Zelfstudie: Een Log Analytics-werkruimte maken en configureren

In deze zelfstudie leert u het volgende:

• Een Log Analytics-werkruimte configureren voor uw audit- en aanmeldingslogboeken
• Query's uitvoeren met de Kusto Query Language (KQL)
• Een aangepaste werkmap maken met het Quickstart-sjabloon
• Een query toevoegen aan een bestaande werkmapsjabloon

Vereisten

Als u activiteitenlogboeken wilt analyseren met Log Analytics, hebt u de volgende rollen en vereisten nodig:

• Microsoft Entra-bewaking en statuslicenties

• Een Log Analytics-werkruimte en toegang tot die werkruimte

• De juiste rol voor Azure Monitor:

  • Lezer voor bewaking
  • Lezer van Log Analytics
  • Bijdrager voor bewaking
  • Inzender van Log Analytics

• De juiste rol voor Microsoft Entra-id:

  • Rapportenlezer
  • Beveiligingslezer
  • Algemene lezer
  • Beveiligingsbeheer

Raak ermee vertrouwd met behulp van deze artikelen:

• Zelfstudie: Resourcelogboeken van een Azure-resource verzamelen en analyseren

• Activiteitenlogboeken met Log Analytics integreren

• Account voor toegang tot noodgevallen beheren in Microsoft Entra-id

• KQL-snelzoekgids

• Azure Monitor-werkmappen

Log Analytics configureren

Tip

Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.

In deze procedure wordt beschreven hoe u een Log Analytics-werkruimte configureert voor uw audit- en aanmeldingslogboeken. Als u een Log Analytics-werkruimte wilt configureren, moet u de werkruimte maken en vervolgens diagnostische instellingen configureren.

De werkruimte maken

1. Meld u aan bij Azure Portal als minimaal een beveiligingsbeheerder en Log Analytics-inzender.

2. Blader naar Log Analytics-werkruimten.

3. Selecteer Maken.

   

4. Voer op de pagina Log Analytics-werkruimte maken de volgende stappen uit:

   1. Selecteer uw abonnement.

   2. Selecteer een resourcegroep.

   3. Geef uw werkruimte een naam.

   4. Selecteer uw regio.

   

5. Selecteer Controleren + maken.

   

6. Selecteer Maken en wachten op de implementatie. Mogelijk moet u de pagina vernieuwen om de nieuwe werkruimte weer te geven.

   

Diagnostische instellingen configureren

Als u diagnostische instellingen wilt configureren, moet u overschakelen naar het Microsoft Entra-beheercentrum om uw identiteitslogboekgegevens naar uw nieuwe werkruimte te verzenden.

1. Meld u als beveiligingsbeheerder aan bij het Microsoft Entra-beheercentrum.

2. Blader naar diagnostische instellingen voor identiteitsbewaking>en status>.

3. Selecteer Diagnostische instellingen toevoegen.

   

4. Voer op de pagina Diagnostische instelling de volgende stappen uit:

   1. Selecteer onder Categoriedetails de optie AuditLogs en SigninLogs.

   2. Selecteer onder Bestemmingsdetails de optie Naar Log Analytics verzenden en selecteer uw nieuwe Log Analytics-werkruimte.

   3. Selecteer Opslaan.

   

Uw logboeken kunnen nu worden opgevraagd met behulp van de Kusto-querytaal (KQL) in Log Analytics. Mogelijk moet u ongeveer 15 minuten wachten totdat de logboeken zijn ingevuld.

Query's uitvoeren in Log Analytics

Deze procedure laat zien hoe u query's kunt uitvoeren met Kusto Query Language (KQL).

Een query uitvoeren

1. Meld u aan bij het Microsoft Entra-beheercentrum als minimaal een rapportlezer.

2. Blader naar Log Analytics voor identiteitsbewaking>en -status>.

3. Typ uw query in het tekstvak Zoeken en selecteer Uitvoeren.

Voorbeelden van KQL-query's

Neem tien willekeurige vermeldingen in de invoergegevens:

• SigninLogs | take 10

Bekijk de aanmeldingen waarbij de voorwaardelijke toegang een succes was:

• SigninLogs | where ConditionalAccessStatus == "success" | project UserDisplayName, ConditionalAccessStatus

Aantal gunstige uitkomsten:

• SigninLogs | where ConditionalAccessStatus == "success" | project UserDisplayName, ConditionalAccessStatus | count

Totale aantal geslaagde aanmeldingen per gebruiker per dag:

• SigninLogs | where ConditionalAccessStatus == "success" | summarize SuccessfulSign-ins = count() by UserDisplayName, bin(TimeGenerated, 1d)

Weergeven hoe vaak een gebruiker een bepaalde bewerking in een specifieke periode uitvoert:

• AuditLogs | where TimeGenerated > ago(30d) | where OperationName contains "Add member to role" | summarize count() by OperationName, Identity

Draai de resultaten op de naam van de bewerking:

• AuditLogs | where TimeGenerated > ago(30d) | where OperationName contains "Add member to role" | project OperationName, Identity | evaluate pivot(OperationName)

Bewakings- en aanmeldingslogboeken samenvoegen met behulp van een inner join:

• AuditLogs |where OperationName contains "Add User" |extend UserPrincipalName = tostring(TargetResources[0].userPrincipalName) | |project TimeGenerated, UserPrincipalName |join kind = inner (SigninLogs) on UserPrincipalName |summarize arg_min(TimeGenerated, *) by UserPrincipalName |extend SigninDate = TimeGenerated

Het aantal ondertekeningen per client-app-type weergeven:

• SigninLogs | summarize count() by ClientAppUsed

De aanmeldingen per dag tellen:

• SigninLogs | summarize NumberOfEntries=count() by bin(TimeGenerated, 1d)

Neem vijf willekeurige vermeldingen en project de kolommen die u in de resultaten wilt zien:

• SigninLogs | take 5 | project ClientAppUsed, Identity, ConditionalAccessStatus, Status, TimeGenerated

Neem de bovenste 5 in aflopende volgorde en project de kolommen die u wilt zien:

• SigninLogs | take 5 | project ClientAppUsed, Identity, ConditionalAccessStatus, Status, TimeGenerated

Maak een nieuwe kolom door de waarden te combineren in twee andere kolommen:

• SigninLogs | limit 10 | extend RiskUser = strcat(RiskDetail, "-", Identity) | project RiskUser, ClientAppUsed

Een aangepaste werkmap maken

In deze procedure wordt uitgelegd hoe u een nieuwe werkmap maakt met de quickstart-sjabloon.

1. Meld u als beveiligingsbeheerder aan bij het Microsoft Entra-beheercentrum.

2. Blader naar Werkmappen voor identiteitsbewaking>en -status>.

3. Selecteer Leeg in de sectie Quickstart.

   

4. Selecteer Tekst toevoegen in het menu Toevoegen.

   

5. Typ # Client apps used in the past week en selecteer Klaar bewerken in het tekstvak.

   

6. Open onder het tekstvenster het menu Toevoegen en selecteer Query toevoegen.

   

7. Voer in het tekstvak voor de query het volgende in: SigninLogs | where TimeGenerated > ago(7d) | project TimeGenerated, UserDisplayName, ClientAppUsed | summarize count() by ClientAppUsed

8. Selecteer Query uitvoeren.

   

9. Selecteer cirkeldiagram in het menu Visualisatie in de werkbalk.

   

10. Selecteer Klaar met bewerken boven aan de pagina.

11. Selecteer het pictogram Opslaan om uw werkmap op te slaan.

12. Voer in het dialoogvenster dat wordt weergegeven een titel in, selecteer een resourcegroep en selecteer Toepassen.

Een query toevoegen aan een werkmapsjabloon

In deze procedure wordt uitgelegd hoe u een query kunt toevoegen aan een bestaande werkmapsjabloon. Het voorbeeld is gebaseerd op een query die de distributie van de voorwaardelijke toegang in verhouding tot fouten laat zien.

1. Meld u aan bij het Microsoft Entra-beheercentrum als minimaal een rapportlezer.

2. Blader naar Werkmappen voor identiteitsbewaking>en -status>.

3. Selecteer inzichten en rapportage voor voorwaardelijke toegang in de sectie Voorwaardelijke toegang.

   

4. Selecteer Bewerken op de werkbalk.

   

5. Selecteer in de werkbalk de drie puntjes naast de knop Bewerken, voeg het toe en voeg vervolgens een query toe.

   

6. Voer in het tekstvak voor de query het volgende in: SigninLogs | where TimeGenerated > ago(20d) | where ConditionalAccessPolicies != "[]" | summarize dcount(UserDisplayName) by bin(TimeGenerated, 1d), ConditionalAccessStatus

7. Selecteer Query uitvoeren.

   

8. Selecteer Instellen in query in het menu Tijdsbereik.

9. Selecteer Staafdiagram in het menu Visualisatie.

10. Open de geavanceerde instellingen.

11. Typ en selecteer Gereed bewerken in het veld Grafiektitel.Conditional Access status over the last 20 days

    

In het diagram voor geslaagde en mislukte voorwaardelijke toegang wordt een momentopname met kleurcode van uw tenant weergegeven.

Volgende stap

Logboeken streamen naar een Event Hub