Samouczek: konfigurowanie obszaru roboczego usługi Log Analytics

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

• Skonfiguruj obszar roboczy usługi Log Analytics dla dzienników audytu i logowania
• Uruchamianie zapytań przy użyciu język zapytań Kusto (KQL)
• Tworzenie skoroszytu niestandardowego przy użyciu szablonu szybkiego startu
• Dodawanie zapytania do istniejącego szablonu skoroszytu

Wymagania wstępne

Do analizowania dzienników aktywności za pomocą usługi Log Analytics potrzebne są następujące role i wymagania:

• Licencjonowanie monitorowania i kondycji firmy Microsoft Entra

• Obszar roboczy usługi Log Analytics idostęp do tego obszaru roboczego

• Odpowiednia rola dla usługi Azure Monitor:

  • Monitorujący czytnik
  • Czytelnik usługi Log Analytics
  • Współautor monitorowania
  • Współautor usługi Log Analytics

• Odpowiednia rola dla identyfikatora Entra firmy Microsoft:

  • Czytelnik raportów
  • Przeglądarka zabezpieczeń
  • Globalny Czytelnik
  • Administrator zabezpieczeń

Zapoznaj się z następującymi artykułami:

• Samouczek: zbieranie i analizowanie dzienników zasobów z zasobu platformy Azure

• Jak zintegrować dzienniki aktywności z usługą Log Analytics

• Zarządzanie kontem dostępu awaryjnego w usłudze Microsoft Entra ID

• Szybki przegląd KQL

• Skoroszyty usługi Azure Monitor

Konfigurowanie usługi Log Analytics

W tej procedurze opisano sposób konfigurowania obszaru roboczego usługi Log Analytics na potrzeby dzienników inspekcji i logowania. Aby skonfigurować obszar roboczy usługi Log Analytics, należy utworzyć obszar roboczy , a następnie skonfigurować ustawienia diagnostyczne.

Tworzenie obszaru roboczego

1. Zaloguj się do witryny Azure Portal jako co najmniej administrator zabezpieczeń i współautor usługi Log Analytics.

2. Przejdź do obszarów roboczych usługi Log Analytics.

3. Wybierz pozycję Utwórz.

   

4. Na stronie Tworzenie obszaru roboczego usługi Log Analytics wykonaj następujące kroki:

   1. Wybierz subskrypcję.

   2. Wybierz grupę zasobów.

   3. Nadaj obszarowi roboczemu nazwę.

   4. Wybierz swój region.

   

5. Wybierz pozycję Przejrzyj i utwórz.

6. Wybierz pozycję Utwórz i poczekaj na wdrożenie. Może być konieczne odświeżenie strony, aby wyświetlić nowy obszar roboczy.

Konfigurowanie ustawień diagnostycznych

Aby skonfigurować ustawienia diagnostyczne, musisz przełączyć się do centrum administracyjnego firmy Microsoft Entra, aby wysłać informacje dziennika tożsamości do nowego obszaru roboczego.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator zabezpieczeń.

2. Przejdź do Tożsamość>Monitorowanie i kondycja>Ustawienia diagnostyczne.

3. Wybierz pozycję Dodaj ustawienia diagnostyczne.

   

4. Na stronie Ustawienia diagnostyczne wykonaj następujące kroki:

   1. Podaj nazwę ustawień diagnostyki.

   2. W obszarze Dzienniki wybierz pozycję AuditLogs i SigninLogs.

   3. W obszarze Szczegóły lokalizacji docelowej wybierz pozycję Wyślij do usługi Log Analytics, a następnie wybierz nowy obszar roboczy analizy dzienników.

   4. Wybierz pozycję Zapisz.

   

Dzienniki można teraz przeszukiwać za pomocą języka zapytań Kusto (KQL) w Log Analytics. Może być konieczne odczekenie około 15 minut na wypełnienie dzienników.

Uruchamianie zapytań w usłudze Log Analytics

W tej procedurze pokazano, jak uruchamiać zapytania przy użyciu język zapytań Kusto (KQL).

Uruchamianie zapytania

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej czytelnik raportów.

2. Przejdź do Tożsamość>Monitorowanie i kondycja>Analiza dzienników.

3. W polu tekstowym Wyszukaj wpisz zapytanie i wybierz pozycję Uruchom.

Przykłady zapytań języka KQL

Pobierz 10 losowych wpisów z danych wejściowych:

• SigninLogs | take 10

Spójrz na logowania, w których dostęp warunkowy był sukcesem:

• SigninLogs | where ConditionalAccessStatus == "success" | project UserDisplayName, ConditionalAccessStatus

Liczba sukcesów:

• SigninLogs | where ConditionalAccessStatus == "success" | project UserDisplayName, ConditionalAccessStatus | count

Łączna liczba pomyślnych logowań na dzień i użytkownika.

• SigninLogs | where ConditionalAccessStatus == "success" | summarize SuccessfulSign-ins = count() by UserDisplayName, bin(TimeGenerated, 1d)

Wyświetl, ile razy użytkownik wykonuje określoną operację w określonym przedziale czasu:

• AuditLogs | where TimeGenerated > ago(30d) | where OperationName contains "Add member to role" | summarize count() by OperationName, Identity

Przestaw wyniki według nazwy operacji

• AuditLogs | where TimeGenerated > ago(30d) | where OperationName contains "Add member to role" | project OperationName, Identity | evaluate pivot(OperationName)

Połącz dzienniki inspekcji i logowania przy użyciu sprzężenia wewnętrznego:

• AuditLogs |where OperationName contains "Add User" |extend UserPrincipalName = tostring(TargetResources[0].userPrincipalName) | |project TimeGenerated, UserPrincipalName |join kind = inner (SigninLogs) on UserPrincipalName |summarize arg_min(TimeGenerated, *) by UserPrincipalName |extend SigninDate = TimeGenerated

Wyświetl liczbę logowań w zależności od typu aplikacji klienckiej.

• SigninLogs | summarize count() by ClientAppUsed

Policz logowania według dnia:

• SigninLogs | summarize NumberOfEntries=count() by bin(TimeGenerated, 1d)

Wykonaj pięć losowych wpisów i przeprojektuj kolumny, które chcesz zobaczyć w wynikach:

• SigninLogs | take 5 | project ClientAppUsed, Identity, ConditionalAccessStatus, Status, TimeGenerated

Weź 5 pierwszych w kolejności malejącej i przeprojektuj kolumny, które chcesz zobaczyć:

• SigninLogs | take 5 | project ClientAppUsed, Identity, ConditionalAccessStatus, Status, TimeGenerated

Utwórz nową kolumnę, łącząc wartości z dwiema innymi kolumnami:

• SigninLogs | limit 10 | extend RiskUser = strcat(RiskDetail, "-", Identity) | project RiskUser, ClientAppUsed

Tworzenie skoroszytu niestandardowego

W tej procedurze pokazano, jak utworzyć nowy skoroszyt przy użyciu szablonu szybkiego startu.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator zabezpieczeń.

2. Przejdź do Tożsamość>Monitorowanie i kondycja>Skoroszyty.

3. W sekcji Szybki start wybierz pozycję Puste.

   

4. Z menu Dodaj wybierz pozycję Dodaj tekst.

   

5. W polu tekstowym wprowadź # Client apps used in the past week i wybierz pozycję Gotowe edytowanie.

   

6. Poniżej okna tekstowego otwórz menu Dodaj i wybierz pozycję Dodaj zapytanie.

   

7. W polu tekstowym zapytania wprowadź: SigninLogs | where TimeGenerated > ago(7d) | project TimeGenerated, UserDisplayName, ClientAppUsed | summarize count() by ClientAppUsed

8. Wybierz pozycję Uruchom zapytanie.

   

9. Na pasku narzędzi wybierz z menu Wizualizacje opcję Wykres kołowy.

   

10. Wybierz pozycję Gotowe edytowanie w górnej części strony.

11. Wybierz ikonę Zapisz , aby zapisać skoroszyt.

12. W wyświetlonym oknie dialogowym wprowadź tytuł, wybierz grupę zasobów i wybierz pozycję Zastosuj.

Dodawanie zapytania do szablonu skoroszytu

Ta procedura przedstawia sposób dodawania zapytania do istniejącego szablonu skoroszytu. Przykład jest oparty na zapytaniu, które pokazuje rozkład powodzenia dostępu warunkowego do niepowodzeń.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej czytelnik raportów.

2. Przejdź do Tożsamość>Monitorowanie i kondycja>Skoroszyty.

3. W sekcji Dostęp warunkowy wybierz pozycję Szczegółowe informacje i raportowanie dostępu warunkowego.

   

4. Na pasku narzędzi wybierz pozycję Edytuj.

   

5. Na pasku narzędzi wybierz trzy kropki obok przycisku Edytuj, a następnie pozycję Dodaj, a następnie dodaj zapytanie.

   

6. W polu tekstowym zapytania wprowadź: SigninLogs | where TimeGenerated > ago(20d) | where ConditionalAccessPolicies != "[]" | summarize dcount(UserDisplayName) by bin(TimeGenerated, 1d), ConditionalAccessStatus

7. Wybierz pozycję Uruchom zapytanie.

   

8. Z menu Zakresu czasu wybierz pozycję Ustaw w zapytaniu.

9. Z menu Wizualizacja wybierz Wykres słupkowy.

10. Wybierz pozycję Ustawienia zaawansowane.

    

11. W polu Tytuł wykresu wprowadź Conditional Access status over the last 20 days i wybierz Zakończ edycję.

    

Wykres sukcesów i niepowodzeń dostępu warunkowego wyświetla kolorową migawkę konta dzierżawcy.

Następny krok

Streamowanie dzienników do centrum zdarzeń