Partilhar via


Criar streaming de auditoria

Serviços de DevOps do Azure

Nota

A auditoria ainda está em fase de pré-visualização pública.

Saiba como criar um fluxo de auditoria , que envia dados para outros locais para processamento posterior. Envie dados de auditoria para outras ferramentas de Gerenciamento de Incidentes e Eventos de Segurança (SIEM) e abra novas possibilidades, como a capacidade de disparar alertas para eventos específicos, criar exibições em dados de auditoria e executar a deteção de anomalias. A configuração de um fluxo também permite armazenar mais de 90 dias de dados de auditoria, que é a quantidade máxima de dados que o Azure DevOps mantém para suas organizações.

Importante

A auditoria só está disponível para organizações apoiadas pelo Microsoft Entra ID. Para obter mais informações, consulte Conectar sua organização ao Microsoft Entra ID.

Os fluxos de auditoria representam um pipeline que flui eventos de auditoria da sua organização do Azure DevOps para um destino de fluxo. A cada meia hora ou menos, novos eventos de auditoria são agrupados e transmitidos para seus alvos. Os seguintes destinos de fluxo estão disponíveis para configuração.

Atualmente, não há suporte para espaços de trabalho vinculados privados.

Nota

A auditoria não está disponível para implantações locais do Azure DevOps Server. É possível conectar um fluxo de auditoria a uma instância local ou baseada em nuvem do Splunk, mas certifique-se de permitir intervalos de IP para conexões de entrada. Para obter detalhes, consulte Listas de endereços permitidos e conexões de rede, endereços IP e restrições de intervalo.

Pré-requisitos

Por padrão, os Administradores de Coleção de Projetos (PCAs) são o único grupo que tem acesso ao recurso de auditoria. Você deve ter as seguintes permissões:

  • Gerenciar fluxos de auditoria

  • Ver registo de auditoria

    Definir permissões de auditoria como Permitir

Essas permissões podem ser dadas a qualquer usuário ou grupo que você deseje ter para gerenciar os fluxos da sua organização. Além disso, há também uma permissão Excluir fluxos de auditoria que você pode adicionar para usuários ou grupos.

Criar um fluxo

  1. Inicie sessão na sua organização (https://dev.azure.com/{yourorganization}).

  2. Selecione ícone de engrenagem Configurações da organização.

    Captura de ecrã a mostrar o botão Definições da organização realçado.

  3. Selecione Auditoria.

    Selecione Auditoria nas configurações da organização

Nota

Se você não vir Auditoria nas Configurações da Organização, a auditoria não está habilitada no momento para sua organização. Alguém no proprietário da organização ou no grupo Administradores de Coleção de Projetos (PCAs) deve habilitar a Auditoria nas Políticas da Organização. Em seguida, você poderá ver os eventos na página Auditoria se tiver as permissões apropriadas.

  1. Vá para a guia Fluxos e selecione Novo fluxo.

    Selecione Novo fluxo para criar seu novo fluxo de auditoria.

  2. Selecione o destino de fluxo que você deseja configurar e, em seguida, selecione uma das instruções a seguir para configurar seu tipo de destino de fluxo.

Nota

Neste momento, você só pode ter 2 fluxos para cada tipo de destino.

Criar pop-out da caixa de diálogo de fluxo

Configurar um fluxo do Splunk

Os fluxos enviam dados para o Splunk por meio do ponto de extremidade HTTP Event Collector.

  1. Habilite esse recurso no Splunk. Para obter mais informações, consulte esta documentação do Splunk.

    Depois de habilitado, você deve ter um token HTTP Event Collector e a URL para sua instância Splunk. Você precisa do token e da URL para criar um fluxo Splunk.

    Nota

    Ao criar um novo token do Coletor de Eventos no Splunk, não marque "Ativar confirmação do indexador". Se estiver marcada, nenhum evento fluirá para o Splunk. Você pode editar o token no Splunk para remover essa configuração.

  2. Insira o URL do Splunk, que é o ponteiro para a instância do Splunk. Certifique-se de especificar uma porta no final da URL. A porta padrão é 8088, portanto, sua URL seria semelhante a https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 ou https://prd-p-2k3mp2xhznbs.splunkcloud.com.

  3. Insira o token de coletor de eventos que você criou no campo de token. O token é armazenado com segurança no Azure DevOps e nunca mais exibido na interface do usuário. Recomendamos girar o token regularmente, o que você pode fazer obtendo um novo token do Splunk e editando o fluxo.

    Insira o tópico, o ponto de extremidade e a chave de acesso que você anotou anteriormente

  4. Selecione Configurar e o seu fluxo está configurado.

Os eventos começam a chegar ao Splunk dentro de meia hora ou menos.

Configurar um fluxo de Grade de Eventos

  1. Crie um tópico de Grade de Eventos no Azure.

  2. Anote o "Ponto de extremidade do tópico" e uma das duas "Chaves de acesso". Use essas informações para criar a conexão de grade de eventos.

    Informações da Grade de Eventos do Azure

  3. Insira o tópico endpoint e uma das chaves de acesso. A chave de acesso é armazenada com segurança no Azure DevOps e nunca mais exibida na interface do usuário. Gire a chave de acesso regularmente, o que você pode fazer obtendo uma nova chave da Grade de Eventos do Azure e editando o fluxo

    Insira o ID do espaço de trabalho e a chave primária para criar

Depois de configurar o fluxo da Grade de Eventos, você pode configurar assinaturas na Grade de Eventos para enviar os dados para praticamente qualquer lugar no Azure.

Configurar um fluxo de Log do Azure Monitor

  1. Crie um espaço de trabalho do Log Analytics.

  2. Abra o espaço de trabalho e selecione Agentes.

  3. Selecione as instruções do agente do Log Analytics para exibir o ID do espaço de trabalho e a chave primária.

  4. Anote o ID do espaço de trabalho e a chave primária.

    Anote a ID do espaço de trabalho e a chave primária

  5. Configure seu fluxo de log do Azure Monitor seguindo as mesmas etapas iniciais para criar um fluxo.

  6. Para opções de destino, selecione Azure Monitor Logs.

  7. Insira o ID do espaço de trabalho e a chave primária e selecione Configurar. A chave primária é armazenada com segurança no Azure DevOps e nunca mais exibida na interface do usuário. Gire a chave regularmente, o que você pode fazer obtendo uma nova chave do Log do Azure Monitor e editando o fluxo.

    Insira o ID do espaço de trabalho e a chave primária e selecione Configurar.

O fluxo é ativado e novos eventos começam a fluir dentro de meia hora ou menos. Você pode fazer referência à tabela AzureDevOpsAuditing.

Nota

O tempo de retenção padrão para os Logs do Azure Monitor é de apenas 30 dias. Você pode configurar e escolher uma retenção mais longa selecionando Retenção de dados em Uso e custos estimados nas configurações do espaço de trabalho. Isto implica custos adicionais. Consulte a documentação para gerir a utilização e os custos com os Registos do Azure Monitor para obter mais detalhes.

Editar um fluxo

Os detalhes sobre o seu alvo de fluxo podem mudar ao longo do tempo. Para refletir essas alterações em seus streams, você pode editá-las. Para editar um fluxo, verifique se você tem a permissão Gerenciar fluxos de auditoria.

  1. Ao lado do fluxo que você deseja editar, selecione os três pontos verticais à direita e, em seguida, selecione Editar fluxo.

    Selecione Editar fluxo

  2. Selecione Guardar.

Os parâmetros disponíveis para edição diferem de acordo com o tipo de fluxo.

Desativar um fluxo

  1. Ao lado do fluxo que você deseja desabilitar, mova a alternância Ativado de Ativado para Desativado.
    Quando os fluxos encontram uma falha, eles podem ser desativados. Você pode obter detalhes sobre a falha no status mostrado ao lado do fluxo ou selecionando Editar fluxo. Você também pode desativar um fluxo manualmente e, em seguida, reativá-lo mais tarde.

    Mover alternância para Desativado para desativar o fluxo

  2. Selecione Guardar.

Você pode reativar um fluxo desativado. Ele recupera todos os eventos de auditoria que foram perdidos nos sete dias anteriores. Dessa forma, você não perde nenhum evento da duração em que o fluxo foi desativado.

Nota

Se um fluxo estiver desativado por mais de 7 dias, os eventos com mais de 7 dias não serão incluídos na recuperação.

Excluir um fluxo

Para excluir um fluxo, verifique se você tem a permissão Excluir fluxos de auditoria.

Importante

Depois de excluir um fluxo, você não pode recuperá-lo.

  1. Passe o cursor sobre o fluxo que deseja excluir e selecione os três pontos verticais à direita.

  2. Selecione Excluir fluxo.

    Selecione Excluir fluxo e ele será removido

  3. Selecione Confirmar.

Seu fluxo é removido. Os eventos que não foram enviados antes da exclusão não são enviados.