Denetim günlüğüne erişme, dışarı aktarma ve filtreleme

Azure DevOps Services

Not

Denetim şu anda genel önizleme aşamasındadır.

Azure DevOps denetimi, güvenlik ve uyumluluğu korumanıza yardımcı olmak için kuruluş düzeyinde etkinlikleri günlüğe kaydeder. Bu makalede denetimi etkinleştirme, denetim günlüğüne erişme ve filtreleme ve denetim olaylarını dışarı aktarma açıklanmaktadır.

Önemli

Denetim yalnızca Microsoft Entra ID tarafından yönetilen kuruluşlarda kullanılabilir. Daha fazla bilgi için bkz. Kuruluşunuzu Microsoft Entra ID bağlama.

Kuruluş içindeki bir kullanıcı veya hizmet kimliği bir nesnenin durumunu değiştirdiğinde, bir denetim olayı kaydedilir. Günlüğe kaydedilen olaylara örnek olarak şunlar verilebilir:

  • İzin değişiklikleri
  • Silinen kaynaklar
  • Dal ilkesi değişiklikleri
  • Kayıt erişimi ve indirmeler

Olayların tam listesi için bkz. Denetleme Olayları.

Denetim olayları 90 gün boyunca depolanır ve daha sonra silinir. Denetim verilerini daha uzun süre saklamak için olayları bir dış konuma yedekleyin veya denetim akışını kullanın.

Azure DevOps Server'ın şirket içi dağıtımlarında denetim kullanılamaz. Ancak, bir Azure DevOps Services örneğinden splunk'un şirket içi veya bulut tabanlı örneğine denetim akışı bağlayabilirsiniz. Gelen bağlantılar için IP aralıklarına izin verdiğinizden emin olun. Ayrıntılar için bkz . İzin verilen adres listeleri ve ağ bağlantıları, IP adresleri ve aralık kısıtlamaları.

Tip

Bu makalenin devamında AI kullanarak bu göreve yardımcı olabilirsiniz veya başlamak için Azure DevOps MCP Server ile yapay zeka yardımı sağlama konusuna bakın.

Önkoşullar

Denetim, tüm Azure DevOps Hizmetleri kuruluşları için varsayılan olarak kapalıdır. Hassas denetim bilgilerine yalnızca yetkili personelin erişebildiğinden emin olun.

Kategori Gereksinimler
Permissions - Proje Koleksiyonu Yöneticileri grubunun üyesi (kuruluş sahipleri otomatik olarak üyedir) veya
- Kullanıcı veya grup başına izin ver olarak ayarlanan aşağıdaki denetim izinleri: Denetim akışlarını yönetme, Denetim günlüğünü görüntüleme.

Proje Koleksiyonu Yöneticileri, denetim akışlarını silme dahil olmak üzere kuruluş akışlarını yönetmek için tüm kullanıcılara veya gruplara bu izinleri verebilir.

Not

Kuruluş için Belirli projelerde kullanıcı görünürlüğünü ve işbirliğini sınırla önizleme özelliği etkinleştirildiyse, Project-Scoped Kullanıcılar grubundaki kullanıcılar Denetim'e erişemez ve Kuruluş ayarları sayfalarına sınırlı erişime sahip olur. Daha fazla bilgi ve güvenlikle ilgili önemli ayrıntılar için bkz . Projeler için kullanıcı görünürlüğünü sınırlama ve daha fazlası.

Denetimi etkinleştirme ve devre dışı bırakma

  1. Kuruluşunuzda oturum açın (https://dev.azure.com/{yourorganization}).

  2. Dişli simgesi Kuruluş ayarları'nı seçin.

  3. Güvenlik başlığı altında İlkeler'i seçin.

  4. Denetim Olaylarını Günlüğe Kaydet düğmesini AÇIN.

    Denetim ilkesinin etkinleştirildiğinin ekran görüntüsü.

    Bu eylem kuruluş için denetimi etkinleştirir. Sayfayı yenileyin ve kenar çubuğunda Denetim görüntülenir. Denetim olayları Denetim Günlükleri'nde ve yapılandırılmış denetim akışları aracılığıyla görünmeye başlar.

  5. Artık denetim olaylarını almak istemiyorsanız Denetimi Etkinleştir düğmesini KAPALI duruma getirin. Bu eylem, Denetim sayfasını kenar çubuğundan kaldırır ve Denetim Günlükleri sayfasını kullanılamaz duruma getirir. Tüm denetim akışları olayları almayı durdurur.

Erişim denetimi

  1. Kuruluşunuzda oturum açın (https://dev.azure.com/{yourorganization}).

  2. Dişli simgesi Kuruluş ayarları'nı seçin.

    Vurgulanan Kuruluş ayarları düğmesini gösteren ekran görüntüsü.

  3. Denetim'i seçin.

    Denetim önizleme sayfası

  4. Denetim, Kuruluş ayarlarında görünmüyorsa, denetim olaylarına erişiminiz yoktur. Proje Koleksiyonu Yöneticileri grubu, denetim sayfalarına erişebilmeleri için diğer kullanıcılara ve gruplara izin verebilir. Bunu yapmak için İzinler'i seçin ve denetim erişimi sağlayacak grubu veya kullanıcıları bulun.

    Vurgulanan İzinler sekmesinin ekran görüntüsü.

  5. Denetim günlüğünü görüntüle'yiİzin Ver olarak ayarlayın ve ardından Değişiklikleri kaydet'i seçin.

    Erişim izni önizlemesini denetleme işleminin ekran görüntüsü.

    Kullanıcı veya grup üyeleri artık kuruluşunuzun denetim olaylarını görüntüleme erişimine sahiptir.

Denetim günlüğünü gözden geçirme

Denetim sayfası, kuruluşunuz için kaydedilen denetim olaylarının basit bir görünümünü sağlar. Aşağıdaki tabloda , Denetim sayfasında sağlanan bilgiler açıklanmaktadır:

Olay bilgilerini ve ayrıntılarını denetleme

Bilgi Ayrıntılar
Actor (Oyuncu) Denetim olayını tetikleyen kişinin görüntülenen adı.
IP Denetim olayını tetikleyen kişinin IP adresi.
Zaman damgası Tetiklenen olayın gerçekleştiği zaman. Zaman, saat diliminize göre yerelleştirilir.
Alan olayın gerçekleştiği Azure DevOps ürün alanı.
Kategori Gerçekleşen eylem türünün açıklaması (örneğin, değiştirme, yeniden adlandırma, oluşturma, silme, kaldırma, yürütme ve erişim olayı).
Ayrıntılar Olay sırasında gerçekleştirilen işlemlerin kısa açıklaması.

Her denetim olayı, Denetim sayfasında sağlananların ötesinde ek bilgiler de kaydeder. Bu bilgiler kimlik doğrulama mekanizmasını, benzer olayları birbirine bağlamak için bir bağıntı kimliğini, kullanıcı aracısını ve denetim olayı türüne bağlı olarak daha fazla veriyi içerir. Bu bilgilere yalnızca denetim olaylarını CSV veya JSON aracılığıyla dışarı aktararak erişebilirsiniz.

Kimlik ve ilişkili kimlik

Her denetim olayının ID ve CorrelationID adlı benzersiz tanımlayıcıları vardır. Bağıntı kimliği, ilgili denetim olaylarını bulmak için kullanışlıdır. Örneğin, proje oluşturmak, tümü aynı bağıntı kimliğiyle bağlantılı olan birkaç düzine denetim olayı oluşturabilir.

Bir denetim olayı kimliği bağıntı kimliğiyle eşleştiğinde, denetim olayının üst veya özgün olay olduğunu gösterir. ID öğesinin Correlation ID değerine eşit olduğu olayları arayarak yalnızca kaynak olayları görebilirsiniz. Bir olayı ve ilgili olayları araştırmak istiyorsanız, kaynak olayın kimliğiyle eşleşen bağıntı kimliğine sahip tüm olayları arayın. Her olayın ilgili olayları yoktur.

Toplu etkinlikler

"Toplu denetim olayları" olarak bilinen bazı denetim olayları, aynı anda gerçekleşen birden çok eylemi içerir. Bu olayları, olayın sağ ucundaki Bilgi simgesiyle tanıyabilirsiniz. Toplu denetim olaylarında her eylemin ayrıntılarını görmek için indirilen denetim verilerini denetleyin.

Daha fazla bilgi denetimi simgesini gösteren ekran görüntüsü.

Bilgi simgesini seçtiğinizde denetim olayı hakkında daha fazla ayrıntı görüntülenir.

Denetim olaylarını gözden geçirirken, belirli olay türlerini filtrelemek ve bulmak için Kategori ve Alan sütunlarını kullanın. Aşağıdaki tablolarda kategorilerin ve alanların yanı sıra açıklamaları listelenir:

Olayların listesi

Ürün ekibi her ay yeni denetim olayları eklemek için çalışır. Şu anda mevcut olmayan bir etkinliğin izlenmesini istiyorsanız önerinizi Geliştirici Topluluğu'nda onlarla paylaşın.

Denetim özelliğinin yayabileceği tüm olayların kapsamlı bir listesi için Bkz. Denetim Olayları Listesi.

Not

Kuruluşunuzun hangi olay alanlarını günlüğe kaydedeceklerini öğrenmek mi istiyorsunuz? Denetim Günlüğü Sorgu API'sine göz atın: https://auditservice.dev.azure.com/{YOUR_ORGANIZATION}/_apis/audit/actions. {YOUR_ORGANIZATION} öğesini kuruluşunuzun adıyla değiştirin. Bu API, kuruluşunuzun yayabileceği tüm denetim olaylarının (veya eylemlerin) listesini döndürür.

Denetim günlüğünü tarih ve saate göre filtreleme

Geçerli Denetim kullanıcı arabiriminde olayları yalnızca tarih veya saat aralığına göre filtreleyebilirsiniz.

  1. Görüntülenen denetim olaylarını daraltmak için zaman filtresini seçin.

    Tarih ve saate göre denetim girdisi filtresini gösteren ekran görüntüsü.

  2. Filtreleri kullanarak son 90 gün içinde herhangi bir zaman aralığını seçin ve kapsamı dakika olarak daraltın.

  3. Aramayı başlatmak için zaman aralığı seçicisinde Uygula'yı seçin. Varsayılan olarak, bu zaman seçimi için ilk 200 sonuç döndürülr. Daha fazla sonuç varsa sayfaya daha fazla girdi yüklemek için aşağı kaydırabilirsiniz.

Denetim olaylarını dışarı aktarma

Denetim verileri üzerinde daha ayrıntılı bir arama yapmak veya verileri 90 günden uzun süre depolamak için mevcut denetim olaylarını dışarı aktarın. Dışarı aktarılan verileri başka bir konumda veya hizmette depolayabilirsiniz.

Denetim olaylarını dışarı aktarmak için İndir düğmesini seçin. Verileri CSV veya JSON dosyası olarak indirmeyi seçebilirsiniz.

İndirme işlemi, filtrede seçtiğiniz zaman aralığına göre olayları içerir. Örneğin, bir gün seçerseniz, bir günlük veri alırsınız. 90 günün tümünü almak için zaman aralığı filtresinden 90 gün seçin ve indirmeyi başlatın.

Not

Denetim olaylarınızın uzun süreli depolanması ve analizi için, olaylarınızı bir Güvenlik Bilgileri ve Olay Yönetimi (SIEM) aracına göndermek için Denetim Akışı özelliğini kullanmayı göz önünde bulundurun. Denetim günlüklerini yüzeysel veri analizi için dışa aktarın.

  • Verileri tarih ve saat aralığının ötesinde filtrelemek için günlükleri CSV dosyaları olarak indirin ve Alan ve Kategori sütunlarında gezinmek üzere Microsoft Excel veya diğer CSV ayrıştırıcılarına aktarın.
  • Daha büyük veri kümelerini analiz etmek için Denetim Akışı işlevini kullanarak dışarı aktarılan denetim olaylarını Güvenlik Olayı ve Olay Yönetimi (SIEM) aracına yükleyin. SIEM araçları, 90 günden fazla etkinlik tutmanıza, arama yapmanıza, raporlar oluşturmanıza ve denetim olaylarına göre uyarılar yapılandırmanıza olanak tanır.

Sınırlamalar

Sistem yalnızca aşağıdaki sınırlamaları denetleyebiliyor:

  • Microsoft Entra grup üyeliği değişiklikleri: Denetim Günlükleri, bir olay Area olduğunda GroupsAzure DevOps gruplarına ve grup üyeliğine yönelik güncelleştirmeleri içerir. Ancak, üyeliği Microsoft Entra grupları aracılığıyla yönetiyorsanız, bu günlükler söz konusu Microsoft Entra gruplarından kullanıcıların eklenmesini ve kaldırılmasını içermez. Bir kullanıcı veya grubun ne zaman eklendiğini veya bir Microsoft Entra grubundan kaldırıldığını görmek için Microsoft Entra denetim günlüklerini gözden geçirin.
  • Sign-in olayları: Azure DevOps oturum açma olaylarını izlemez. Microsoft Entra ID oturum açma olaylarını gözden geçirmek için Microsoft Entra denetim günlüklerini görüntüleyin.
  • Dolaylı kullanıcı eklemeleri: Bazı durumlarda, kullanıcılar dolaylı olarak kuruluşunuza eklenir ve denetim günlüğünde Azure DevOps Hizmetleri tarafından eklendiği şeklinde gösterilir. Örneğin, bir kullanıcıyı bir iş öğesine atarsanız, kullanıcıyı kuruluşa otomatik olarak ekleyebilirsiniz. Eklenen kullanıcı için bir denetim olayı oluşturulurken, kullanıcı ekleme işlemini tetikleyen iş öğesi ataması için buna karşılık gelen bir denetim olayı yoktur. Bu olayları izlemek için aşağıdaki eylemleri göz önünde bulundurun:
    • Bu kullanıcının herhangi bir iş öğesine atandığını görmek için ilgili zaman damgaları için iş öğesi geçmişinizi gözden geçirin.
    • Bağlam sağlayabilecek tüm ilgili olaylar için denetim günlüğünü denetleyin.

Sık sorulan sorular

S: DirectoryServiceAddMember grubu nedir ve denetim günlüğünde neden görüntüleniyor?

Y: Grup, DirectoryServiceAddMember kuruluşunuzdaki üyeliği yönetmeye yardımcı olur. Birçok sistem, kullanıcı ve yönetim eylemi bu sistem grubu üyeliğini etkileyebilir. Bu grup yalnızca iç işlemler için kullanıldığından, bu gruptaki üyelik değişikliklerini yakalayan denetim günlüğü girdilerini yoksayın.

Denetim günlüklerini sorgulamak ve analiz etmek için yapay zekayı kullanma

Azure DevOps MCP Server yapılandırıyorsanız, yapay zeka yardımcılarını kullanarak doğal dil istemlerini kullanarak denetim olaylarını sorgulayabilir ve analiz edebilirsiniz. MCP Sunucusu, yapay zeka yardımcınıza Azure DevOps verilerinize güvenli erişim sağlar; böylece denetim günlüğü dışarı aktarmaları arasında el ile filtreleme yapmadan etkinlikleri araştırabilir, değişiklikleri izleyebilir ve güvenlik sorunlarını tanımlayabilirsiniz.

Denetim günlüğü analizi için örnek istemler

Görev Örnek talimat
İzin değişikliklerini araştırma Show me all permission changes in <organization-name> over the last 7 days, including who made the change and what was modified
Olaydan sonra kullanıcı etkinliğini izleme Find all audit events for <user-email> in <organization-name> from the last 48 hours, grouped by action category
Olağan dışı silmeleri algılama List all resource deletions in <organization-name> in the past 30 days, including repos, pipelines, and projects, and who performed each deletion
PAT ve token olaylarını denetleme Show me all PAT creation, modification, and revocation events in <organization-name> this month and flag any full-scope tokens that were created
İlke değişikliklerini gözden geçirme What security policy or organization setting changes were made in <organization-name> in the last 14 days and by whom?
Uyumluluk noktası denetimi Generate a summary of audit activity in <organization-name> for the last 90 days, grouped by category - permissions, groups, policy changes, and resource modifications

Tip

Visual Studio Code kullanıyorsanız agent modu güvenlik olaylarını araştırmak için denetim olaylarını birden çok kategori arasında ilişkilendirmek için özellikle yararlıdır.

  • Önceki sorgulardan eski veya önbelleğe alınmış verileri kullanmaktan kaçınmak için isteminize Do not use previously fetched dataekleyin.

İlgili içerik

  • Last updated on