Streamování protokolů aktivit do centra událostí
Váš tenant Microsoft Entra vytváří velké objemy dat každou sekundu. Přihlašovací aktivita a protokoly změn provedených ve vašem tenantovi se přidávají k tolika datům, která je obtížné analyzovat. Integrace s nástroji SIEM (Security Information and Event Management) vám může pomoct získat přehled o vašem prostředí.
Tento článek ukazuje, jak můžete streamovat protokoly do centra událostí a integrovat je s jedním z několika nástrojů SIEM.
Požadavky
- Předplatné Azure. Pokud předplatné Azure nemáte, můžete si zaregistrovat bezplatnou zkušební verzi.
- Centrum událostí Azure, které je už nastavené. Informace o tom, jak vytvořit centrum událostí.
- Přístup správce zabezpečení k vytvoření obecného nastavení diagnostiky pro tenanta Microsoft Entra
- Přístup správce protokolu atributů k vytvoření nastavení diagnostiky pro vlastní protokoly atributů zabezpečení.
Streamování protokolů do centra událostí
Tip
Postup v tomto článku se může mírně lišit v závislosti na portálu, od který začínáte.
Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce zabezpečení.
Přejděte do nastavení diagnostiky stavu a>monitorování identit>. Nastavení exportu můžete také vybrat na stránce Protokoly auditu nebo Přihlášení.
Vyberte + Přidat nastavení diagnostiky a vytvořte novou integraci nebo vyberte Upravit nastavení pro existující integraci.
Zadejte název nastavení diagnostiky. Pokud upravujete existující integraci, nemůžete název změnit.
Vyberte kategorie protokolů, které chcete streamovat.
Zaškrtněte políčko Stream do centra událostí.
Vyberte předplatné Azure, obor názvů služby Event Hubs a volitelné centrum událostí, do kterého chcete protokoly směrovat.
Předplatné i obor názvů služby Event Hubs musí být přidružené k tenantovi Microsoft Entra, ze kterého protokoly streamujete.
Jakmile budete mít centrum událostí Azure připravené, přejděte k nástroji SIEM, který chcete integrovat s protokoly aktivit. Proces je dokončen v nástroji SIEM.
V současné době podporujeme Splunk, SumoLogic a ArcSight. Začněte výběrem karty. Projděte si dokumentaci k nástroji.
Pokud chcete tuto funkci použít, potřebujete doplněk Splunk pro cloudové služby Microsoftu.
Integrace protokolů Microsoft Entra s Splunk
Otevřete instanci Splunk a vyberte Souhrn dat.
Vyberte kartu Zdrojové typy a pak vyberte mscs:azure:eventhub.
Připojte body.records.category=AuditLogs k hledání. Protokoly aktivit Microsoft Entra se zobrazují na následujícím obrázku:
Pokud v instanci Splunk nemůžete nainstalovat doplněk (například pokud používáte proxy server nebo používáte Splunk Cloud), můžete tyto události předat kolektoru událostí SPlunk HTTP. K tomu použijte tuto funkci Azure, která se aktivuje novými zprávami v centru událostí.
Možnosti integrace protokolu aktivit a důležité informace
Pokud váš aktuální siEM ještě není v diagnostice služby Azure Monitor podporovaný, můžete pomocí rozhraní API služby Event Hubs nastavit vlastní nástroje . Další informace najdete v tématu Začínáme s přijímáním zpráv z centra událostí.
IBM QRadar je další možností integrace s protokoly aktivit Microsoft Entra. DsM a protokol Azure Event Hubs jsou k dispozici ke stažení na podporu IBM. Další informace o integraci s Azure najdete na webu IBM QRadar Security Intelligence Platform 7.3.0.
Některé kategorie přihlašování obsahují velké objemy dat protokolu v závislosti na konfiguraci vašeho tenanta. Obecně platí, že neinteraktivní přihlášení uživatelů a instanční objekty můžou být 5 až 10krát větší než interaktivní přihlášení uživatelů.