Como transmitir logs de atividades para um hub de eventos

Seu locatário do Microsoft Entra produz grandes quantidades de dados a cada segundo. A atividade de início de sessão e os registos das alterações efetuadas no seu inquilino somam tantos dados que podem ser difíceis de analisar. A integração com ferramentas de gerenciamento de eventos e informações de segurança (SIEM) pode ajudá-lo a obter informações sobre seu ambiente.

Este artigo mostra como você pode transmitir seus logs para um hub de eventos, para integrar com uma das várias ferramentas SIEM.

Pré-requisitos

• Uma subscrição do Azure. Se não tiver uma subscrição do Azure, pode inscrever-se para obter uma avaliação gratuita.
• Um hub de eventos do Azure que já está configurado. Saiba como criar um hub de eventos.
• Acesso de administrador de segurança para criar configurações gerais de diagnóstico para o locatário do Microsoft Entra.
• Acesso de Administrador de Log de Atributos para criar configurações de diagnóstico para logs de atributos de segurança personalizados.

Transmitir logs para um hub de eventos

Gorjeta

As etapas neste artigo podem variar ligeiramente com base no portal a partir do qual você começou.

1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Segurança.

2. Navegue até Monitoramento de identidade>& configurações de diagnóstico de integridade>. Você também pode selecionar Configurações de exportação na página Logs de auditoria ou Entradas .

3. Selecione + Adicionar configuração de diagnóstico para criar uma nova integração ou selecione Editar configuração para uma integração existente.

4. Insira um nome de configuração de diagnóstico. Se você estiver editando uma integração existente, não poderá alterar o nome.

5. Selecione as categorias de log que você deseja transmitir.

6. Marque a caixa de seleção Transmitir para um hub de eventos.

7. Selecione a assinatura do Azure, o namespace dos Hubs de Eventos e o hub de eventos opcional para onde você deseja rotear os logs.

A assinatura e o namespace Hubs de Eventos devem estar associados ao locatário do Microsoft Entra de onde você está transmitindo os logs.

Depois de ter o hub de eventos do Azure pronto, navegue até a ferramenta SIEM que deseja integrar com os logs de atividades. O processo é concluído na ferramenta SIEM.

Atualmente, suportamos Splunk, SumoLogic e ArcSight. Selecione uma guia para começar. Consulte a documentação da ferramenta.

Splunk

Para usar esse recurso, você precisa do complemento Splunk para Microsoft Cloud Services.

Integre logs do Microsoft Entra com o Splunk

1. Abra sua instância do Splunk e selecione Resumo de dados.

   

2. Selecione a guia Sourcetypes e, em seguida, selecione mscs:azure:eventhub

   

Anexe body.records.category=AuditLogs à pesquisa. Os logs de atividade do Microsoft Entra são mostrados na figura a seguir:

Se não for possível instalar um complemento em sua instância do Splunk (por exemplo, se estiver usando um proxy ou executando no Splunk Cloud), você poderá encaminhar esses eventos para o Coletor de Eventos HTTP do Splunk. Para fazer isso, use essa função do Azure, que é acionada por novas mensagens no hub de eventos.

SumoLogic

Para usar esse recurso, você precisa de uma assinatura habilitada para logon único SumoLogic.

Integre logs do Microsoft Entra com o SumoLogic

1. Configure sua instância SumoLogic para coletar logs para o Microsoft Entra ID.

2. Instale o aplicativo Microsoft Entra SumoLogic para usar os painéis pré-configurados que fornecem análise em tempo real do seu ambiente.

   

ArcSight

Para usar esse recurso, você precisa de uma instância configurada do ArcSight Syslog NG Daemon SmartConnector (SmartConnector) ou do ArcSight Load Balancer. Se os eventos forem enviados para o ArcSight Load Balancer, eles serão enviados para o SmartConnector pelo Load Balancer.

Baixe e abra o guia de configuração do ArcSight SmartConnector for Azure Monitor Event Hubs. Este guia contém as etapas necessárias para instalar e configurar o ArcSight SmartConnector for Azure Monitor.

Integre logs do Microsoft Entra com o ArcSight

1. Conclua as etapas na seção Pré-requisitos do guia de configuração do ArcSight. Esta seção inclui as seguintes etapas:

   • Defina permissões de usuário no Azure para garantir que haja um usuário com a função de proprietário para implantar e configurar o conector.
   • Abra portas no servidor com o Syslog NG Daemon SmartConnector para que seja acessível a partir do Azure.
   • A implantação executa um script do PowerShell, portanto, você deve habilitar o PowerShell para executar scripts na máquina em que deseja implantar o conector.

2. Siga as etapas na seção Implantando o conector do guia de configuração do ArcSight para implantar o conector. Esta seção orienta você sobre como baixar e extrair o conector, configurar as propriedades do aplicativo e executar o script de implantação da pasta extraída.

3. Use as etapas em Verificando a implantação no Azure para garantir que o conector esteja configurado e funcione corretamente. Verifique os seguintes pré-requisitos:

   • As funções necessárias do Azure são criadas na sua subscrição do Azure.
   • Os logs do Microsoft Entra são transmitidos para o destino correto.
   • As configurações do aplicativo de sua implantação são mantidas nas Configurações do Aplicativo nos Aplicativos de Função do Azure.
   • Um novo grupo de recursos para o ArcSight é criado no Azure, com um aplicativo Microsoft Entra para o conector ArcSight e contas de armazenamento contendo os arquivos mapeados no formato CEF.

4. Conclua as etapas pós-implantação nas Configurações pós-implantação do guia de configuração do ArcSight. Esta seção explica como executar outra configuração se você estiver em um Plano do Serviço de Aplicativo para evitar que os aplicativos de função fiquem ociosos após um período de tempo limite, configurar o streaming de logs de recursos do hub de eventos e atualizar o certificado de armazenamento de chaves SysLog NG Daemon SmartConnector para associá-lo à conta de armazenamento recém-criada.

5. O guia de configuração também explica como personalizar as propriedades do conector no Azure e como atualizar e desinstalar o conector. Há também uma seção sobre melhorias de desempenho, incluindo a atualização para um plano de Consumo do Azure e a configuração de um ArcSight Load Balancer se a carga de eventos for maior do que a que um único Syslog NG Daemon SmartConnector pode lidar.

Opções e considerações sobre a integração do log de atividades

Se o seu SIEM atual ainda não tiver suporte no diagnóstico do Azure Monitor, você poderá configurar ferramentas personalizadas usando a API de Hubs de Eventos. Para saber mais, veja Começar a receber mensagens a partir de um hub de eventos.

O IBM QRadar é outra opção para integração com logs de atividade do Microsoft Entra. O DSM e o Azure Event Hubs Protocol estão disponíveis para download no suporte da IBM. Para obter mais informações sobre a integração no Azure, aceda ao site IBM QRadar Security Intelligence Platform 7.3.0.

Algumas categorias de início de sessão contêm grandes quantidades de dados de registo, dependendo da configuração do seu inquilino. Em geral, os logins de usuário não interativos e os logins de entidade de serviço podem ser de 5 a 10 vezes maiores do que os logins de usuário interativos.

Próximos passos

• Analisar logs de atividade do Microsoft Entra com logs do Azure Monitor
• Usar o Microsoft Graph para acessar os logs de atividades do Microsoft Entra