Streamování protokolů aktivit do centra událostí
Váš tenant Microsoft Entra vytváří velké objemy dat každou sekundu. Přihlašovací aktivita a protokoly změn provedených ve vašem tenantovi se sčítají do velkého množství dat, která je obtížné analyzovat. Integrace s nástroji SIEM (Security Information and Event Management) vám může pomoct získat přehled o vašem prostředí.
Tento článek ukazuje, jak můžete streamovat protokoly do centra událostí a integrovat je s jedním z několika nástrojů SIEM.
Požadavky
Pokud chcete streamovat protokoly do nástroje SIEM, musíte nejprve vytvořit centrum událostí Azure. Informace o tom, jak vytvořit centrum událostí.
Jakmile budete mít centrum událostí, které obsahuje protokoly aktivit Microsoft Entra, můžete nastavit integraci nástroje SIEM pomocí nastavení diagnostiky Microsoft Entra.
Streamování protokolů do centra událostí
Tip
Postup v tomto článku se může mírně lišit v závislosti na portálu, od který začínáte.
Přihlaste se do Centra pro správu Microsoft Entra jako alespoň bezpečnostní Správa istrator.
Přejděte do nastavení diagnostiky stavu a>monitorování identit>. Exportovat Nastavení můžete také vybrat na stránce Protokoly auditu nebo Přihlášení.
Vyberte + Přidat nastavení diagnostiky a vytvořte novou integraci nebo vyberte Upravit nastavení pro existující integraci.
Zadejte název nastavení diagnostiky. Pokud upravujete existující integraci, nemůžete název změnit.
Vyberte kategorie protokolů, které chcete streamovat.
Zaškrtněte políčko Stream do centra událostí.
Vyberte předplatné Azure, obor názvů služby Event Hubs a volitelné centrum událostí, do kterého chcete protokoly směrovat.
Předplatné i obor názvů služby Event Hubs musí být přidružené k tenantovi Microsoft Entra, ze kterého protokoly streamujete.
Jakmile budete mít centrum událostí Azure připravené, přejděte k nástroji SIEM, který chcete integrovat s protokoly aktivit. Proces dokončíte v nástroji SIEM.
V současné době podporujeme Splunk, SumoLogic a ArcSight. Začněte výběrem karty. Projděte si dokumentaci k nástroji.
Pokud chcete tuto funkci použít, potřebujete doplněk Splunk pro cloudové služby Microsoftu.
Integrace protokolů Microsoft Entra s Splunk
Otevřete instanci Splunk a vyberte Souhrn dat.
Vyberte kartu Zdrojové typy a pak vyberte mscs:azure:eventhub.
Připojte body.records.category=AuditLogs k hledání. Protokoly aktivit Microsoft Entra se zobrazují na následujícím obrázku:
Pokud v instanci Splunk nemůžete nainstalovat doplněk (například pokud používáte proxy server nebo používáte Splunk Cloud), můžete tyto události předat kolektoru událostí SPlunk HTTP. K tomu použijte tuto funkci Azure, která se aktivuje novými zprávami v centru událostí.
Možnosti integrace protokolu aktivit a důležité informace
Pokud váš aktuální siEM ještě není v diagnostice služby Azure Monitor podporovaný, můžete pomocí rozhraní API služby Event Hubs nastavit vlastní nástroje . Další informace najdete v tématu Začínáme s přijímáním zpráv z centra událostí.
IBM QRadar je další možností integrace s protokoly aktivit Microsoft Entra. DsM a protokol Azure Event Hubs jsou k dispozici ke stažení na podporu IBM. Další informace o integraci s Azure najdete na webu IBM QRadar Security Intelligence Platform 7.3.0.
Některé kategorie přihlašování obsahují velké objemy dat protokolu v závislosti na konfiguraci vašeho tenanta. Obecně platí, že neinteraktivní přihlášení uživatelů a instanční objekty můžou být 5 až 10krát větší než interaktivní přihlášení uživatelů.