Aktivera säkerhetsgranskningar för Azure Active Directory Domain Services

Azure Active Directory Med Domain Services(Azure AD DS)-säkerhetsgranskningar kan Azure strömma säkerhetshändelser till målresurser. Dessa resurser omfattar Azure Storage, Azure Log Analytics-arbetsytor eller Azure Event Hub. När du aktiverar säkerhetsgranskningshändelser skickar Azure AD DS alla granskade händelser för den valda kategorin till målresursen.

Du kan arkivera händelser i Azure Storage och strömma händelser till programvara för säkerhetsinformation och händelsehantering (SIEM) (eller motsvarande) med hjälp av Azure Event Hubs, eller göra din egen analys och använda Azure Log Analytics-arbetsytor från Azure Portal.

Mål för säkerhetsgranskning

Du kan använda Azure Storage, Azure Event Hubs eller Azure Log Analytics-arbetsytor som en målresurs för Azure AD DS säkerhetsgranskningar. Dessa mål kan kombineras. Du kan till exempel använda Azure Storage för arkivering av säkerhetsgranskningshändelser, men en Azure Log Analytics-arbetsyta för att analysera och rapportera om informationen på kort sikt.

I följande tabell beskrivs scenarier för varje målresurstyp.

Aktivera säkerhetsgranskningshändelser med hjälp av Azure Portal

Om du Azure AD DS säkerhetsgranskningshändelser med hjälp Azure Portal du följande steg.

1. Logga in på Azure Portal på https://portal.azure.com.

2. Längst upp i Azure Portal du efter och väljer Azure AD Domain Services. Välj din hanterade domän, till exempel aaddscontoso.com.

3. I Azure AD DS väljer du Diagnostikinställningar till vänster.

4. Ingen diagnostik konfigureras som standard. Kom igång genom att välja Lägg till diagnostikinställning.

   

5. Ange ett namn för diagnostikkonfigurationen, till exempel aadds-auditing.

   Markera kryssrutan för det mål för säkerhetsgranskning som du vill använda. Du kan välja mellan ett Azure Storage konto, en Azure-händelsehubb eller en Log Analytics-arbetsyta. Dessa målresurser måste redan finnas i din Azure-prenumeration. Du kan inte skapa målresurserna i den här guiden.

   

   • Azure Storage
     • Välj Arkivera till ett lagringskonto och välj sedan Konfigurera.
     • Välj prenumerationen och det Storage som du vill använda för att arkivera säkerhetsgranskningshändelser.
     • När du är klar väljer du OK.
   • Azure Event Hubs
     • Välj Strömma till en händelsehubb och välj sedan Konfigurera.
     • Välj namnområdet Prenumeration och Händelsehubb. Om det behövs väljer du även ett namn på händelsehubben och sedan händelsehubbens principnamn.
     • När du är klar väljer du OK.
   • Azure Log Analytic-arbetsytor
     • Välj Skicka till Log Analytics och välj sedan den prenumeration och Log Analytics-arbetsyta som du vill använda för att lagra säkerhetsgranskningshändelser.

6. Välj de loggkategorier som du vill ska ingå för den specifika målresursen. Om du skickar granskningshändelserna till ett Azure Storage-konto kan du också konfigurera en bevarandeprincip som definierar antalet dagar som data ska behållas. Standardinställningen 0 behåller alla data och roterar inte händelser efter en viss tidsperiod.

   Du kan välja olika loggkategorier för varje målresurs i en enda konfiguration. Med den här funktionen kan du välja vilka loggkategorier som du vill behålla för Log Analytics och vilka loggar kategorier som du till exempel vill arkivera.

7. När du är klar väljer du Spara för att genomföra ändringarna. Målresurserna börjar ta emot Azure AD DS säkerhetsgranskningshändelser strax efter att konfigurationen har sparats.

Aktivera säkerhetsgranskningshändelser med hjälp av Azure PowerShell

Om du Azure AD DS säkerhetsgranskningshändelser med hjälp Azure PowerShell du följande steg. Om det behövs installerar du först Azure PowerShell-modulen och ansluter till din Azure-prenumeration.

1. Autentisera till din Azure-prenumeration med hjälp Anslut-AzAccount-cmdleten. Ange autentiseringsuppgifterna för ditt konto när du uppmanas till det.

   Connect-AzAccount
   

2. Skapa målresursen för säkerhetsgranskningshändelserna.

   • Azure Storage - Skapa ett lagringskonto med Azure PowerShell

   • Azure Event Hubs - Skapa en händelsehubb med hjälp av Azure PowerShell. Du kan också behöva använda cmdleten New-AzEventHubAuthorizationRule för att skapa en auktoriseringsregel som ger Azure AD DS behörigheter till händelsehubbens namnområde. Auktoriseringsregeln måste innehålla behörigheterna Hantera, Lyssna och Skicka.

     Viktigt

     Se till att du anger auktoriseringsregeln för händelsehubbens namnområde och inte själva händelsehubben.

   • Azure Log Analytic-arbetsytor - Skapa en Log Analytics-arbetsyta med Azure PowerShell.

3. Hämta resurs-ID:t för Azure AD DS hanterad domän med hjälp av cmdleten Get-AzResource. Skapa en variabel med namnet $aadds. ResourceId som ska innehålla värdet:

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Konfigurera Azure-diagnostikinställningarna med hjälp av cmdleten Set-AzDiagnosticSetting för att använda målresursen för Azure AD Domain Services säkerhetsgranskningshändelser. I följande exempel har variabeln $aadds. ResourceId används från föregående steg.

   • Azure Storage – Ersätt storageAccountId med namnet på ditt lagringskonto:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Azure event hubs – Ersätt eventHubName med namnet på din händelsehubb och eventHubRuleId med ditt auktoriseringsregel-ID:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Azure Log Analytics-arbetsytor – Ersätt workspaceId med ID:t för Log Analytics-arbetsytan:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Köra frågor mot och visa säkerhetsgranskningshändelser med hjälp av Azure Monitor

Med Log Analytic-arbetsytor kan du visa och analysera säkerhetsgranskningshändelser med hjälp Azure Monitor och Kusto-frågespråket. Det här frågespråket är utformat för skrivskyddad användning som har energisparfunktioner med en lättläst syntax. Mer information om hur du kommer igång med Kusto-frågespråk finns i följande artiklar:

• Dokumentation för Azure Monitor
• Kom igång med Log Analytics i Azure Monitor
• Kom igång med loggfrågor i Azure Monitor
• Skapa och dela instrumentpaneler för Log Analytics-data

Följande exempelfrågor kan användas för att börja analysera säkerhetsgranskningshändelser från Azure AD DS.

Exempelfråga 1

Visa alla kontolåsningshändelser för de senaste sju dagarna:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Exempelfråga 2

Visa alla kontolåsningshändelserna (4740) mellan den 3 juni 2020 kl. 9:00 och 10 juni 2020 midnatt, sorterade stigande efter datum och tid:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Exempelfråga 3

Visa inloggningshändelser för kontot för sju dagar sedan (från och med nu) för kontot med namnet user:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Exempelfråga 4

Visa inloggningshändelser för kontot för sju dagar sedan för kontot med namnet användare som försökte logga in med ett felaktigt lösenord (0xC0000006a):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exempelfråga 5

Visa inloggningshändelser för kontot för sju dagar sedan för kontot med namnet användare som försökte logga in när kontot var utelåst (0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exempelfråga 6

Visa antalet konto inloggningshändelser för sju dagar sedan för alla inloggningsförsök som har inträffat för alla utelåsta användare:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Granska händelsekategorier

Azure AD DS säkerhetsgranskningar överensstämmer med traditionell granskning för traditionella AD DS-domänkontrollanter. I hybridmiljöer kan du återanvända befintliga granskningsmönster så att samma logik kan användas när händelserna analyseras. Beroende på vilket scenario du behöver felsöka eller analysera måste de olika granskningshändelsekategorierna vara riktade.

Följande granskningshändelsekategorier är tillgängliga:

Händelse-ID:er per kategori

Azure AD DS säkerhetsgranskningar registrerar följande händelse-ID:er när den specifika åtgärden utlöser en granskningsbar händelse:

Nästa steg

Specifik information om Kusto finns i följande artiklar:

• Översikt över Kusto-frågespråket.
• Kusto-självstudie för att bekanta dig med grundläggande frågor.
• Exempelfrågor som hjälper dig att lära dig nya sätt att se dina data.
• Kusto-metodtips för att optimera dina frågor för framgång.