Etki Alanı Hizmetleri için Azure Active Directory denetimlerini etkinleştirme

Azure Active Directory Domain Services (Azure AD DS) güvenlik denetimleri, Azure'ın güvenlik olaylarını hedeflenen kaynaklara akışla akar. Bu kaynaklar Azure Depolama, Azure Log Analytics çalışma alanları veya Azure Event Hub'dır. Güvenlik denetimi olaylarını etkinleştirdikten sonra Azure AD DS kategori için tüm denetlenen olayları hedeflenen kaynağa gönderir.

Azure Event Hubs kullanarak olayları Azure depolamada arşivler ve olayları güvenlik bilgileri ve olay yönetimi (SIEM) yazılımı (veya eşdeğeri) olarak akışa alır ya da Azure portal' dan kendi analizlerinizi ve Azure Log Analytics çalışma alanlarını kullanabilirsiniz.

Güvenlik denetimi hedefleri

Güvenlik denetimleri için azure Depolama, Azure Event Hubs veya Azure Log Analytics çalışma alanlarını hedef kaynak Azure AD DS kullanabilirsiniz. Bu hedefler bir arada olabilir. Örneğin, güvenlik denetim olaylarını arşivlemek için Azure Depolama'i kullanabilirsiniz, ancak kısa vadede bilgileri analiz etmek ve raporlamak için bir Azure Log Analytics çalışma alanı kullanabilirsiniz.

Aşağıdaki tabloda her hedef kaynak türü için senaryolar özetlemektedir.

Güvenlik denetim olaylarını Azure portal

Aşağıdaki adımları Azure AD DS güvenlik denetim olaylarını Azure portal için aşağıdaki adımları tamamlayın.

1. https://portal.azure.com adresinden Azure portalında oturum açın.

2. Dosyanın üst kısmında Azure portal öğesini seçin ve öğesini Azure AD Domain Services. Yönetilen etki alanınızı seçin, örneğin aaddscontoso.com.

3. Uygulama Azure AD DS sol taraftan Tanılama ayarları'ı seçin.

4. Varsayılan olarak hiçbir tanılama yapılandırılmaz. Çalışmaya başlama için Tanılama ayarı ekle'yi seçin.

   

5. Tanılama yapılandırması için aadds-auditing gibi bir ad girin.

   Istediğiniz güvenlik denetimi hedefi kutusunu işaretleyin. Azure Depolama hesabı, Azure olay hub'ı veya Log Analytics çalışma alanı seçebilirsiniz. Bu hedef kaynakların Azure aboneliğinde zaten mevcut olması gerekir. Bu sihirbazda hedef kaynakları oluşturasınız.

   

   • Azure depolama
     • Bir depolama hesabında arşivle'yi ve ardından Yapılandır'ı seçin.
     • Güvenlik denetimi olaylarını arşivlemek Depolama abonelik ve abonelik hesabını seçin.
     • Hazır olduğunda Tamam'ı seçin.
   • Azure event hubs
     • Bir olay hub'ı için Akış'ı ve ardından Yapılandır'ı seçin.
     • Abonelik ve Olay hub'ı ad alanını seçin. Gerekirse, bir Olay hub'ı adı ve ardından Olay hub'ı ilke adı seçin.
     • Hazır olduğunda Tamam'ı seçin.
   • Azure Log Analytic çalışma alanları
     • Log Analytics'e Gönder'i ve ardından güvenlik denetim olaylarını depolamak için kullanmak istediğiniz Abonelik ve Log Analytics Çalışma Alanını seçin.

6. Belirli bir hedef kaynak için dahil etmek istediğiniz günlük kategorilerini seçin. Denetim olaylarını bir Azure Depolama hesabına gönderirseniz, verilerin tutulacak gün sayısını tanımlayan bir saklama ilkesi de yapılandırabilirsiniz. Varsayılan 0 ayarı tüm verileri korur ve bir süre sonra olayları döndürmez.

   Tek bir yapılandırmada hedeflenen her kaynak için farklı günlük kategorileri seçebilirsiniz. Bu özellik, Log Analytics için hangi günlük kategorilerini ve örneğin arşivlemek istediğiniz günlük kategorilerini seçmenize olanak sağlar.

7. Bitirin, değişikliklerinizi kaydetmek için Kaydet'i seçin. Yapılandırma kaydedildikten kısa bir Azure AD DS sonra hedef kaynaklar güvenlik denetimi olaylarını almaya başlar.

Güvenlik denetim olaylarını Azure PowerShell

Azure AD DS kullanarak güvenlik denetimi olaylarını Azure PowerShell için aşağıdaki adımları tamamlayın. Gerekirse, önce Azure PowerShell modülünü yükleyin ve Azure aboneliğinize bağlanın.

1. Bağlan-AzAccount cmdlet'ini kullanarak Azure aboneliğiniz için kimlik doğrulaması yapma. İstendiğinde hesap kimlik bilgilerinizi girin.

   Connect-AzAccount
   

2. Güvenlik denetimi olayları için hedef kaynağı oluşturun.

   • Azure depolama - Azure PowerShell kullanarak depolama hesabı oluşturma

   • Azure event hubs - Azure PowerShell kullanarak olay hub'ı oluşturun. Olay hub'ı ad alanına yönelik izinler vermek üzere bir yetkilendirme kuralı oluşturmak için New-AzEventHubAuthorizationRule cmdlet'Azure AD DS ini de kullanabilirsiniz. Yetkilendirme kuralı Yönet, Dinleme ve Gönderme haklarını içermeli.

     Önemli

     Yetkilendirme kuralını olay hub'ını değil olay hub'ı ad alanına ayarlayasınız.

   • Azure Log Analytic çalışma alanları - Azure PowerShell ile Log Analytics çalışma alanı oluşturun.

3. Get-AzResource cmdlet'ini kullanarak Azure AD DS etki alanınız için kaynak kimliğini elde edin. $aadds. Değeri tutmak için ResourceId:

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Set-AzDiagnosticSetting cmdlet'ini kullanarak Azure Tanılama ayarlarını, güvenlik denetimi olaylarına yönelik hedef Azure AD Domain Services için yapılandırma. Aşağıdaki örneklerde değişkeni $aadds. ResourceId önceki adımda kullanılmıştır.

   • Azure depolama - storageAccountId yerine depolama hesabı adını yazın:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Azure event hubs - eventHubName yerine olay hub'nizin adını, eventHubRuleId yerine de yetkilendirme kuralı kimliğinizi yazın:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Azure Log Analytics çalışma alanları - workspaceId alanını Log Analytics çalışma alanının kimliğiyle değiştirin:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Azure İzleyici kullanarak güvenlik denetimi olaylarını sorgulama ve Azure İzleyici

Log Analytic çalışma alanları, kusto sorgu dilini kullanarak güvenlik denetimi olaylarını Azure İzleyici ve analiz etmenize izin sağlar. Bu sorgu dili, okuması kolay bir söz dizimi ile güç analiz özelliklerine sahip salt okunur kullanım için tasarlanmıştır. Kusto sorgu dilleriyle çalışmaya başlama hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

• Azure İzleyici belgeleri
• Kullanmaya başlayın Log Analytics ile Azure İzleyici
• Azure İzleyici’de günlük sorgularını kullanmaya başlama
• Log Analytics verilerinden pano oluşturma ve paylaşma

Aşağıdaki örnek sorgular, güvenlik denetimi olaylarını güvenlik olaylarını analiz etmek için Azure AD DS.

Örnek sorgu 1

Tümünü görüntüle son yedi gün için hesap kilitleme olaylarını seçin:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Örnek sorgu 2

Tümünü görüntüle 3 Haziran 2020 ile 09.00 arasında hesap kilitleme olayları ( 4740) ve 10 Haziran 2020 gece yarısı, tarih ve saat ile artan düzende sıralanmış:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Örnek sorgu 3

User adlı hesap için yedi gün önce (şu andan itibaren) hesap oturum açma olaylarını görüntüleme:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Örnek sorgu 4

Kötü bir parola kullanarak oturum açma girişiminde bulunan kullanıcı adlı hesap için yedi gün önce hesap oturum açma olaylarını görüntüle ( 0xC0000006a):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Örnek sorgu 5

Hesap kilitliyken oturum açma girişiminde bulunan kullanıcı adlı hesap için yedi gün önce hesap oturum açma olaylarını görüntüle ( 0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Örnek sorgu 6

Kilitlenmiş tüm kullanıcılar için yapılan tüm oturum açma girişimleri için yedi gün önce 7 gün önce hesap oturum açma olaylarının sayısını görüntülendi:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Olay kategorilerini denetleme

Azure AD DS güvenlik denetimleri, geleneksel etki alanı denetleyicileri için geleneksel AD DS ile uyumludur. Karma ortamlarda, olayları analiz etmek için aynı mantığın kullanılana var olan denetim desenlerini yeniden kullanabilirsiniz. Sorun gidermeniz veya analiz etmeniz gereken senaryoya bağlı olarak, farklı denetim olayı kategorilerinin hedefli olması gerekir.

Aşağıdaki denetim olayı kategorileri kullanılabilir:

Kategori başına olay kimlikleri

Azure AD DS denetimler, belirli bir eylem denetlenebilir bir olayı tetikleyene aşağıdaki olay kimliklerini kaydediyor:

Sonraki adımlar

Kusto hakkında belirli bilgiler için aşağıdaki makalelere bakın:

• Kusto sorgu diline genel bakış.
• Sorgu temelleri hakkında bilgi sahibi olmak için Kusto öğreticisi.
• Verilerinizi görmenin yeni yollarını öğrenmenize yardımcı olan örnek sorgular.
• Sorgularınızı başarı için en iyi duruma getirmek için Kusto en iyi yöntemleri.