Ingérer les journaux d'activité Microsoft Azure

Ce document décrit la procédure à suivre pour ingérer les journaux d'activité Microsoft Azure (AZURE_ACTIVITY) dans Google Security Operations.

Configurer un compte de stockage

Pour configurer un compte de stockage, procédez comme suit :

1. Dans la console Azure, recherchez Comptes de stockage.
2. Cliquez sur Create (Créer).
3. Sélectionnez l'abonnement, le groupe de ressources, la région, les performances (nous vous recommandons de choisir "Standard") et la redondance (nous vous recommandons de choisir "GRS" ou "LRS") nécessaires pour le compte, puis saisissez un nom pour le nouveau compte de stockage.
4. Cliquez sur Examiner et créer, vérifiez l'aperçu du compte, puis cliquez sur Créer.
5. Sur la page Vue d'ensemble du compte de stockage, sélectionnez Clés d'accès dans le volet de navigation de gauche de la fenêtre.
6. Cliquez sur Afficher les clés et notez la clé partagée du compte de stockage.
7. Sélectionnez Points de terminaison dans le menu de navigation de gauche de la fenêtre.
8. Notez le point de terminaison Blob service. (https://<storageaccountname>.blob.core.windows.net/)

Configurer la journalisation des activités Azure

Pour configurer la journalisation des activités Azure, procédez comme suit :

1. Dans la console Azure, recherchez Monitor.
2. Cliquez sur le lien Journal d'activité dans la navigation de gauche de la page.
3. Cliquez sur Exporter les journaux d'activité en haut de la fenêtre.
4. Cliquez sur Ajouter un paramètre de diagnostic.
5. Sélectionnez toutes les catégories que vous souhaitez exporter vers Google SecOps.
6. Sous Détails de la destination, sélectionnez Archiver dans un compte de stockage.
7. Sélectionnez l'abonnement et le compte de stockage que vous avez créés à l'étape précédente.
8. Cliquez sur Enregistrer.

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM > Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Saisissez un nom unique pour le Nom du champ.
5. Sélectionnez Microsoft Azure Blob Storage comme type de source.
6. Sélectionnez Activité Microsoft Azure comme Type de journal.
7. Cliquez sur Suivant.
8. Configurez les paramètres d'entrée obligatoires suivants :
   • URI Azure : saisissez la valeur du point de terminaison Blob Service que vous avez enregistrée précédemment, suivie de insights-activity-logs (par exemple, https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs).
   • URI is a (L'URI est un) : sélectionnez Directory which includes subdirectories (Répertoire incluant des sous-répertoires).
   • Option de suppression de la source : indiquez si vous souhaitez supprimer les fichiers et les répertoires après le transfert.
   • Clé partagée : saisissez la valeur de la clé partagée que vous avez récupérée précédemment.
9. Cliquez sur Suivant, puis sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• URI Azure : saisissez la valeur du point de terminaison Blob Service que vous avez enregistrée précédemment, suivie de insights-activity-logs (par exemple, https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs).
• URI is a (L'URI est un) : sélectionnez Directory which includes subdirectories (Répertoire incluant des sous-répertoires).
• Option de suppression de la source : indiquez si vous souhaitez supprimer les fichiers et les répertoires après le transfert.
• Clé partagée : saisissez la valeur de la clé partagée que vous avez récupérée précédemment.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Référence du mappage de champs

Ce code d'analyseur initialise d'abord un grand nombre de champs avec des chaînes vides, puis effectue une série d'opérations de manipulation de chaînes et d'analyse JSON pour extraire les informations pertinentes du message du journal d'activité Azure. Enfin, il mappe les données extraites aux champs UDM (Unified Data Model), catégorise le type d'événement et l'enrichit avec des détails supplémentaires tels que la gravité, les informations principales et les données réseau.

Table de mappage UDM