Ingerir registros de atividades do Microsoft Azure

Este documento descreve as etapas necessárias para ingerir registros de atividades do Microsoft Azure (AZURE_ACTIVITY) no Google Security Operations.

Configurar uma conta de armazenamento

Siga estas etapas para configurar uma conta de armazenamento:

1. No console do Azure, pesquise Contas de armazenamento.
2. Clique em Criar.
3. Selecione a assinatura, o grupo de recursos, a região, o desempenho (recomendamos o padrão) e a redundância (recomendamos GRS ou LRS) necessários para a conta e insira um nome para a nova conta de armazenamento.
4. Clique em Revisar + criar, confira a visão geral da conta e clique em Criar.
5. Na página Visão geral da conta de armazenamento, selecione Chaves de acesso na navegação à esquerda da janela.
6. Clique em Mostrar chaves e anote a chave compartilhada da conta de armazenamento.
7. Selecione Endpoints na navegação à esquerda da janela.
8. Anote o endpoint do serviço de blob. (https://<storageaccountname>.blob.core.windows.net/)

Configurar o registro de atividades do Azure

Siga estas etapas para configurar o registro de atividades do Azure:

1. No console do Azure, pesquise Monitor.
2. Clique no link Registro de atividades na navegação à esquerda da página.
3. Clique em Exportar registros de atividade na parte de cima da janela.
4. Clique em Adicionar configuração de diagnóstico.
5. Selecione todas as categorias que você quer exportar para o Google SecOps.
6. Em Detalhes do destino, selecione Arquivar em uma conta de armazenamento.
7. Selecione a assinatura e a conta de armazenamento que você criou na etapa anterior.
8. Clique em Salvar.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed de atividades do Microsoft Azure

1. Clique no pacote Plataforma do Azure.
2. Localize o feed de atividades do Microsoft Azure.

3. Especifique valores para os seguintes campos:

   • Tipo de origem: armazenamento de blobs V2 do Microsoft Azure
   • URI do Azure: insira o valor do endpoint do Serviço de Blobs que você registrou antes, com o sufixo insights-activity-logs (por exemplo, https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs)
   • Opção de exclusão da origem: especifique se você quer excluir arquivos e diretórios após a transferência.
   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.
   • Chave compartilhada: insira o valor da chave compartilhada que você capturou antes.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Namespace do recurso: namespace associado ao feed.
   • Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

4. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Referência de mapeamento de campos

Esse código de analisador primeiro inicializa um grande número de campos com strings vazias e, em seguida, realiza uma série de manipulações de strings e operações de análise JSON para extrair informações relevantes da mensagem do log de atividades do Azure. Por fim, ele mapeia os dados extraídos para os campos do Modelo de dados unificado (UDM), categorizando o tipo de evento e enriquecendo-o com outros detalhes, como gravidade, informações principais e dados de rede.

Tabela de mapeamento da UDM