提取 Microsoft Azure 活动日志

本文档介绍了将 Microsoft Azure 活动日志 (AZURE_ACTIVITY) 注入到 Google Security Operations 中所需的步骤。

配置存储账号

完成以下步骤以配置存储账号：

1. 在 Azure 控制台中，搜索存储账号。
2. 点击创建。
3. 选择账号所需的订阅、资源组、区域、性能（建议使用“标准”）和冗余（建议使用 GRS 或 LRS），输入新存储账号的名称。
4. 点击审核 + 创建，查看账号概览，然后点击创建。
5. 在存储账号概览页面上，从窗口左侧导航栏中选择访问密钥。
6. 点击显示密钥，然后记下存储账号的共享密钥。
7. 从窗口的左侧导航栏中选择端点。
8. 记下 Blob 服务端点。(https://<storageaccountname>.blob.core.windows.net/)

配置 Azure 活动日志记录

完成以下步骤以配置 Azure 活动日志记录：

1. 在 Azure 控制台中，搜索监控。
2. 点击页面左侧导航中的活动日志链接。
3. 点击窗口顶部的导出活动日志。
4. 点击添加诊断设置。
5. 选择要导出到 Google SecOps 的所有类别。
6. 在目标位置详细信息下，选择归档到存储账号。
7. 选择您在上一步中创建的订阅和存储账号。
8. 点击保存。

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 为字段名称输入一个唯一的名称。
5. 选择 Microsoft Azure Blob Storage 作为来源类型。
6. 选择 Microsoft Azure 活动作为日志类型。
7. 点击下一步。
8. 配置以下必需的输入参数：
   • Azure URI：输入您之前记录的 Blob 服务端点值，后缀为 insights-activity-logs（例如 https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs）
   • URI is a（URI 是一个）：选择目录（包括子目录）。
   • 源删除选项：指定是否在转移后删除文件和目录。
   • 共享密钥：输入您之前捕获的共享密钥值。
9. 点击下一步，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• Azure URI：输入您之前记录的 Blob 服务端点值，后缀为 insights-activity-logs（例如 https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs）
• URI is a（URI 是一个）：选择目录（包括子目录）。
• 源删除选项：指定是否在转移后删除文件和目录。
• 共享密钥：输入您之前捕获的共享密钥值。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

字段映射参考

此解析器代码首先将大量字段初始化为空字符串，然后执行一系列字符串操作和 JSON 解析操作，以从 Azure 活动日志消息中提取相关信息。最后，它会将提取的数据映射到统一数据模型 (UDM) 字段，对事件类型进行分类，并添加严重程度、正文信息和网络数据等其他详细信息来丰富事件。

UDM 映射表