擷取 Microsoft Azure 活動記錄

本文說明將 Microsoft Azure 活動記錄 (AZURE_ACTIVITY) 擷取至 Google Security Operations 的必要步驟。

設定儲存空間帳戶

請按照下列步驟設定儲存空間帳戶：

1. 在 Azure 控制台中，搜尋「Storage accounts」(儲存體帳戶)。
2. 按一下 [Create]。
3. 選取帳戶所需的訂閱項目、資源群組、區域、效能 (建議使用 Standard) 和備援 (建議使用 GRS 或 LRS)，然後輸入新儲存體帳戶的名稱。
4. 按一下「查看 + 建立」，查看帳戶總覽，然後按一下「建立」。
5. 在「儲存空間帳戶總覽」頁面中，從視窗左側的導覽列選取「存取金鑰」。
6. 按一下「顯示金鑰」，並記下儲存空間帳戶的共用金鑰。
7. 在視窗左側導覽列中選取「端點」。
8. 記下 Blob 服務端點。(https://<storageaccountname>.blob.core.windows.net/)

設定 Azure 活動記錄

如要設定 Azure 活動記錄，請完成下列步驟：

1. 在 Azure 控制台中，搜尋「Monitor」。
2. 按一下頁面左側導覽列中的「活動記錄」連結。
3. 按一下視窗頂端的「匯出活動記錄」。
4. 按一下「新增診斷設定」。
5. 選取要匯出至 Google SecOps 的所有類別。
6. 在「目標詳細資料」下方，選取「封存至儲存空間帳戶」。
7. 選取您在上一個步驟中建立的訂閱項目和儲存空間帳戶。
8. 按一下 [儲存]。

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 輸入不重複的「欄位名稱」。
5. 選取「Microsoft Azure Blob Storage」做為「來源類型」。
6. 選取「Microsoft Azure Activity」做為「記錄類型」。
7. 點選「下一步」。
8. 設定下列必要輸入參數：
   • Azure URI：輸入先前記錄的 Blob 服務端點值，並加上 insights-activity-logs 後綴 (例如：https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs)
   • URI 為：選取「包含子目錄的目錄」。
   • 來源刪除選項：指定是否要在移轉後刪除檔案和目錄。
   • 共用金鑰：輸入您先前記下的共用金鑰值。
9. 依序點按「繼續」和「提交」。

從內容中心設定動態饋給

為下列欄位指定值：

• Azure URI：輸入先前記錄的 Blob 服務端點值，並加上 insights-activity-logs 後綴 (例如：https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs)
• URI 為：選取「包含子目錄的目錄」。
• 來源刪除選項：指定是否要在移轉後刪除檔案和目錄。
• 共用金鑰：輸入您先前記下的共用金鑰值。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

欄位對應參考資料

這個剖析器程式碼會先將大量欄位初始化為空字串，然後執行一系列字串操作和 JSON 剖析作業，從 Azure 活動記錄訊息中擷取相關資訊。最後，它會將擷取的資料對應至 Unified Data Model (UDM) 欄位，將事件類型分類，並加入嚴重程度、主體資訊和網路資料等詳細資料。

UDM 對應表