收集 Microsoft Azure AD Context 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Microsoft Azure Active Directory (AD) 日志。

Azure Active Directory (AZURE_AD) 现在称为 Microsoft Entra ID。Azure AD 审核日志 (AZURE_AD_AUDIT) 现在称为 Microsoft Entra ID 审核日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。

准备工作

确保您满足以下前提条件：

• 您可以登录的 Azure 订阅
• 全局管理员或 Azure AD 管理员角色
• Azure 中的 Azure AD（租户）

如何配置 Azure AD

1. 登录 Azure 门户。
2. 前往首页 > 应用注册，选择已注册的应用，或者如果您尚未创建应用，请注册应用。
3. 如需注册应用，请在应用注册部分中点击新注册。
4. 在名称字段中，提供应用的显示名称。
5. 在支持的账号类型部分，选择所需选项以指定哪些人可以使用应用或访问 API。
6. 点击注册。
7. 前往概览页面，然后复制应用（客户端）ID 和目录（租户）ID，这些信息是配置 Google Security Operations Feed 所必需的。
8. 点击 API 权限。
9. 点击添加权限，然后在新窗格中选择 Microsoft Graph。
10. 点击应用权限。
11. 选择 AuditLog.Read.All、Directory.Read.All 和 SecurityEvents.Read.All 权限。确保权限是应用权限，而不是委托权限。
12. 点击为默认目录授予管理员同意书。当应用在许可流程中获得用户或管理员授予的权限时，便有权调用 API。
13. 依次前往设置 > 管理。
14. 点击证书和密钥。
15. 点击 New client secret（新建客户端密钥）。 在值字段中，系统会显示客户端密钥。
16. 复制客户端密钥值。该值仅在创建时显示，并且是 Azure 应用注册和配置 Google Security Operations Feed 所必需的。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed > 添加新 Feed
• 内容中心 > 内容包 > 开始

如何设置 Microsoft Azure AD Context Feed

1. 点击 Azure 平台包。
2. 找到 Azure AD Organizational Context 日志类型。

3. 为以下字段指定值：

   • 来源类型：第三方 API（推荐）
   • OAuth 客户端 ID：指定您之前获得的客户端 ID。
   • OAuth 客户端密钥：指定您之前获得的客户端密钥。
   • 租户 ID：指定您之前获得的租户 ID。
   • 检索设备：是否在用户上下文中检索设备信息。
   • 检索群组：是否在用户上下文中检索群组成员资格信息。
   • API 完整路径：Microsoft Graph REST API 端点网址。
   • API 身份验证端点：Microsoft Active Directory 身份验证端点。

   高级选项

   • Feed 名称：用于标识 Feed 的预填充值。
   • 资产命名空间：与 Feed 关联的命名空间。
   • 提取标签：应用于相应 Feed 中所有事件的标签。

4. 点击创建 Feed。

如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google 安全运营支持团队联系。

字段映射参考

此解析器代码可将 Azure Active Directory 中的原始 JSON 格式日志转换为统一数据模型 (UDM)。它会提取用户和经理信息，包括属性、角色、关系和标签，同时处理各种数据不一致问题，并使用标准化字段丰富输出内容。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。