Coletar registros de auditoria do Azure DevOps

Visão geral

Esse analisador processa registros de auditoria do Azure DevOps no formato JSON. Ele extrai campos de estruturas JSON aninhadas e de nível superior, mapeando-os para o UDM. A lógica condicional baseada em valores de campo específicos categoriza eventos e enriquece a saída com informações de segurança relevantes. O analisador também processa mensagens não formatadas em JSON tentando extrair um payload JSON usando padrões grok.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Uma organização ativa do Azure DevOps
• Acesso privilegiado à organização do Azure DevOps e ao Azure

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed de auditoria do Azure DevOps

1. Clique no pacote Plataforma do Azure.
2. Localize o tipo de registro Auditoria do Azure DevOps e clique em Adicionar novo feed.

3. Especifique valores para os seguintes campos:

   • Tipo de origem: Armazenamento de blobs do Microsoft Azure V2.
   • URI do Azure: o URL do endpoint do blob.
     • ENDPOINT_URL/BLOB_NAME
       • Substitua:
         • ENDPOINT_URL: o URL do endpoint do blob (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: o nome do blob (por exemplo, insights-logs-<logname>)

   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.

   • Chave compartilhada: a chave compartilhada (uma string aleatória de 512 bits em codificação base64) usada para acessar recursos do Azure.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.

4. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Criar uma chave de API para o feed de webhook

1. Acesse console doGoogle Cloud > Credenciais.

   Ir para Credenciais

2. Clique em Criar credenciais e, em seguida, selecione Chave de API.

3. Restrinja o acesso da chave de API à API Google Security Operations.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o URL do endpoint HTTPS fornecido no feed do webhook.

2. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendação: especifique a chave de API como um cabeçalho em vez de no URL. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

Substitua:

• ENDPOINT_URL: o URL do endpoint do feed.
• API_KEY: a chave de API para autenticar no Google Security Operations.
• SECRET: a chave secreta gerada para autenticar o feed.

Configurar o recurso de auditoria no Azure DevOps

1. Faça login na sua organização (https://dev.azure.com/{yourorganization}).
2. Selecione o ícone de engrenagem para Configurações da organização.
3. Selecione Políticas em Segurança.
4. Mude o botão Registrar eventos de auditoria para ATIVADO.

Configurar um tópico do Event Grid no Azure

1. Faça login no portal do Azure.
2. Pesquise e acesse a Grade de Eventos.
3. Localize Tópicos em Eventos personalizados.
4. Clique em + Criar.
5. Selecione sua Assinatura e o Grupo de recursos. Forneça um nome (por exemplo, DevopsAuditLog) e selecione a região. Clique em Revisar e criar.
6. Acesse o novo Tópico e copie o URL do endpoint do tópico.
7. Acesse Configurações > Chaves de acesso e copie a Chave 1.

Configurar o fluxo de registros do Azure DevOps para o Event Grid

1. Faça login na sua organização (https://dev.azure.com/{yourorganization}).
2. Selecione o ícone de engrenagem para Configurações da organização.
3. Selecione Auditoria.
4. Acesse a guia Streams e selecione New stream > Event Grid.
5. Insira o endpoint do tópico e a chave de acesso criados em Configurar um tópico do Event Grid no Azure.

Configurar um webhook no Azure DevOps para o Google SecOps

1. No portal do Azure, pesquise e acesse Event Grid.
2. Selecione o Tópico criado anteriormente.
3. Acesse Entidades > Assinatura de evento.
4. Clique em + Assinatura de evento.
5. Forneça um nome descritivo (por exemplo, *Google SecOps Integration).
6. Selecione Web Hook e clique em Configurar um endpoint.
7. Configure o endpoint:
   1. Endpoint do assinante: insira o URL do endpoint de API Google SecOps.
   2. Na seção Cabeçalhos HTTP, adicione os seguintes cabeçalhos:
      • Header 1:
        • Chave: X-goog-api-key
        • Valor: a chave de API que você criou na seção Criar uma chave de API para o feed de webhook.
      • Header 2:
        • Chave: X-Webhook-Access-Key
        • Valor: a chave secreta gerada na seção Configurar um feed no Google SecOps para ingerir os registros do Azure DevOps.
   3. Defina o cabeçalho Content-Type como application/json.
8. Clique em Criar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.