In diesem Dokument wird beschrieben, wie Sie die Azure Key Vault-Logging-Logs erfassen können, indem Sie einen Google Security Operations-Feed einrichten.
Mit einem Ingestion-Label wird der Parser identifiziert, der Rohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Ingestion-Label AZURE_KEYVAULT_AUDI.
Hinweise
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Azure-Abo, bei dem Sie sich anmelden können
Azure Key Vault-Umgebung (Mandant) in Azure
Globale Administratorrolle oder Azure Key Vault-Administratorrolle
Azure-Speicherkonto zum Speichern der Logs
Speicherkonto konfigurieren
Melden Sie sich im Azure an.
Suchen Sie in der Azure-Konsole nach Storage accounts (Speicherkonten).
Wählen Sie das Speicherkonto aus, aus dem die Protokolle abgerufen werden müssen, und wählen Sie dann Zugriffsschlüssel aus. So erstellen Sie ein neues Speicherkonto:
Klicken Sie auf Erstellen.
Geben Sie einen Namen für das neue Speicherkonto ein.
Wählen Sie das Abo, die Ressourcengruppe, die Region, die Leistung und die Redundanz für das Konto aus. Wir empfehlen, die Leistung auf Standard und die Redundanz auf GRS oder LRS festzulegen.
Klicken Sie auf Überprüfen + Erstellen.
Sehen Sie sich die Übersicht des Kontos an und klicken Sie auf Erstellen.
Klicken Sie auf Schlüssel anzeigen und notieren Sie sich den freigegebenen Schlüssel für das Speicherkonto.
Wählen Sie Endpunkte aus und notieren Sie sich den Endpunkt des Blob-Dienstes.
Weitere Informationen zum Erstellen eines Speicherkontos finden Sie im Abschnitt Azure-Speicherkonto erstellen in der Microsoft-Dokumentation.
Azure Key Vault-Protokollierung konfigurieren
Rufen Sie im Azure-Portal Key Vaults auf und wählen Sie den Key Vault aus, den Sie für die Protokollierung konfigurieren möchten.
Wählen Sie im Bereich Monitoring die Option Diagnoseeinstellungen aus.
Wählen Sie Diagnoseeinstellung hinzufügen aus. Das Fenster Diagnoseeinstellungen enthält die Einstellungen für die Diagnoselogs.
Geben Sie im Feld Name der Diagnoseeinstellung den Namen für die Diagnoseeinstellung an.
Wählen Sie im Bereich Kategoriegruppen das Kästchen audit aus.
Geben Sie im Feld Aufbewahrung (Tage) einen Wert für die Log-Aufbewahrung an, der den Richtlinien Ihrer Organisation entspricht.
Google SecOps empfiehlt eine Mindestaufbewahrungszeit von einem Tag für Logs.
Sie können die Azure Key Vault-Protokolle in einem Speicherkonto speichern oder an Event Hubs streamen. Google SecOps unterstützt die Erfassung von Logs über ein Speicherkonto.
In einem Speicherkonto archivieren
Wenn Sie Protokolle in einem Speicherkonto speichern möchten, aktivieren Sie im Fenster Diagnoseeinstellungen das Kontrollkästchen In einem Speicherkonto archivieren.
Wählen Sie in der Liste Abo das vorhandene Abo aus.
Wählen Sie in der Liste Speicherkonto das vorhandene Speicherkonto aus.
Feeds einrichten
Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:
SIEM-Einstellungen > Feeds > Neu hinzufügen
Content Hub > Content-Packs > Erste Schritte
Azure Key Vault-Logfeed einrichten
Klicken Sie auf das Paket Azure-Plattform.
Suchen Sie den Logtyp Azure Key Vault-Protokollierung und klicken Sie auf Neuen Feed hinzufügen.
Geben Sie Werte für die folgenden Felder an:
Quelltyp: Microsoft Azure Blob Storage V2.
Azure-URI: Geben Sie den Blob-Dienst-Endpunkt an, den Sie zuvor abgerufen haben, zusammen mit einem der Containernamen dieses Speicherkontos. Beispiel: https://xyz.blob.core.windows.net/abc/
Option zum Löschen der Quelle: Geben Sie die Option zum Löschen der Quelle an.
Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden.
Der Standardwert ist 180 Tage.
Schlüssel: Geben Sie den gemeinsamen Schlüssel an, den Sie zuvor abgerufen haben.
Erweiterte Optionen
Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Feed erstellen.
Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[],[],null,["# Collect Microsoft Azure Key Vault logging logs\n==============================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect the Azure Key Vault logging logs by setting up a Google Security Operations feed.\n\nFor more information, see [Data ingestion to Google SecOps](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to structured\nUDM format. The information in this document applies to the parser with the\n`AZURE_KEYVAULT_AUDI` ingestion label.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Azure subscription that you can sign in to\n- Azure Key Vault environment (tenant) in Azure\n- Global administrator or Azure Key Vault administrator role\n- Azure storage account to store the logs\n\nConfigure a storage account\n---------------------------\n\n1. Sign in to the **Azure** portal.\n2. In the **Azure** console, search for **Storage accounts**.\n3. Select the storage account that the logs must be pulled from, and then select **Access key**. To create a new storage account, do the following:\n\n 1. Click **Create.**\n 2. Enter a name for the new storage account.\n 3. Select the subscription, resource group, region, performance, and redundancy for the account. We recommend setting the performance to *standard* , and the redundancy to *GRS* or *LRS*.\n\n 4. Click **Review + create**.\n\n 5. Review the overview of the account and click **Create.**\n\n4. Click **Show keys** and make a note of the shared key for the storage account.\n\n5. Select **Endpoints** and make a note of the **Blob service** endpoint.\n\n For more information about creating a storage account, see the **Create an Azure storage account** section in the [Microsoft documentation](http://learn.microsoft.com/).\n\nConfigure Azure Key Vault logging\n---------------------------------\n\n1. In the **Azure** portal, go to **Key vaults** and select the key vault that you want to configure for logging.\n2. In the **Monitoring** section, select **Diagnostic settings**.\n3. Select **Add diagnostic setting** . The **Diagnostics settings** window provides the settings for the diagnostic logs.\n4. In the **Diagnostic setting name** field, specify the name for diagnostic setting.\n5. In the **Category groups** section, select the **audit** checkbox.\n6. In the **Retention (days)** field, specify a log retention value that complies with your organization's policies.\n Google SecOps recommends a minimum of one day of log retention.\n\n You can store the Azure Key Vault logging logs in a storage account or stream the logs to Event Hubs. Google SecOps supports log collection using a storage account.\n\n### Archive to a storage account\n\n1. To store logs in storage account, in the **Diagnostics settings** window, select the **Archive to a storage account** checkbox.\n2. In the **Subscription** list, select the existing subscription.\n3. In the **Storage account** list, select the existing storage account.\n\nSet up feeds\n------------\n\nThere are two different entry points to set up feeds in the\nGoogle SecOps platform:\n\n- **SIEM Settings \\\u003e Feeds \\\u003e Add New**\n- **Content Hub \\\u003e Content Packs \\\u003e Get Started**\n\nHow to set up the Azure key vault logging feed\n----------------------------------------------\n\n1. Click the **Azure Platform** pack.\n2. Locate the **Azure Key Vault logging** log type and click **Add new feed**.\n3. Specify values for the following fields:\n\n - **Source Type** : **Microsoft Azure Blob Storage V2**.\n - **Azure URI** : specify the **Blob service** endpoint that you obtained previously along with one of the container names of that storage account. For example, `https://xyz.blob.core.windows.net/abc/`.\n - **Source deletion option**: specify the source deletion option.\n - **Maximum File Age**: Includes files modified in the last number of days. Default is 180 days.\n - **Key**: specify the shared key that you obtained previously.\n\n **Advanced options**\n - **Feed Name**: A prepopulated value that identifies the feed.\n - **Asset Namespace**: Namespace associated with the feed.\n - **Ingestion Labels**: Labels applied to all events from this feed.\n4. Click **Create feed**.\n\n| **Note:** The Content Hub is not available on the SIEM standalone platform. To upgrade, contact your Google SecOps representative.\n\nFor more information about configuring multiple feeds for different log types within this product family, see [Configure feeds by product](/chronicle/docs/ingestion/ingestion-entities/configure-multiple-feeds).\n\nFor more information about Google SecOps feeds, see [Google SecOps feeds documentation](/chronicle/docs/administration/feed-management).\n\nFor information about requirements for each feed type, see [Feed configuration by type](/chronicle/docs/reference/feed-management-api#feed_configuration_by_type).\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
