Microsoft Azure-Aktivitäts- und Entra ID-Protokolle erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Microsoft Azure-Aktivitäts- und Entra ID-Logs erfassen, indem Sie Google Security Operations-Feeds einrichten. Sie können die Aufnahme mit zwei Methoden konfigurieren:

• Methode 1: Microsoft Azure Event Hub (empfohlen): Azure-Diagnoseeinstellungen streamen Aktivitäts- und Entra ID-Logs in einen Azure Event Hub-Namespace, aus dem Google SecOps sie nahezu in Echtzeit aufnimmt. Dies ist die bevorzugte Methode.
• Methode 2: Microsoft Azure Blob Storage V2: Azure-Diagnoseeinstellungen archivieren Protokolle in einem Azure-Speicherkonto und Google SecOps fragt die Blob-Container regelmäßig ab.

Microsoft Azure-Aktivitätsprotokolle bieten Einblick in Vorgänge auf Abonnementebene, die für Azure-Ressourcen ausgeführt werden, z. B. das Erstellen von Speicherkonten, das Löschen von Event Hubs oder das Ändern von virtuellen Maschinen. In Microsoft Entra ID-Logs (früher Azure Active Directory) werden Ereignisse zur Identitäts- und Zugriffsverwaltung erfasst, darunter Nutzeranmeldungen, Audit-Logs, Bereitstellungsaktivitäten und Erkennungen von Sicherheitsrisiken.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für:
  • Event Hub-Namespaces (Methode 1) oder Speicherkonten (Methode 2) erstellen
  • Diagnoseeinstellungen für Azure Monitor und Entra ID konfigurieren
  • Zugriffsrichtlinien für Event Hubs (Methode 1) oder Speicherschlüssel (Methode 2) verwalten
• Rolle „Sicherheitsadministrator“ oder höher in Entra ID (für Entra ID-Diagnoseeinstellungen)

Hinweis :Sie können pro Google SecOps-Instanz bis zu 10 Azure Event Hub-Feeds erstellen, sowohl aktive als auch inaktive. Wenn Sie Logkategorien nach Google SecOps-Logtyp gruppieren, wie in Methode 1 beschrieben, bleibt die Anzahl der Event Hubs und Feeds innerhalb dieses Limits. Details zur Einrichtung des kanonischen Azure Event Hub-Feeds finden Sie unter Azure Event Hub-Feed erstellen.

Methode 1: Microsoft Azure Event Hub (empfohlen)

Bei dieser Methode werden Microsoft Azure-Aktivitäts- und Entra ID-Logs über Azure-Diagnoseeinstellungen in einen Azure Event Hub-Namespace gestreamt und von Google SecOps nahezu in Echtzeit direkt aus dem Event Hub aufgenommen.

In jedem Google SecOps-Feed wird ein einzelner Event Hub einem einzelnen Protokolltyp zugeordnet. Erstellen Sie einen Event Hub pro Google SecOps-Logtyp und leiten Sie die entsprechenden Azure-Logkategorien dorthin weiter:

Event Hub	Azure-Logkategorien	Google SecOps-Logtyp
azure-activity	Azure-Aktivitätsprotokoll	Microsoft Azure-Aktivität
entra-id	SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs, ProvisioningLogs, RiskyUsers, UserRiskEvents	Azure AD
entra-id-audit	AuditLogs	Azure AD-Verzeichnisüberprüfung
entra-id-graph	MicrosoftGraphActivityLogs	Microsoft Graph-Aktivitätsprotokolle

Event Hubs-Namespace erstellen

Ein Event Hubs-Namespace ist ein Verwaltungscontainer für einen oder mehrere Event Hubs.

1. Suchen Sie im Azure-Portal nach Event Hubs.
2. Klicken Sie auf + Erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo	Azure-Abo auswählen
   Ressourcengruppe	Vorhandenen auswählen oder neuen erstellen
   Name des Namespaces	Geben Sie einen eindeutigen Namen ein, z. B. secops-azure-logs.
   Standort	Wählen Sie dieselbe Region wie für Ihre Google SecOps-Instanz aus. Wenn Sie die Bereitstellung in einer anderen Region vornehmen, wird der Erfassungsdurchsatz reduziert.
   Preise	Standard oder höher (Basic unterstützt nur einen Event Hub pro Namespace)
   Durchsatzeinheiten	Beginnen Sie mit 1 und aktivieren Sie Auto-inflate (Automatisch aufblähen).

4. Klicken Sie auf Prüfen und erstellen und dann auf Erstellen.

5. Warten Sie, bis die Bereitstellung abgeschlossen ist.

   Hinweis :Der Event Hub-Namespace sollte sich in derselben Region wie Ihre Google SecOps-Instanz befinden. Die Bereitstellung in einer anderen Region kann den Erfassungsdurchsatz verringern. Eine Durchsatzeinheit (TU) unterstützt bis zu 1 MB pro Sekunde eingehenden Traffic. Aktivieren Sie Automatisch vergrößern, damit der Namespace mit zunehmendem Logvolumen hochskaliert wird und Ereignisse nicht verloren gehen, bevor sie Google SecOps erreichen.

Event Hubs erstellen

Erstellen Sie einen Event Hub für jeden Google SecOps-Protokolltyp, der in der vorherigen Tabelle aufgeführt ist.

1. Nachdem der Namespace bereitgestellt wurde, rufen Sie den Event Hubs-Namespace auf.
2. Wählen Sie im linken Navigationsbereich unter Entitäten die Option Event Hubs aus.

3. Klicken Sie auf + Event Hub und erstellen Sie einen Event Hub mit den folgenden Einstellungen:

   Einstellung	Wert
   Name	azure-activity
   Anzahl der Partitionen	40 (empfohlen für optimale Google SecOps-Skalierung; kann nach der Erstellung in den Standard- und Basic-Tarifen nicht mehr geändert werden)
   Aufbewahrung von Nachrichten	Mindestens 7 Tage (Legen Sie die längste Aufbewahrungsdauer fest, die Sie sich leisten können, damit Logs nicht gelöscht werden, bevor die Aufnahme nach einer Kontingentdrosselung fortgesetzt wird.)
   Erfassen	Deaktiviert (für die direkte Event Hub-Aufnahme nicht erforderlich)

4. Klicken Sie auf Prüfen und erstellen und dann auf Erstellen.

5. Wiederholen Sie den Vorgang, um die Event Hubs entra-id, entra-id-audit und entra-id-graph zu erstellen.

   Hinweis :Streamen Sie Azure-Protokolle immer an einen vorhandenen Event Hub. Wenn Sie in einer Diagnoseeinstellung das Feld Event Hub name leer lassen, erstellt Azure für jede Protokollkategorie einen separaten Event Hub (mit dem Namen insights-logs-<category>). Dadurch kann das Event Hub-Kontingent für den Namespace und Ihr Google SecOps-Feedkontingent erschöpft werden.

Event Hub-Verbindungsstring abrufen

Für Google SecOps ist ein Verbindungsstring erforderlich, um sich beim Event Hub zu authentifizieren. Verwenden Sie einen Verbindungsstring auf Namespace-Ebene, damit eine Anmeldedaten für alle erstellten Event Hubs funktionieren.

1. Rufen Sie den Event Hubs-Namespace auf.
2. Wählen Sie im linken Navigationsbereich unter Einstellungen die Option Richtlinien für gemeinsamen Zugriff aus.
3. Klicken Sie auf die Richtlinie RootManageSharedAccessKey oder auf + Hinzufügen, um eine spezielle Richtlinie mit der Berechtigung Listen (Anhören) zu erstellen.
4. Kopieren Sie den Connection string-primary key (Verbindungsstring – Primärschlüssel).

5. Speichern Sie diesen Verbindungsstring sicher.

   Hinweis: Ein Verbindungsstring auf Namespace-Ebene enthält den Parameter EntityPath nicht. Sie geben den Ziel-Event Hub separat im Feld Event Hub Name (Event Hub-Name) jedes Feeds an. So wird derselbe Verbindungsstring für alle Feeds wiederverwendet.

Diagnoseeinstellungen für Azure-Aktivitätsprotokolle konfigurieren (Event Hub)

So streamen Sie Azure-Aktivitätsprotokolle an den azure-activity-Event Hub:

1. Suchen Sie im Azure-Portal nach Monitor.
2. Klicken Sie im linken Navigationsbereich auf Aktivitätsprotokoll.
3. Klicken Sie oben im Fenster auf Aktivitätsprotokolle exportieren.
4. Klicken Sie auf Diagnoseeinstellung hinzufügen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. activity-logs-to-eventhub.
   • Wählen Sie im Abschnitt Logs die folgenden Kategorien aus:
     • Verwaltung
     • Sicherheit
     • Service Health
     • Benachrichtigung
     • Empfehlung
     • Richtlinie
     • Autoscale
     • Ressourcenstatus
   • Wählen Sie im Abschnitt Zieldetails das Kästchen Zu einem Event Hub streamen aus.
   • Abo: Wählen Sie das Abo aus, das Ihren Event Hub-Namespace enthält.
   • Event Hubs-Namespace: Wählen Sie den Namespace aus, den Sie zuvor erstellt haben (z. B. secops-azure-logs).
   • Event Hub-Name: Wählen Sie azure-activity aus.
   • Name der Event Hub-Richtlinie: Wählen Sie die Richtlinie für den gemeinsamen Zugriff aus, z. B. RootManageSharedAccessKey.
6. Klicken Sie auf Speichern.

Entra ID-Diagnoseeinstellungen konfigurieren (Event Hub)

Jede Diagnoseeinstellung streamt an einen einzelnen Event Hub. Erstellen Sie daher eine Diagnoseeinstellung pro Entra ID-Event Hub und gruppieren Sie die Kategorien nach Google SecOps-Logtyp.

1. Suchen Sie im Azure-Portal nach Microsoft Entra ID oder Azure Active Directory.
2. Klicken Sie im linken Navigationsbereich auf Monitoring und Status > Diagnoseeinstellungen.

3. Klicken Sie auf Diagnoseeinstellung hinzufügen und erstellen Sie die folgenden Einstellungen einzeln:

   Diagnoseeinstellung für den Event Hub entra-id (Logtyp Azure AD):

   • Name der Diagnoseeinstellung: entraid-azuread-to-eventhub
   • Wählen Sie im Abschnitt Logs die folgenden Kategorien aus:
     • SignInLogs
     • NonInteractiveUserSignInLogs
     • ServicePrincipalSignInLogs
     • ManagedIdentitySignInLogs
     • ProvisioningLogs
     • RiskyUsers
     • UserRiskEvents
   • Wählen Sie im Abschnitt Zieldetails die Option An einen Event Hub streamen, Ihren Event Hub-Namespace und den Event Hub entra-id mit seiner Richtlinie für gemeinsamen Zugriff aus.

   Diagnoseeinstellung für den entra-id-audit-Event Hub (Protokolltyp „Azure AD Directory Audit“):

   • Name der Diagnoseeinstellung: entraid-audit-to-eventhub
   • Wählen Sie im Abschnitt Logs die Option AuditLogs aus.
   • Wählen Sie im Abschnitt Zieldetails die Option An einen Event Hub streamen, Ihren Event Hub-Namespace und den Event Hub entra-id-audit aus.

   Diagnoseeinstellung für den entra-id-graph-Event Hub (Logtyp „Microsoft Graph Aktivitätsprotokolle“):

   • Name der Diagnoseeinstellung: entraid-graph-to-eventhub
   • Wählen Sie im Abschnitt Logs die Option MicrosoftGraphActivityLogs aus.
   • Wählen Sie im Abschnitt Zieldetails die Option In einen Event Hub streamen, Ihren Event Hub-Namespace und den entra-id-graph Event Hub aus.

4. Klicken Sie nach dem Konfigurieren jeder Einstellung auf Speichern.

Hinweis: Konfigurieren Sie nur die Kategorien, die Sie aufnehmen möchten. Wenn Sie eine Kategorie nicht benötigen, lassen Sie sie in der Diagnoseeinstellung weg und überspringen Sie den entsprechenden Feed. Es kann einige Minuten dauern, bis die Protokolle an die Event Hubs gestreamt werden.

Optional: Dedizierte Nutzergruppen erstellen

Standardmäßig stellt jeder Event Hub eine Consumergruppe mit dem Namen $Default bereit. Für Produktionsumgebungen wird empfohlen, für jeden Event Hub eine dedizierte Consumer-Gruppe für Google SecOps zu erstellen.

1. Rufen Sie einen Event Hub auf (nicht den Namespace).
2. Wählen Sie links im Navigationsbereich Verbrauchergruppen aus.
3. Klicken Sie auf + Verbrauchergruppe, geben Sie einen Namen ein (z. B. chronicle) und klicken Sie auf Erstellen.

4. Wiederholen Sie den Vorgang für jeden Event Hub.

   Achtung :Erstellen Sie keine zusätzlichen Abonnenten in der Google SecOps-Verbrauchergruppe und rufen Sie keine Daten programmatisch über den Tab Data Explorer im Azure-Portal ab, während er verwendet wird. Beide Aktionen können zu Datenverlusten führen, da die Consumer-Gruppen-Offsets von Event Hub beim Lesen von Daten erhöht werden.

Feeds in Google SecOps (Event Hub) konfigurieren

Erstellen Sie für jeden Event Hub einen Feed. Alle Feeds verwenden denselben Verbindungsstring auf Namespace-Ebene und unterscheiden sich nur durch den Event Hub-Namen und den Logtyp:

Feedname	Event Hub-Name	Google SecOps-Logtyp
Microsoft Azure Activity Logs	azure-activity	Microsoft Azure-Aktivität
Azure AD Logs	entra-id	Azure AD
Azure AD Directory Audit Logs	entra-id-audit	Azure AD-Verzeichnisüberprüfung
Microsoft Graph Activity Logs	entra-id-graph	Microsoft Graph-Aktivitätsprotokolle

Für jede Zeile in der Tabelle:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname den Feednamen ein, z. B. Azure Activity Logs.
5. Wählen Sie Microsoft Azure Event Hub als Quelltyp aus.
6. Wählen Sie den entsprechenden Protokolltyp aus (z. B. Microsoft Azure Activity).
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Event Hub-Name: Geben Sie den Event Hub-Namen aus der Tabelle ein (z. B. azure-activity).
   • Event Hub-Nutzergruppe: Geben Sie $Default oder die von Ihnen erstellte dedizierte Nutzergruppe ein (z. B. chronicle).
   • Event Hub-Verbindungsstring: Geben Sie den zuvor erfassten Verbindungsstring auf Namespace-Ebene ein.
   • Azure Storage-Verbindungsstring (optional): Veraltetes Feld für die Speicherung von Event Hub-Checkpointing-Daten. Lassen Sie es leer.
   • Azure Storage Container Name (optional): Legacy-Feld für den Event Hub-Prüfpunktspeicher; leer lassen.
   • Azure-SAS-Token (optional): Alternative Authentifizierung für den Event Hub, wenn Ihre Sicherheitsrichtlinie das Teilen der Event Hub-Verbindungszeichenfolge verbietet. Lassen Sie das Feld leer, wenn Sie die Verbindungszeichenfolge oben angeben.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
   Hinweis: Google SecOps verwaltet seine eigenen Prüfpunkte für Azure Event Hub-Feeds. Es ist nur die Event Hub-Verbindungszeichenfolge (oder stattdessen das Azure-SAS-Token) erforderlich. Die Felder Azure Storage-Verbindungszeichenfolge und Azure Storage-Containername sind Legacy-Felder für Checkpoints, die sich nicht auf die Aufnahme auswirken und in Standardbereitstellungen leer gelassen werden sollten.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

    Hinweis: Erstellen Sie nur die Feeds für die Protokollkategorien, die Sie in den Diagnoseeinstellungen aktiviert haben.

Methode 2: Microsoft Azure Blob Storage V2

Bei dieser Methode werden Azure-Aktivitäts- und Entra ID-Protokolle in einem Azure Storage-Konto archiviert und Google SecOps fragt die Blob-Container regelmäßig ab. Verwenden Sie diese Methode, wenn die Aufnahme in Echtzeit nicht erforderlich ist oder Ihre Umgebung auf Blob Storage standardisiert ist.

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

1. Suchen Sie im Azure-Portal nach Speicherkonten.
2. Klicken Sie auf + Erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo	Azure-Abo auswählen
   Ressourcengruppe	Vorhandenen auswählen oder neuen erstellen
   Name des Speicherkontos	Geben Sie einen eindeutigen Namen ein, z. B. secops-azure-logs.
   Region	Wählen Sie die Region aus, z. B. East US.
   Leistung	Standard (empfohlen)
   Redundanz	GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

4. Klicken Sie auf Überprüfen + Erstellen.

5. Prüfen Sie die Übersicht des Kontos und klicken Sie auf Erstellen.

6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

1. Rufen Sie das Storage-Konto auf, das Sie gerade erstellt haben.
2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
3. Klicken Sie auf Schlüssel anzeigen.
4. Kopieren und speichern Sie Folgendes für die spätere Verwendung:
   • Name des Speicherkontos: Der Name Ihres Speicherkontos (z. B. secops-azure-logs)
   • Schlüssel 1 oder Schlüssel 2: Der gemeinsame Zugriffsschlüssel (ein 512-Bit-Zufallsstring in Base64-Codierung)

Blob Service-Endpunkt abrufen

1. Wählen Sie im selben Speicherkonto in der linken Navigationsleiste Endpunkte aus.
2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
   • Beispiel: https://secops-azure-logs.blob.core.windows.net/

Diagnoseeinstellungen für Azure-Aktivitätsprotokolle konfigurieren

So exportieren Sie Azure-Aktivitätsprotokolle in das Speicherkonto:

1. Suchen Sie im Azure-Portal nach Monitor.
2. Klicken Sie im linken Navigationsbereich auf Aktivitätsprotokoll.
3. Klicken Sie oben im Fenster auf Aktivitätsprotokolle exportieren.
4. Klicken Sie auf Diagnoseeinstellung hinzufügen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. activity-logs-to-secops.
   • Wählen Sie im Bereich Logs die folgenden Kategorien aus:
     • Verwaltung
     • Sicherheit
     • Service Health
     • Benachrichtigung
     • Empfehlung
     • Richtlinie
     • Autoscale
     • Ressourcenstatus
   • Wählen Sie im Abschnitt Zieldetails das Kästchen In einem Speicherkonto archivieren aus.
   • Abo: Wählen Sie das Abo aus, das Ihr Speicherkonto enthält.
   • Speicherkonto: Wählen Sie das Speicherkonto aus, das Sie zuvor erstellt haben (z. B. secops-azure-logs).
6. Klicken Sie auf Speichern.

Hinweis: Nach der Konfiguration werden Logs automatisch in einen Container mit dem Namen insights-activity-logs exportiert. Es kann bis zu 15 Minuten dauern, bis die ersten Logs angezeigt werden.

Entra ID-Diagnoseeinstellungen konfigurieren

So exportieren Sie Entra ID-Protokolle in das Speicherkonto:

1. Suchen Sie im Azure-Portal nach Microsoft Entra ID oder Azure Active Directory.
2. Gehen Sie im linken Navigationsbereich zu Monitoring & Zustand > Diagnoseeinstellungen.
3. Klicken Sie auf Diagnoseeinstellung hinzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. entraid-logs-to-secops.
   • Wählen Sie im Abschnitt Logs die Logkategorien aus, die Sie exportieren möchten:
     • SignInLogs: Interaktive Nutzeranmeldungen
     • NonInteractiveUserSignInLogs: Nicht interaktive Nutzeranmeldungen (Diensthauptkonten, verwaltete Identitäten, die im Namen von Nutzern agieren)
     • ServicePrincipalSignInLogs: Anmeldungen von Dienstprinzipalen und Anwendungen
     • ManagedIdentitySignInLogs: Anmeldungen mit verwalteter Identität
     • AuditLogs: Audit-Trail aller Änderungen in Entra ID (Nutzererstellung, Rollenzuweisungen usw.)
     • ProvisioningLogs: Ereignisse zur Bereitstellung von Nutzern und Gruppen
     • RiskyUsers: Nutzer, die von Identity Protection gemeldet wurden
     • UserRiskEvents: Risikoerkennungen für Nutzerkonten
     • MicrosoftGraphActivityLogs: Microsoft Graph API-Aktivitätsprotokolle
   • Wählen Sie im Abschnitt Zieldetails das Kästchen In einem Speicherkonto archivieren aus.
   • Abo: Wählen Sie das Abo aus, das Ihr Speicherkonto enthält.
   • Speicherkonto: Wählen Sie das Speicherkonto aus, das Sie zuvor erstellt haben (z. B. secops-azure-logs).

5. Klicken Sie auf Speichern.

   Hinweis :Es kann bis zu 72 Stunden dauern, bis Entra ID-Protokolle im Speicherkonto angezeigt werden. Für jede ausgewählte Logkategorie wird ein separater Container mit dem Namensmuster insights-logs-{category-name} erstellt.

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem Azure Blob Storage zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihr Speicherkonto gewähren.

E‑Mail-Adresse des Dienstkontos abrufen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Nachrichten-Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen temporären Namen ein.
5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
6. Wählen Sie einen beliebigen Protokolltyp aus. Sie können dies später ändern.
7. Klicken Sie auf Dienstkonto abrufen.

8. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

   [e-mail]
   

9. Kopieren Sie diese E-Mail-Adresse. Sie verwenden es in der nächsten Aufgabe.

10. Klicken Sie auf Abbrechen, um die Feederstellung zu beenden. Die eigentlichen Feeds erstellen Sie später.

Hinweis: Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder anderen Beispielen.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage Blob Data Reader für Ihr Speicherkonto.

1. Rufen Sie im Azure-Portal Speicherkonten auf.
2. Klicken Sie auf den Namen Ihres Speicherkontos (z. B. secops-azure-logs).
3. Rufen Sie den Tab Zugriffssteuerung (IAM) auf.
4. Klicken Sie auf + Hinzufügen> Rollenzuweisung hinzufügen.
5. Suchen Sie auf dem Tab Rolle nach Storage Blob Data Reader und wählen Sie die Rolle aus.
6. Klicken Sie auf Weiter.
7. Klicken Sie auf dem Tab Mitglieder auf + Mitglieder auswählen.
8. Fügen Sie die E-Mail-Adresse des Google SecOps-Dienstkontos in das Suchfeld ein.
9. Wählen Sie das Dienstkonto in den Ergebnissen aus.
10. Klicken Sie auf Auswählen.
11. Klicken Sie auf Prüfen und zuweisen.

12. Prüfen Sie die Zuweisung und klicken Sie noch einmal auf Prüfen und zuweisen.

    Hinweis: Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage Blob-Daten-Mitwirkender anstelle von „Storage Blob-Datenleser“ zu.

Feeds in Google SecOps konfigurieren

Sie müssen für jeden Logtyp und Container einen separaten Feed erstellen. Die folgende Tabelle zeigt die Zuordnung zwischen Azure-Containern und Google SecOps-Logtypen:

Containername	Chronicle-Logtyp	Datenquelle
insights-activity-logs	Microsoft Azure-Aktivität	Azure-Aktivitätsprotokolle
insights-logs-signinlogs	Azure AD	Interaktive Anmeldungen in Entra ID
insights-logs-noninteractiveusersigninlogs	Azure AD	Nicht interaktive Anmeldungen in Entra ID
insights-logs-serviceprincipalsigninlogs	Azure AD	Entra ID-Dienstprinzipalanmeldungen
insights-logs-managedidentitysigninlogs	Azure AD	Anmeldungen mit verwalteter Entra ID-Identität
insights-logs-auditlogs	Azure AD-Verzeichnisüberprüfung	Entra ID-Audit-Logs
insights-logs-provisioninglogs	Azure AD	Entra ID-Bereitstellungslogs
insights-logs-riskyusers	Azure AD	Entra ID-Nutzer mit Risiko
insights-logs-userriskevents	Azure AD	Entra ID-Nutzerrisikoereignisse
insights-logs-microsoftgraphactivitylogs	Microsoft Graph-Aktivitätsprotokolle	Microsoft Graph-Aktivität

Feed für Microsoft Azure-Aktivitätsprotokolle erstellen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname den Wert Microsoft Azure Activity Logs ein.
5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
6. Wählen Sie Microsoft Azure Activity als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein:

     https://secops-azure-logs.blob.core.windows.net/insights-activity-logs/
     

   Ersetzen Sie secops-azure-logs durch den Namen Ihres Azure-Speicherkontos.

   Hinweis :Fügen Sie am Ende des URI einen abschließenden Schrägstrich (/) ein.
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:
     • Nie: Löscht nach Übertragungen nie Dateien.
     • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
     • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.
   Hinweis :Wenn Sie eine Löschoption auswählen, müssen Sie dem Dienstkonto die Rolle Beitragender für Storage-Blob-Daten zugewiesen haben.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • Wählen Sie im Drop-down-Menü für die Authentifizierung (standardmäßig Zugriffs-/freigegebener Schlüssel) die gewünschte Methode aus und geben Sie die entsprechenden Anmeldedaten an:

     • Zugriffs-/gemeinsamer Schlüssel: Fügen Sie im Feld Schlüssel einen zuvor erfassten Zugriffsschlüssel für das Speicherkonto (Schlüssel 1 oder Schlüssel 2) ein.
     • SAS-Token: Fügen Sie im Feld Token ein SAS-Token (Shared Access Signature) ein, das für den Container ausgestellt wurde.
     • Azure V2-Identitätsföderation von Arbeitslasten: Geben Sie die Client-ID und die Mandanten-ID der Microsoft Entra-Anwendung ein. Kopieren Sie die schreibgeschützte Subject ID, die im Feed angezeigt wird, und gewähren Sie der entsprechenden Identität Zugriff auf das Speicherkonto auf Azure-Seite.
     Hinweis :Das Chronicle-Dienstkonto auf der rechten Seite des Feeds hat nur Lesezugriff. Wenn Sie die Azure V2 Workload Identity-Föderation verwenden, konfigurieren Sie die föderierten Anmeldedaten von Microsoft Entra so, dass diesem Dienstkonto vertraut wird.

   • Asset-Namespace: Der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Nachrichten-Feed-Konfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds für Entra ID-Logs erstellen

Wiederholen Sie die folgenden Schritte für jeden Entra ID-Protokolltyp, den Sie in den Diagnoseeinstellungen konfiguriert haben:

Für interaktive Anmeldeprotokolle:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Nachrichten-Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname Azure AD Interactive Sign-in Logs ein.
5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
6. Wählen Sie Azure AD als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Azure-URI:

     https://secops-azure-logs.blob.core.windows.net/insights-logs-signinlogs/
     

   Hinweis: Fügen Sie am Ende des URI einen abschließenden Schrägstrich (/) ein.
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.
   • Maximales Dateialter: 180 Tage (Standard).

   • Wählen Sie im Drop-down-Menü für die Authentifizierung (standardmäßig Zugriffs-/freigegebener Schlüssel) die gewünschte Methode aus und geben Sie die entsprechenden Anmeldedaten an:

     • Zugriffsschlüssel/Geteilter Schlüssel: Fügen Sie im Feld Schlüssel einen zuvor erfassten Zugriffsschlüssel für das Speicherkonto (Schlüssel 1 oder Schlüssel 2) ein.
     • SAS-Token: Fügen Sie im Feld Token ein SAS-Token (Shared Access Signature) ein, das für den Container ausgestellt wurde.
     • Azure V2-Identitätsföderation von Arbeitslasten: Geben Sie die Client-ID und die Mandanten-ID der Microsoft Entra-Anwendung ein. Kopieren Sie die schreibgeschützte Subject ID, die im Feed angezeigt wird, und gewähren Sie der entsprechenden Identität Zugriff auf das Speicherkonto auf Azure-Seite.
     Hinweis :Das Chronicle-Dienstkonto auf der rechten Seite des Feeds hat nur Lesezugriff. Wenn Sie die Azure V2-Workload Identity-Föderation verwenden, konfigurieren Sie Ihre föderierten Microsoft Entra-Anmeldedaten so, dass sie diesem Dienstkonto vertrauen.

   • Asset-Namespace: Der Asset-Namespace.

   • Labels für Datenaufnahme: Das anzuwendende Label.

9. Klicken Sie auf Weiter und dann auf Senden.

Für nicht interaktive Anmeldelogs:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Non-interactive Sign-in Logs
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

Für Anmeldelogs für Dienstprinzipale:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Service Principal Sign-in Logs
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

Für Anmeldeprotokolle für verwaltete Identitäten:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Managed Identity Sign-in Logs
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

Für Audit-Logs:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Audit Logs
• Logtyp: Azure AD Directory Audit
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-auditlogs/

Bereitstellungslogs:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Provisioning Logs
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-provisioninglogs/

Für riskante Nutzer:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD Risky Users
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-riskyusers/

Für Nutzer-Risikoereignisse:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Azure AD User Risk Events
• Logtyp: Azure AD
• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-userriskevents/

Für Microsoft Graph-Aktivitätsprotokolle:

Erstellen Sie einen weiteren Feed mit den folgenden Einstellungen:

• Feed name: Microsoft Graph Activity Logs
• Logtyp: Microsoft Graph Activity Logs

• Azure-URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-microsoftgraphactivitylogs/

  Hinweis :Erstellen Sie Feeds nur für die Protokollkategorien, die Sie in den Entra ID-Diagnoseeinstellungen ausgewählt haben. Wenn Sie keine bestimmte Logkategorie aktiviert haben, überspringen Sie das Erstellen des entsprechenden Feeds.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten