Collecter les journaux d'activité Microsoft Azure et Entra ID

Compatible avec :

Google SecOps SIEM

Ce document explique comment collecter les journaux d'activité Microsoft Azure et d'Entra ID en configurant des flux Google Security Operations. Vous pouvez configurer l'ingestion de deux manières :

• Méthode 1 : Microsoft Azure Event Hub (recommandée) : les paramètres de diagnostic Azure diffusent les journaux d'activité et d'ID Entra vers un espace de noms Azure Event Hub, à partir duquel Google SecOps les ingère en temps quasi réel. Il s'agit de la méthode recommandée.
• Méthode 2 : Microsoft Azure Blob Storage V2 : les paramètres de diagnostic Azure archivent les journaux dans un compte de stockage Azure, et Google SecOps interroge les conteneurs de blobs selon un calendrier.

Les journaux d'activité Microsoft Azure fournissent des informations sur les opérations au niveau de l'abonnement effectuées sur les ressources Azure, comme la création de comptes de stockage, la suppression de hubs d'événements ou la modification de machines virtuelles. Les journaux Microsoft Entra ID (anciennement Azure Active Directory) enregistrent les événements de gestion de l'authentification et des accès, y compris les connexions des utilisateurs, les journaux d'audit, les activités de provisionnement et les détections de risques de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Accès privilégié au portail Microsoft Azure avec les autorisations suivantes :
  • Créez des espaces de noms Event Hub (méthode 1) ou des comptes de stockage (méthode 2).
  • Configurer les paramètres de diagnostic pour Azure Monitor et Entra ID
  • Gérer les règles d'accès Event Hub (méthode 1) ou les clés d'accès au stockage (méthode 2)
• Rôle d'administrateur de la sécurité ou supérieur dans Entra ID (pour les paramètres de diagnostic Entra ID)

Remarque : Vous pouvez créer jusqu'à 10 flux Azure Event Hub par instance Google SecOps, y compris les flux actifs et inactifs. En regroupant les catégories de journaux par type de journal Google SecOps, comme décrit dans la méthode 1, vous pouvez maintenir le nombre d'Event Hubs et de flux dans cette limite. Pour en savoir plus sur la configuration du flux Azure Event Hubs canonique, consultez Créer un flux Azure Event Hubs.

Méthode 1 : Microsoft Azure Event Hub (recommandée)

Avec cette méthode, les paramètres de diagnostic Azure diffusent les journaux d'activité Microsoft Azure et Entra ID vers un espace de noms Azure Event Hub, et Google SecOps les ingère directement depuis l'Event Hub en temps quasi réel.

Chaque flux Google SecOps mappe un seul Event Hub à un seul type de journal. Créez un Event Hub par type de journal Google SecOps et acheminez-y les catégories de journaux Azure correspondantes :

Hub d'événements	Catégories de journaux Azure	Type de journal Google SecOps
azure-activity	Journal d'activité Azure	Activité Microsoft Azure
entra-id	SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs, ProvisioningLogs, RiskyUsers, UserRiskEvents	Azure AD
entra-id-audit	AuditLogs	Audit du répertoire Azure AD
entra-id-graph	MicrosoftGraphActivityLogs	Journaux d'activité Microsoft Graph

Créer un espace de noms Event Hubs

Un espace de noms Event Hubs est un conteneur de gestion pour un ou plusieurs hubs d'événements.

1. Dans le portail Azure, recherchez Event Hubs.
2. Cliquez sur + Créer.

3. Fournissez les informations de configuration suivantes :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Groupe de ressources	Sélectionner un élément existant ou en créer un
   Nom de l'espace de noms	Saisissez un nom unique (par exemple, secops-azure-logs).
   Emplacement	Sélectionnez la même région que votre instance Google SecOps (le déploiement dans une autre région réduit le débit d'ingestion).
   Niveau de tarification	Standard ou supérieur (le niveau de base n'accepte qu'un seul Event Hub par espace de noms)
   Unités de débit	Commencez par 1 et activez Gonfler automatiquement.

4. Cliquez sur Examiner et créer, puis sur Créer.

5. Attendez la fin du déploiement.

   Remarque : L'espace de noms Event Hub doit se trouver dans la même région que votre instance Google SecOps. Le déploiement dans une autre région peut réduire le débit d'ingestion. Une unité de débit (TU) accepte jusqu'à 1 Mo par seconde d'entrée. Activez l'augmentation automatique pour que l'espace de noms évolue à mesure que le volume de journaux augmente et que les événements ne soient pas perdus avant d'atteindre Google SecOps.

Créer des hubs d'événements

Créez un Event Hub pour chaque type de journal Google SecOps listé dans le tableau précédent.

1. Une fois l'espace de noms déployé, accédez à l'espace de noms Event Hubs.
2. Dans le volet de navigation de gauche, sélectionnez Event Hubs sous Entités.

3. Cliquez sur + Event Hub et créez un Event Hub avec les paramètres suivants :

   Paramètre	Valeur
   Nom	azure-activity
   Nombre de partitions	40 (recommandé pour une mise à l'échelle optimale de Google SecOps ; ne peut pas être modifié après la création dans les niveaux Standard et Niveau de base)
   Conservation des messages	7 jours minimum (définissez la durée de conservation la plus longue possible afin que les journaux ne soient pas supprimés avant la reprise de l'ingestion après une limitation du quota)
   Capture	Désactivé (non requis pour l'ingestion directe dans Event Hub)

4. Cliquez sur Examiner et créer, puis sur Créer.

5. Répétez l'opération pour créer les hubs d'événements entra-id, entra-id-audit et entra-id-graph.

   Remarque : Diffusez toujours les journaux Azure vers un hub d'événements existant. Si vous laissez le champ Nom de l'Event Hub vide dans un paramètre de diagnostic, Azure crée un Event Hub distinct pour chaque catégorie de journaux (nommé insights-logs-<category>), ce qui peut épuiser le quota d'Event Hub de l'espace de noms et votre quota de flux Google SecOps.

Obtenir une chaîne de connexion Event Hub

Google SecOps nécessite une chaîne de connexion pour s'authentifier auprès de l'Event Hub. Utilisez une chaîne de connexion au niveau de l'espace de noms afin qu'un seul identifiant fonctionne pour tous les hubs d'événements que vous avez créés.

1. Accédez à l'espace de noms Event Hub.
2. Dans le panneau de navigation de gauche, sélectionnez Règles d'accès partagé sous Paramètres.
3. Cliquez sur la règle RootManageSharedAccessKey ou sur + Ajouter pour créer une règle dédiée avec l'autorisation Écouter.
4. Copiez la chaîne de connexion de la clé primaire.

5. Enregistrez cette chaîne de connexion de manière sécurisée.

   Remarque : Une chaîne de connexion au niveau de l'espace de noms n'inclut pas le paramètre EntityPath. Vous spécifiez le hub d'événements cible séparément dans le champ Nom du hub d'événements de chaque flux, de sorte que la même chaîne de connexion soit réutilisée dans tous les flux.

Configurer les paramètres de diagnostic des journaux d'activité Azure (Event Hub)

Pour diffuser des journaux d'activité Azure vers le hub d'événements azure-activity :

1. Dans le portail Azure, recherchez Monitor.
2. Cliquez sur Journal d'activité dans le panneau de navigation de gauche.
3. Cliquez sur Exporter les journaux d'activité en haut de la fenêtre.
4. Cliquez sur Ajouter un paramètre de diagnostic.
5. Fournissez les informations de configuration suivantes :
   • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, activity-logs-to-eventhub).
   • Dans la section Journaux, sélectionnez les catégories suivantes :
     • Administration
     • Sécurité
     • Service Health
     • Alerte
     • Recommandation
     • Règle
     • Autoscaling
     • État des ressources
   • Dans la section Détails de la destination, cochez la case Diffuser vers un hub d'événements.
   • Abonnement : sélectionnez l'abonnement contenant votre espace de noms Event Hub.
   • Espace de noms Event Hubs : sélectionnez l'espace de noms que vous avez créé précédemment (par exemple, secops-azure-logs).
   • Nom du hub d'événements : sélectionnez azure-activity.
   • Nom de la règle du hub d'événements : sélectionnez la règle d'accès partagé (par exemple, RootManageSharedAccessKey).
6. Cliquez sur Enregistrer.

Configurer les paramètres de diagnostic Entra ID (Event Hub)

Chaque paramètre de diagnostic est diffusé vers un seul Event Hub. Vous devez donc créer un paramètre de diagnostic par Event Hub Entra ID et regrouper les catégories par type de journal Google SecOps.

1. Sur le portail Azure, recherchez Microsoft Entra ID ou Azure Active Directory.
2. Dans le panneau de navigation de gauche, accédez à Monitoring & health>Diagnostic settings (Surveillance et état > Paramètres de diagnostic).

3. Cliquez sur Ajouter un paramètre de diagnostic et créez les paramètres suivants, un par un :

   Paramètre de diagnostic pour le hub d'événements entra-id (type de journal Azure AD) :

   • Nom du paramètre de diagnostic : entraid-azuread-to-eventhub
   • Dans la section Journaux, sélectionnez les catégories suivantes :
     • SignInLogs
     • NonInteractiveUserSignInLogs
     • ServicePrincipalSignInLogs
     • ManagedIdentitySignInLogs
     • ProvisioningLogs
     • RiskyUsers
     • UserRiskEvents
   • Dans la section Détails de la destination, sélectionnez Diffuser vers un Event Hub, votre espace de noms Event Hub et l'Event Hub entra-id avec sa stratégie d'accès partagé.

   Paramètre de diagnostic pour le hub d'événements entra-id-audit (type de journal Azure AD Directory Audit) :

   • Nom du paramètre de diagnostic : entraid-audit-to-eventhub
   • Dans la section Journaux, sélectionnez AuditLogs.
   • Dans la section Détails de la destination, sélectionnez Diffuser vers un Event Hub, votre espace de noms Event Hub et l'Event Hub entra-id-audit.

   Paramètre de diagnostic pour le hub d'événements entra-id-graph (type de journal "Journaux d'activité Microsoft Graph") :

   • Nom du paramètre de diagnostic : entraid-graph-to-eventhub
   • Dans la section Journaux, sélectionnez MicrosoftGraphActivityLogs.
   • Dans la section Détails de la destination, sélectionnez Diffuser vers un Event Hub, votre espace de noms Event Hub et l'Event Hub entra-id-graph.

4. Après avoir configuré chaque paramètre, cliquez sur Enregistrer.

Remarque : Ne configurez que les catégories que vous souhaitez ingérer. Si vous n'avez pas besoin d'une catégorie, omettez-la dans le paramètre de diagnostic et ignorez le flux correspondant. Le streaming des journaux vers Event Hubs peut prendre plusieurs minutes.

(Facultatif) Créer des groupes de consommateurs dédiés

Par défaut, chaque Event Hub fournit un groupe de consommateurs nommé $Default. Pour les environnements de production, il est recommandé de créer un groupe de consommateurs dédié pour Google SecOps sur chaque Event Hub.

1. Accédez à un Event Hub (et non à l'espace de noms).
2. Dans le panneau de navigation de gauche, sélectionnez Groupes de consommateurs.
3. Cliquez sur + Groupe de consommateurs, saisissez un nom (par exemple, chronicle), puis cliquez sur Créer.

4. Répétez l'opération pour chaque Event Hub.

   Attention : Ne créez pas d'abonnés supplémentaires dans le groupe de consommateurs Google SecOps et ne récupérez pas de données de manière programmatique via l'onglet Explorateur de données du portail Azure lorsqu'il est utilisé. Ces deux actions peuvent entraîner une perte de données, car les décalages des groupes de consommateurs Event Hub progressent à mesure que les données sont lues.

Configurer des flux dans Google SecOps (Event Hub)

Créez un flux pour chaque Event Hub. Tous les flux utilisent la même chaîne de connexion au niveau de l'espace de noms et ne diffèrent que par le nom de l'Event Hub et le type de journal :

Nom de flux	Nom du hub d'événements	Type de journal Google SecOps
Microsoft Azure Activity Logs	azure-activity	Activité Microsoft Azure
Azure AD Logs	entra-id	Azure AD
Azure AD Directory Audit Logs	entra-id-audit	Audit du répertoire Azure AD
Microsoft Graph Activity Logs	entra-id-graph	Journaux d'activité Microsoft Graph

Pour chaque ligne du tableau :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez le nom du flux (par exemple, Azure Activity Logs).
5. Sélectionnez Microsoft Azure Event Hub comme type de source.
6. Sélectionnez le type de journal correspondant (par exemple, Microsoft Azure Activity).
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Nom du hub d'événements : saisissez le nom du hub d'événements à partir du tableau (par exemple, azure-activity).
   • Groupe de consommateurs Event Hub : saisissez $Default ou le groupe de consommateurs dédié que vous avez créé (par exemple, chronicle).
   • Chaîne de connexion Event Hubs : saisissez la chaîne de connexion au niveau de l'espace de noms que vous avez capturée précédemment.
   • Chaîne de connexion Azure Storage (facultatif) : champ obsolète pour le stockage des points de contrôle Event Hub. Laissez-le vide.
   • Nom du conteneur de stockage Azure (facultatif) : champ hérité pour le stockage des points de contrôle Event Hub. Laissez-le vide.
   • Jeton SAS Azure (facultatif) : autre méthode d'authentification pour Event Hub lorsque votre règle de sécurité interdit le partage de la chaîne de connexion Event Hub. Laissez ce champ vide si vous fournissez la chaîne de connexion ci-dessus.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.
   Remarque : Google SecOps gère ses propres points de contrôle pour les flux Azure Event Hubs. Seul le champ "Chaîne de connexion Event Hub" (ou Jeton SAP Azure à la place) est obligatoire. Les champs Chaîne de connexion Azure Storage et Nom du conteneur Azure Storage sont des champs de point de contrôle obsolètes qui n'ont aucune incidence sur l'ingestion et doivent être laissés vides dans les déploiements standards.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

    Remarque : Ne créez que les flux correspondant aux catégories de journaux que vous avez activées dans les paramètres de diagnostic.

Méthode 2 : Microsoft Azure Blob Storage V2

Avec cette méthode, les paramètres de diagnostic Azure archivent les journaux d'activité Azure et Entra ID dans un compte de stockage Azure, et Google SecOps interroge les conteneurs blob selon une planification. Utilisez cette méthode lorsque l'ingestion en temps quasi réel n'est pas requise ou lorsque votre environnement est standardisé sur Blob Storage.

Configurer un compte Azure Storage

Créer le compte de stockage

1. Dans le portail Azure, recherchez Comptes de stockage.
2. Cliquez sur + Créer.

3. Fournissez les informations de configuration suivantes :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Groupe de ressources	Sélectionner une base de données existante ou en créer une
   Nom du compte de stockage	Saisissez un nom unique (par exemple, secops-azure-logs).
   Région	Sélectionnez la région (par exemple, East US).
   Performances	Standard (recommandé)
   Redondance	GRS (stockage géoredondant) ou LRS (stockage localement redondant)

4. Cliquez sur Examiner et créer.

5. Passez en revue l'aperçu du compte, puis cliquez sur Créer.

6. Attendez la fin du déploiement.

Obtenir les identifiants du compte de stockage

1. Accédez au compte de stockage que vous venez de créer.
2. Dans le panneau de navigation de gauche, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
3. Cliquez sur Afficher les clés.
4. Copiez et enregistrez les éléments suivants pour les utiliser ultérieurement :
   • Nom du compte de stockage : nom de votre compte de stockage (par exemple, secops-azure-logs)
   • Clé 1 ou Clé 2 : clé d'accès partagée (chaîne aléatoire de 512 bits encodée en base64)

Obtenir le point de terminaison du service Blob

1. Dans le même compte de stockage, sélectionnez Points de terminaison dans le panneau de navigation de gauche.
2. Copiez et enregistrez l'URL du point de terminaison du service Blob.
   • Exemple : https://secops-azure-logs.blob.core.windows.net/

Configurer les paramètres de diagnostic du journal d'activité Azure

Pour exporter les journaux d'activité Azure vers le compte de stockage :

1. Dans le portail Azure, recherchez Monitor.
2. Cliquez sur Journal d'activité dans le panneau de navigation de gauche.
3. Cliquez sur Exporter les journaux d'activité en haut de la fenêtre.
4. Cliquez sur Ajouter un paramètre de diagnostic.
5. Fournissez les informations de configuration suivantes :
   • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, activity-logs-to-secops).
   • Dans la section Journaux, sélectionnez les catégories suivantes :
     • Administration
     • Sécurité
     • Service Health
     • Alerte
     • Recommandation
     • Règle
     • Autoscaling
     • État des ressources
   • Dans la section Détails de la destination, cochez la case Archiver dans un compte de stockage.
   • Abonnement : sélectionnez l'abonnement contenant votre compte de stockage.
   • Compte de stockage : sélectionnez le compte de stockage que vous avez créé précédemment (par exemple, secops-azure-logs).
6. Cliquez sur Enregistrer.

Remarque : Une fois la configuration terminée, les journaux seront automatiquement exportés vers un conteneur nommé insights-activity-logs. L'affichage des premiers journaux peut prendre jusqu'à 15 minutes.

Configurer les paramètres de diagnostic Entra ID

Pour exporter les journaux Entra ID vers le compte de stockage :

1. Dans le portail Azure, recherchez Microsoft Entra ID ou Azure Active Directory.
2. Dans le panneau de navigation de gauche, accédez à Surveillance et état > Paramètres de diagnostic.
3. Cliquez sur Ajouter un paramètre de diagnostic.
4. Fournissez les informations de configuration suivantes :
   • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, entraid-logs-to-secops).
   • Dans la section Journaux, sélectionnez les catégories de journaux que vous souhaitez exporter :
     • SignInLogs : connexions interactives des utilisateurs
     • NonInteractiveUserSignInLogs : connexions d'utilisateurs non interactifs (comptes principaux de service, identités gérées agissant au nom des utilisateurs)
     • ServicePrincipalSignInLogs : connexions des principaux de service et des applications
     • ManagedIdentitySignInLogs : connexions des identités gérées
     • AuditLogs : piste d'audit de toutes les modifications apportées à Entra ID (création d'utilisateurs, attribution de rôles, etc.)
     • ProvisioningLogs : événements de provisionnement d'utilisateurs et de groupes
     • RiskyUsers : utilisateurs signalés par Identity Protection
     • UserRiskEvents : détections de risques pour les comptes utilisateur
     • MicrosoftGraphActivityLogs : journaux d'activité de l'API Microsoft Graph
   • Dans la section Détails de la destination, cochez la case Archiver dans un compte de stockage.
   • Abonnement : sélectionnez l'abonnement contenant votre compte de stockage.
   • Compte de stockage : sélectionnez le compte de stockage que vous avez créé précédemment (par exemple, secops-azure-logs).

5. Cliquez sur Enregistrer.

   Remarque : Il peut s'écouler jusqu'à 72 heures avant que les journaux Entra ID ne commencent à s'afficher dans le compte de stockage. Chaque catégorie de journaux sélectionnée créera un conteneur distinct avec le modèle de nom insights-logs-{category-name}.

Récupérer le compte de service Google SecOps

Google SecOps utilise un compte de service unique pour lire les données de votre stockage Blob Azure. Vous devez accorder à ce compte de service l'accès à votre compte de stockage.

Obtenir l'adresse e-mail du compte de service

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Cliquez sur Configurer un flux unique.
4. Dans le champ Nom du flux, saisissez un nom temporaire.
5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
6. Sélectionnez un type de journal (vous pourrez le modifier ultérieurement).
7. Cliquez sur Get Service Account (Obtenir un compte de service).

8. Une adresse e-mail de compte de service unique s'affiche, par exemple :

   [e-mail]
   

9. Copiez cette adresse e-mail. Vous en aurez besoin lors de la tâche suivante.

10. Cliquez sur Annuler pour quitter la création de flux (vous créerez les flux réels plus tard).

Remarque : Chaque instance Google SecOps possède un compte de service unique. N'utilisez pas de comptes de service provenant d'autres documentations ou exemples.

Accorder des autorisations IAM au compte de service Google SecOps

Le compte de service Google SecOps doit disposer du rôle Lecteur des données Blob Storage sur votre compte de stockage.

1. Dans le portail Azure, accédez à Comptes de stockage.
2. Cliquez sur le nom de votre compte de stockage (par exemple, secops-azure-logs).
3. Accédez à l'onglet Contrôle des accès (IAM).
4. Cliquez sur + Ajouter > Ajouter une attribution de rôle.
5. Dans l'onglet Rôle, recherchez et sélectionnez Lecteur des données blob de stockage.
6. Cliquez sur Suivant.
7. Dans l'onglet Membres, cliquez sur + Sélectionner des membres.
8. Dans le champ de recherche, collez l'adresse e-mail du compte de service Google SecOps.
9. Sélectionnez le compte de service dans les résultats.
10. Cliquez sur Sélectionner.
11. Cliquez sur Examiner et attribuer.

12. Examinez l'attribution, puis cliquez à nouveau sur Examiner et attribuer.

    Remarque : Si vous prévoyez d'utiliser l'option de suppression "Supprimer les fichiers transférés" ou "Supprimer les fichiers transférés et les répertoires vides", accordez le rôle Contributeur des données blob de stockage au lieu de Lecteur des données blob de stockage.

Configurer des flux dans Google SecOps

Vous devez créer un flux distinct pour chaque type de journal et chaque conteneur. Le tableau suivant montre le mappage entre les conteneurs Azure et les types de journaux Google SecOps :

Nom du conteneur	Type de journal Chronicle	Source de données
insights-activity-logs	Activité Microsoft Azure	Journaux d'activité Azure
insights-logs-signinlogs	Azure AD	Connexions interactives Entra ID
insights-logs-noninteractiveusersigninlogs	Azure AD	Connexions non interactives Entra ID
insights-logs-serviceprincipalsigninlogs	Azure AD	Connexions du compte principal de service Entra ID
insights-logs-managedidentitysigninlogs	Azure AD	Connexions avec identité gérée Entra ID
insights-logs-auditlogs	Audit du répertoire Azure AD	Journaux d'audit Entra ID
insights-logs-provisioninglogs	Azure AD	Journaux de provisionnement Entra ID
insights-logs-riskyusers	Azure AD	Utilisateurs à risque Entra ID
insights-logs-userriskevents	Azure AD	Événements de risque utilisateur Entra ID
insights-logs-microsoftgraphactivitylogs	Journaux d'activité Microsoft Graph	Activité Microsoft Graph

Créer un flux pour les journaux d'activité Microsoft Azure

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez Microsoft Azure Activity Logs.
5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
6. Sélectionnez Activité Microsoft Azure comme Type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur :

     https://secops-azure-logs.blob.core.windows.net/insights-activity-logs/
     

   Remplacez secops-azure-logs par le nom de votre compte de stockage Azure.

   Remarque : Incluez la barre oblique (/) à la fin de l'URI.
   • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :
     • Jamais : ne supprime jamais aucun fichier après les transferts.
     • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.
     • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides après un transfert réussi.
   Remarque : Si vous sélectionnez une option de suppression, assurez-vous d'avoir attribué le rôle Contributeur des données blob de stockage au compte de service.
   • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.

   • Dans le menu déroulant d'authentification (par défaut, Clé d'accès/partagée), sélectionnez la méthode que vous souhaitez utiliser et fournissez les identifiants correspondants :

     • Clé d'accès/partagée : dans le champ Clé, collez une clé d'accès au compte de stockage (Clé 1 ou Clé 2) que vous avez récupérée précédemment.
     • Jeton SAP : dans le champ Jeton, collez un jeton de signature d'accès partagé (SAP) émis pour le conteneur.
     • Fédération d'identité de charge de travail Azure V2 : saisissez l'ID client et l'ID de locataire de l'application Microsoft Entra. Copiez l'ID du sujet en lecture seule affiché par le flux et accordez l'accès à l'identité correspondante au compte de stockage côté Azure.
     Remarque : Le compte de service Chronicle affiché à droite du flux est en lecture seule. Lorsque vous utilisez la fédération d'identité de charge de travail Azure V2, configurez vos identifiants fédérés Microsoft Entra pour qu'ils fassent confiance à ce compte de service.

   • Espace de noms de l'élément : espace de noms de l'élément.

   • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Créer des flux pour les journaux Entra ID

Répétez les étapes suivantes pour chaque type de journal Entra ID que vous avez configuré dans les paramètres de diagnostic :

Pour les journaux de connexion interactifs :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Cliquez sur Configurer un flux unique.
4. Dans le champ Nom du flux, saisissez Azure AD Interactive Sign-in Logs.
5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
6. Sélectionnez Azure AD comme Type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • URI Azure :

     https://secops-azure-logs.blob.core.windows.net/insights-logs-signinlogs/
     

   Remarque : Incluez la barre oblique finale (/) à la fin de l'URI.
   • Option de suppression de la source : sélectionnez l'option de votre choix.
   • Âge maximal du fichier : 180 jours (par défaut).

   • Dans le menu déroulant d'authentification (par défaut, Clé d'accès/partagée), sélectionnez la méthode que vous souhaitez utiliser et fournissez les identifiants correspondants :

     • Clé d'accès/partagée : dans le champ Clé, collez une clé d'accès au compte de stockage (Clé 1 ou Clé 2) capturée précédemment.
     • Jeton SAP : dans le champ Jeton, collez un jeton de signature d'accès partagé (SAP) émis pour le conteneur.
     • Fédération d'identité de charge de travail Azure V2 : saisissez l'ID client et l'ID de locataire de l'application Microsoft Entra. Copiez l'ID du sujet en lecture seule affiché par le flux et accordez l'accès à l'identité correspondante au compte de stockage côté Azure.
     Remarque : Le compte de service Chronicle affiché à droite du flux est en lecture seule. Lorsque vous utilisez la fédération d'identité de charge de travail Azure V2, configurez vos identifiants fédérés Microsoft Entra pour qu'ils fassent confiance à ce compte de service.

   • Espace de noms de l'élément : espace de noms de l'élément.

   • Libellés d'ingestion : libellé à appliquer.

9. Cliquez sur Suivant, puis sur Envoyer.

Pour les journaux de connexion non interactive :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Non-interactive Sign-in Logs
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

Pour les journaux de connexion du principal de service :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Service Principal Sign-in Logs
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

Pour les journaux de connexion des identités gérées :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Managed Identity Sign-in Logs
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

Pour les journaux d'audit :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Audit Logs
• Type de journal : Azure AD Directory Audit
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-auditlogs/

Pour les journaux de provisionnement :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Provisioning Logs
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-provisioninglogs/

Pour les utilisateurs à risque :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD Risky Users
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-riskyusers/

Pour les événements à risque utilisateur :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Azure AD User Risk Events
• Type de journal : Azure AD
• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-userriskevents/

Pour les journaux d'activité Microsoft Graph :

Créez un autre flux avec les paramètres suivants :

• Nom du flux : Microsoft Graph Activity Logs
• Type de journal : Microsoft Graph Activity Logs

• URI Azure : https://secops-azure-logs.blob.core.windows.net/insights-logs-microsoftgraphactivitylogs/

  Remarque : Ne créez des flux que pour les catégories de journaux que vous avez sélectionnées dans les paramètres de diagnostic Entra ID. Si vous n'avez pas activé de catégorie de journaux spécifique, ignorez la création du flux correspondant.

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.