Microsoft Azure 활동 및 Entra ID 로그 수집

다음에서 지원:

이 문서에서는 Google Security Operations 피드를 설정하여 Microsoft Azure 활동 및 Entra ID 로그를 수집하는 방법을 설명합니다. 다음 두 가지 방법으로 인제션을 구성할 수 있습니다.

  • 방법 1: Microsoft Azure Event Hub (권장): Azure 진단 설정은 활동 및 Entra ID 로그를 Azure Event Hub 네임스페이스로 스트리밍하며, 여기에서 Google SecOps가 거의 실시간으로 이를 수집합니다. 이 방법이 선호되는 방법입니다.
  • 방법 2: Microsoft Azure Blob Storage V2: Azure 진단 설정은 Azure 스토리지 계정에 로그를 보관하고 Google SecOps는 일정에 따라 Blob 컨테이너를 폴링합니다.

Microsoft Azure 활동 로그는 스토리지 계정 생성, 이벤트 허브 삭제, 가상 머신 수정과 같은 Azure 리소스에서 실행된 구독 수준 작업을 파악할 수 있도록 지원합니다. Microsoft Entra ID (이전 명칭: Azure Active Directory) 로그는 사용자 로그인, 감사 로그, 프로비저닝 활동, 보안 위험 감지 등 ID 및 액세스 관리 이벤트를 캡처합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • 다음 권한이 있는 Microsoft Azure 포털에 대한 권한 액세스
    • Event Hub 네임스페이스 (방법 1) 또는 Storage 계정 (방법 2) 만들기
    • Azure Monitor 및 Entra ID의 진단 설정 구성
    • 이벤트 허브 액세스 정책 (방법 1) 또는 스토리지 액세스 키 (방법 2) 관리
  • Entra ID의 보안 관리자 역할 이상 (Entra ID 진단 설정용)

이 방법을 사용하면 Azure 진단 설정이 Microsoft Azure 활동 및 Entra ID 로그를 Azure Event Hub 네임스페이스로 스트리밍하고 Google SecOps가 Event Hub에서 거의 실시간으로 직접 수집합니다.

각 Google SecOps 피드는 단일 이벤트 허브를 단일 로그 유형에 매핑합니다. Google SecOps 로그 유형별로 Event Hub를 하나씩 만들고 일치하는 Azure 로그 카테고리를 라우팅합니다.

Event Hubs Azure 로그 카테고리 Google SecOps 로그 유형
azure-activity Azure 활동 로그 Microsoft Azure Activity
entra-id SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs, ProvisioningLogs, RiskyUsers, UserRiskEvents Azure AD
entra-id-audit AuditLogs Azure AD Directory Audit
entra-id-graph MicrosoftGraphActivityLogs Microsoft Graph 활동 로그

Event Hub 네임스페이스 만들기

Event Hubs 네임스페이스는 하나 이상의 Event Hubs를 위한 관리 컨테이너입니다.

  1. Azure 포털에서 Event Hubs를 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Azure 구독 선택
    리소스 그룹 기존 항목 선택 또는 새로 만들기
    네임스페이스 이름 고유한 이름 (예: secops-azure-logs)을 입력합니다.
    위치 Google SecOps 인스턴스와 동일한 리전을 선택합니다 (다른 리전에 배포하면 수집 처리량이 감소함).
    가격 책정 등급 Standard 이상 (Basic은 네임스페이스당 하나의 Event Hub만 지원)
    처리량 단위 1로 시작하고 자동 확장을 사용 설정합니다.

  4. 검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.

  5. 배포가 완료될 때까지 기다립니다.

Event Hubs 만들기

이전 표에 나열된 각 Google SecOps 로그 유형에 대해 하나의 Event Hub를 만듭니다.

  1. 네임스페이스가 배포되면 Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색 메뉴의 엔터티에서 Event Hubs를 선택합니다.

  3. + Event Hub를 클릭하고 다음 설정으로 Event Hub를 만듭니다.

    설정 값
    이름 azure-activity
    파티션 수 40 (최적의 Google SecOps 확장성을 위해 권장됨, Standard 및 기본 등급에서 생성 후 변경 불가)
    메시지 보관 최소 7일 (할당량 제한 후 수집이 재개되기 전에 로그가 삭제되지 않도록 가능한 가장 긴 보관 기간을 설정)
    캡처 사용 중지됨 (직접 Event Hub 수집에는 필요하지 않음)

  4. 검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.

  5. 이 과정을 반복하여 entra-id, entra-id-audit, entra-id-graph 이벤트 허브를 만듭니다.

Event Hub 연결 문자열 가져오기

Google SecOps는 Event Hub에 인증하기 위한 연결 문자열이 필요합니다. 하나의 사용자 인증 정보가 생성한 모든 이벤트 허브에서 작동하도록 네임스페이스 수준 연결 문자열을 사용합니다.

  1. Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색에서 설정 아래의 공유 액세스 정책을 선택합니다.
  3. RootManageSharedAccessKey 정책을 클릭하거나 + 추가를 클릭하여 Listen 권한이 있는 전용 정책을 만듭니다.
  4. 연결 문자열 - 기본 키를 복사합니다.

  5. 이 연결 문자열을 안전하게 저장합니다.

Azure 활동 로그 진단 설정 구성 (Event Hub)

Azure 활동 로그를 azure-activity Event Hub로 스트리밍하려면 다음 단계를 따르세요.

  1. Azure 포털에서 모니터링을 검색합니다.
  2. 왼쪽 탐색에서 활동 로그를 클릭합니다.
  3. 창 상단에서 활동 로그 내보내기를 클릭합니다.
  4. 진단 설정 추가를 클릭합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 진단 설정 이름: 설명이 포함된 이름 (예: activity-logs-to-eventhub)을 입력합니다.
    • 로그 섹션에서 다음 카테고리를 선택합니다.
      • 관리
      • 보안
      • Service Health
      • 알림
      • 권장사항
      • 정책
      • 자동 확장
      • 리소스 상태
    • 대상 세부정보 섹션에서 이벤트 허브로 스트리밍 체크박스를 선택합니다.
    • 구독: Event Hub 네임스페이스가 포함된 구독을 선택합니다.
    • 이벤트 허브 네임스페이스: 이전에 만든 네임스페이스를 선택합니다 (예: secops-azure-logs).
    • 이벤트 허브 이름: azure-activity를 선택합니다.
    • 이벤트 허브 정책 이름: 공유 액세스 정책 (예: RootManageSharedAccessKey)을 선택합니다.
  6. 저장을 클릭합니다.

Entra ID 진단 설정 구성 (이벤트 허브)

각 진단 설정은 단일 이벤트 허브로 스트리밍되므로 Entra ID 이벤트 허브당 하나의 진단 설정을 만들고 Google SecOps 로그 유형별로 카테고리를 그룹화합니다.

  1. Azure 포털에서 Microsoft Entra ID 또는 Azure Active Directory를 검색합니다.
  2. 왼쪽 탐색 메뉴에서 모니터링 및 상태 > 진단 설정으로 이동합니다.

  3. 진단 설정 추가를 클릭하고 다음 설정을 한 번에 하나씩 만듭니다.

    entra-id Event Hub의 진단 설정 (로그 유형 Azure AD):

    • 진단 설정 이름: entraid-azuread-to-eventhub
    • 로그 섹션에서 다음 카테고리를 선택합니다.
      • SignInLogs
      • NonInteractiveUserSignInLogs
      • ServicePrincipalSignInLogs
      • ManagedIdentitySignInLogs
      • ProvisioningLogs
      • RiskyUsers
      • UserRiskEvents
    • 대상 세부정보 섹션에서 이벤트 허브로 스트리밍, 이벤트 허브 네임스페이스, 공유 액세스 정책이 있는 entra-id 이벤트 허브를 선택합니다.

    entra-id-audit Event Hub의 진단 설정 (로그 유형 Azure AD 디렉터리 감사):

    • 진단 설정 이름: entraid-audit-to-eventhub
    • 로그 섹션에서 AuditLogs를 선택합니다.
    • 대상 세부정보 섹션에서 이벤트 허브로 스트리밍, 이벤트 허브 네임스페이스, entra-id-audit 이벤트 허브를 선택합니다.

    entra-id-graph Event Hub의 진단 설정 (로그 유형 Microsoft Graph 활동 로그):

    • 진단 설정 이름: entraid-graph-to-eventhub
    • 로그 섹션에서 MicrosoftGraphActivityLogs를 선택합니다.
    • 대상 세부정보 섹션에서 이벤트 허브로 스트리밍, 이벤트 허브 네임스페이스, entra-id-graph 이벤트 허브를 선택합니다.

  4. 각 설정을 구성한 후 저장을 클릭합니다.

(선택사항) 전용 소비자 그룹 만들기

기본적으로 각 Event Hub는 $Default라는 소비자 그룹을 제공합니다. 프로덕션 환경의 경우 각 Event Hub에 Google SecOps 전용 소비자 그룹을 만드는 것이 좋습니다.

  1. 네임스페이스가 아닌 이벤트 허브로 이동합니다.
  2. 왼쪽 탐색에서 소비자 그룹을 선택합니다.
  3. + 소비자 그룹을 클릭하고 이름 (예: chronicle)을 입력한 후 만들기를 클릭합니다.

  4. 각 이벤트 허브에 대해 반복합니다.

Google SecOps (Event Hub)에서 피드 구성

각 이벤트 허브에 대해 하나의 피드를 만듭니다. 모든 피드는 동일한 네임스페이스 수준 연결 문자열을 사용하며 이벤트 허브 이름 및 로그 유형만 다릅니다.

피드 이름 Event Hub 이름 Google SecOps 로그 유형
Microsoft Azure Activity Logs azure-activity Microsoft Azure Activity
Azure AD Logs entra-id Azure AD
Azure AD Directory Audit Logs entra-id-audit Azure AD Directory Audit
Microsoft Graph Activity Logs entra-id-graph Microsoft Graph 활동 로그

표의 각 행에 대해 다음을 수행합니다.

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다 (예: Azure Activity Logs).
  5. 소스 유형으로 Microsoft Azure Event Hub를 선택합니다.
  6. 해당하는 로그 유형 (예: Microsoft Azure Activity)을 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 파라미터의 값을 지정합니다.

    • Event Hub 이름: 표에서 Event Hub 이름을 입력합니다 (예: azure-activity).
    • Event Hub Consumer Group(이벤트 허브 소비자 그룹): $Default 또는 생성한 전용 소비자 그룹(예: chronicle)을 입력합니다.
    • 이벤트 허브 연결 문자열: 이전에 캡처한 네임스페이스 수준 연결 문자열을 입력합니다.
    • Azure Storage 연결 문자열 (선택사항): Event Hub 체크포인트 스토리지의 기존 필드입니다. 비워 둡니다.
    • Azure Storage Container Name (선택사항): Event Hub 체크포인트 스토리지의 기존 필드입니다. 비워 두세요.
    • Azure SAS 토큰 (선택사항): 보안 정책에서 Event Hub 연결 문자열 공유를 금지하는 경우 Event Hub에 대한 대체 인증입니다. 위의 연결 문자열을 제공하는 경우 비워 둡니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

방법 2: Microsoft Azure Blob Storage V2

이 방법을 사용하면 Azure 진단 설정에서 Azure 활동 및 Entra ID 로그를 Azure 스토리지 계정에 보관하고 Google SecOps에서 일정에 따라 blob 컨테이너를 폴링합니다. 거의 실시간 수집이 필요하지 않거나 환경이 Blob Storage를 표준화하는 경우 이 방법을 사용하세요.

Azure 스토리지 계정 구성

스토리지 계정 만들기

  1. Azure 포털에서 스토리지 계정을 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Azure 구독 선택
    리소스 그룹 기존 항목 선택 또는 새로 만들기
    스토리지 계정 이름 고유한 이름 (예: secops-azure-logs)을 입력합니다.
    리전 리전을 선택합니다 (예: East US).
    성능 표준 (권장)
    중복성 GRS (지리적 중복 스토리지) 또는 LRS (로컬 중복 스토리지)

  4. 검토 + 만들기를 클릭합니다.

  5. 계정 개요를 검토하고 만들기를 클릭합니다.

  6. 배포가 완료될 때까지 기다립니다.

스토리지 계정 사용자 인증 정보 가져오기

  1. 방금 만든 스토리지 계정으로 이동합니다.
  2. 왼쪽 탐색 메뉴의 보안 + 네트워킹에서 액세스 키를 선택합니다.
  3. 키 표시를 클릭합니다.
  4. 나중에 사용할 수 있도록 다음을 복사하여 저장합니다.
    • 스토리지 계정 이름: 스토리지 계정 이름 (예: secops-azure-logs)
    • 키 1 또는 키 2: 공유 액세스 키 (base-64 인코딩의 512비트 무작위 문자열)

Blob 서비스 엔드포인트 가져오기

  1. 동일한 스토리지 계정의 왼쪽 탐색에서 엔드포인트를 선택합니다.
  2. Blob 서비스 엔드포인트 URL을 복사하여 저장합니다.
    • 예: https://secops-azure-logs.blob.core.windows.net/

Azure 활동 로그 진단 설정 구성

Azure 활동 로그를 스토리지 계정으로 내보내려면 다음 단계를 따르세요.

  1. Azure 포털에서 모니터링을 검색합니다.
  2. 왼쪽 탐색에서 활동 로그를 클릭합니다.
  3. 창 상단에서 활동 로그 내보내기를 클릭합니다.
  4. 진단 설정 추가를 클릭합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 진단 설정 이름: 설명이 포함된 이름 (예: activity-logs-to-secops)을 입력합니다.
    • 로그 섹션에서 다음 카테고리를 선택합니다.
      • 관리
      • 보안
      • Service Health
      • 알림
      • 권장사항
      • 정책
      • 자동 확장
      • 리소스 상태
    • 대상 세부정보 섹션에서 스토리지 계정에 아카이브 체크박스를 선택합니다.
    • 구독: 스토리지 계정이 포함된 구독을 선택합니다.
    • 스토리지 계정: 이전에 만든 스토리지 계정을 선택합니다 (예: secops-azure-logs).
  6. 저장을 클릭합니다.

Entra ID 진단 설정 구성

Entra ID 로그를 스토리지 계정으로 내보내려면 다음 안내를 따르세요.

  1. Azure 포털에서 Microsoft Entra ID 또는 Azure Active Directory를 검색합니다.
  2. 왼쪽 탐색 메뉴에서 모니터링 및 상태 > 진단 설정으로 이동합니다.
  3. 진단 설정 추가를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 진단 설정 이름: 설명이 포함된 이름 (예: entraid-logs-to-secops)을 입력합니다.
    • 로그 섹션에서 내보내려는 로그 카테고리를 선택합니다.
      • SignInLogs: 대화형 사용자 로그인
      • NonInteractiveUserSignInLogs: 비대화형 사용자 로그인 (서비스 주체, 사용자를 대신하는 관리 ID)
      • ServicePrincipalSignInLogs: 서비스 주 구성원 및 애플리케이션 로그인
      • ManagedIdentitySignInLogs: 관리형 ID 로그인
      • AuditLogs: Entra ID의 모든 변경사항 (사용자 생성, 역할 할당 등)에 대한 감사 추적
      • ProvisioningLogs: 사용자 및 그룹 프로비저닝 이벤트
      • RiskyUsers: ID 보호에서 신고한 사용자
      • UserRiskEvents: 사용자 계정의 위험 감지
      • MicrosoftGraphActivityLogs: Microsoft Graph API 활동 로그
    • 대상 세부정보 섹션에서 스토리지 계정에 아카이브 체크박스를 선택합니다.
    • 구독: 스토리지 계정이 포함된 구독을 선택합니다.
    • 스토리지 계정: 이전에 만든 스토리지 계정을 선택합니다 (예: secops-azure-logs).

  5. 저장을 클릭합니다.

    이름 지정 패턴으로 별도의 컨테이너를 만듭니다.

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 Azure Blob Storage에서 데이터를 읽습니다. 이 서비스 계정에 스토리지 계정에 대한 액세스 권한을 부여해야 합니다.

서비스 계정 이메일 가져오기

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 임시 이름을 입력합니다.
  5. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  6. 로그 유형을 선택합니다 (나중에 변경할 수 있음).
  7. 서비스 계정 가져오기를 클릭합니다.

  8. 고유한 서비스 계정 이메일이 표시됩니다. 예를 들면 다음과 같습니다.

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 이 이메일 주소를 복사합니다. 다음 단계에서 사용합니다.

  10. 취소를 클릭하여 피드 생성을 종료합니다 (실제 피드는 나중에 생성함).

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 스토리지 계정에 대한 스토리지 Blob 데이터 리더 역할이 필요합니다.

  1. Azure 포털에서 스토리지 계정으로 이동합니다.
  2. 스토리지 계정 이름 (예: secops-azure-logs)을 클릭합니다.
  3. 액세스 제어 (IAM) 탭으로 이동합니다.
  4. + 추가 > 역할 할당 추가를 클릭합니다.
  5. 역할 탭에서 Storage Blob Data Reader를 검색하여 선택합니다.
  6. 다음을 클릭합니다.
  7. 회원 탭에서 + 회원 선택을 클릭합니다.
  8. 검색창에 Google SecOps 서비스 계정 이메일을 붙여넣습니다.
  9. 결과에서 서비스 계정을 선택합니다.
  10. 선택을 클릭합니다.
  11. 검토 + 할당을 클릭합니다.

  12. 할당을 검토하고 검토 + 할당을 다시 클릭합니다.

Google SecOps에서 피드 구성

로그 유형과 컨테이너별로 별도의 피드를 만들어야 합니다. 다음 표에서는 Azure 컨테이너와 Google SecOps 로그 유형 간의 매핑을 보여줍니다.

컨테이너 이름 Chronicle 로그 유형 데이터 소스
insights-activity-logs Microsoft Azure Activity Azure 활동 로그
insights-logs-signinlogs Azure AD Entra ID 대화형 로그인
insights-logs-noninteractiveusersigninlogs Azure AD Entra ID 비대화형 로그인
insights-logs-serviceprincipalsigninlogs Azure AD Entra ID 서비스 주체 로그인
insights-logs-managedidentitysigninlogs Azure AD Entra ID 관리 ID 로그인
insights-logs-auditlogs Azure AD Directory Audit Entra ID 감사 로그
insights-logs-provisioninglogs Azure AD Entra ID 프로비저닝 로그
insights-logs-riskyusers Azure AD Entra ID 위험한 사용자
insights-logs-userriskevents Azure AD Entra ID 사용자 위험 이벤트
insights-logs-microsoftgraphactivitylogs Microsoft Graph 활동 로그 Microsoft Graph 활동

Microsoft Azure 활동 로그용 피드 만들기

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 Microsoft Azure Activity Logs를 입력합니다.
  5. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  6. 로그 유형으로 Microsoft Azure Activity를 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 매개변수의 값을 지정합니다.

    • Azure URI: 컨테이너 경로가 포함된 Blob 서비스 엔드포인트 URL을 입력합니다.

      https://secops-azure-logs.blob.core.windows.net/insights-activity-logs/

    secops-azure-logs을 Azure 스토리지 계정 이름으로 바꿉니다.

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다.
      • 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.
      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료된 후 파일과 빈 디렉터리를 삭제합니다.
    • 최대 파일 기간: 지난 며칠 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.

    • 인증 드롭다운 (기본값은 액세스/공유 키)에서 사용할 방법을 선택하고 해당 사용자 인증 정보를 제공합니다.

      • 액세스/공유 키: 키 필드에 이전에 캡처한 스토리지 계정 액세스 키 (키 1 또는 키 2)를 붙여넣습니다.
      • SAS 토큰: 토큰 필드에 컨테이너에 발급된 공유 액세스 서명 (SAS) 토큰을 붙여넣습니다.
      • Azure V2 워크로드 아이덴티티 제휴: Microsoft Entra 애플리케이션 클라이언트 ID 및 테넌트 ID를 입력합니다. 피드에 표시되는 읽기 전용 주체 ID를 복사하고 Azure 측의 스토리지 계정에 일치하는 ID 액세스 권한을 부여합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

Entra ID 로그의 피드 만들기

진단 설정에서 구성한 각 Entra ID 로그 유형에 대해 다음 단계를 반복합니다.

대화형 로그인 로그:

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 Azure AD Interactive Sign-in Logs를 입력합니다.
  5. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  6. 로그 유형으로 Azure AD를 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 파라미터의 값을 지정합니다.

    • Azure URI:

      https://secops-azure-logs.blob.core.windows.net/insights-logs-signinlogs/
    • 소스 삭제 옵션: 환경설정에 따라 선택합니다.
    • 최대 파일 기간: 180일 (기본값)

    • 인증 드롭다운 (기본값은 액세스/공유 키)에서 사용할 방법을 선택하고 해당 사용자 인증 정보를 제공합니다.

      • 액세스/공유 키: 키 필드에 앞에서 캡처한 스토리지 계정 액세스 키 (키 1 또는 키 2)를 붙여넣습니다.
      • SAS 토큰: 토큰 필드에 컨테이너에 발급된 공유 액세스 서명 (SAS) 토큰을 붙여넣습니다.
      • Azure V2 워크로드 아이덴티티 제휴: Microsoft Entra 애플리케이션 클라이언트 ID 및 테넌트 ID를 입력합니다. 피드에 표시되는 읽기 전용 주체 ID를 복사하고 Azure 측의 스토리지 계정에 일치하는 ID 액세스 권한을 부여합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 적용할 라벨입니다.

  9. 다음을 클릭한 후 제출을 클릭합니다.

비상호작용 로그인 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Non-interactive Sign-in Logs
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

서비스 주체 로그인 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Service Principal Sign-in Logs
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

관리형 ID 로그인 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Managed Identity Sign-in Logs
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

감사 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Audit Logs
  • 로그 유형: Azure AD Directory Audit
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-auditlogs/

프로비저닝 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Provisioning Logs
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-provisioninglogs/

위험한 사용자:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD Risky Users
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-riskyusers/

사용자 위험 이벤트:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Azure AD User Risk Events
  • 로그 유형: Azure AD
  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-userriskevents/

Microsoft Graph 활동 로그:

다음 설정으로 다른 피드를 만듭니다.

  • 피드 이름: Microsoft Graph Activity Logs
  • 로그 유형: Microsoft Graph Activity Logs

  • Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-microsoftgraphactivitylogs/

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.