Raccogli i log delle attività di Microsoft Azure e di Entra ID

Supportato in:

Google SecOps SIEM

Questo documento spiega come raccogliere i log di Microsoft Azure Activity ed Entra ID configurando i feed di Google Security Operations. Puoi configurare l'importazione utilizzando due metodi:

• Metodo 1: Microsoft Azure Event Hub (consigliato): le impostazioni di diagnostica di Azure trasmettono in streaming i log di attività e di Entra ID a uno spazio dei nomi di Azure Event Hub, da cui Google SecOps li importa quasi in tempo reale. Questo è il metodo preferito.
• Metodo 2: Microsoft Azure Blob Storage V2: Azure diagnostic settings archivia i log in un account Azure Storage e Google SecOps esegue il polling dei contenitori di blob in base a una pianificazione.

I log attività di Microsoft Azure forniscono informazioni dettagliate sulle operazioni a livello di sottoscrizione eseguite sulle risorse Azure, come la creazione di account di archiviazione, l'eliminazione di hub eventi o la modifica di macchine virtuali. I log di Microsoft Entra ID (in precedenza Azure Active Directory) acquisiscono eventi di gestione di identità e accessi, tra cui accessi degli utenti, log di controllo, attività di provisioning e rilevamenti di rischi per la sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso con privilegi al portale Microsoft Azure con autorizzazioni per:
  • Crea spazi dei nomi di Event Hub (metodo 1) o account di archiviazione (metodo 2)
  • Configura le impostazioni di diagnostica per Monitoraggio di Azure ed Entra ID
  • Gestisci le policy di accesso all'hub eventi (metodo 1) o le chiavi di accesso allo spazio di archiviazione (metodo 2)
• Ruolo di amministratore della sicurezza o superiore in Entra ID (per le impostazioni di diagnostica di Entra ID)

Nota: puoi creare fino a 10 feed di Azure Event Hub per istanza di Google SecOps, inclusi i feed attivi e non attivi. Il raggruppamento delle categorie di log per tipo di log Google SecOps, come descritto nel Metodo 1, mantiene il numero di hub eventi e feed entro questo limite. Per informazioni dettagliate sulla configurazione del feed canonico di Azure Event Hub, consulta Creare un feed Azure Event Hub.

Metodo 1: Microsoft Azure Event Hub (consigliato)

Con questo metodo, le impostazioni di diagnostica di Azure trasmettono i log di Microsoft Azure Activity e di Entra ID a uno spazio dei nomi di Azure Event Hub e Google SecOps li importa direttamente dall'hub eventi quasi in tempo reale.

Ogni feed Google SecOps mappa un singolo Event Hub a un singolo tipo di log. Crea un hub eventi per tipo di log di Google SecOps e indirizza le categorie di log di Azure corrispondenti:

Hub di evento	Categorie di log Azure	Tipo di log di Google SecOps
azure-activity	Log delle attività di Azure	Attività Microsoft Azure
entra-id	SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs, ProvisioningLogs, RiskyUsers, UserRiskEvents	Azure AD
entra-id-audit	AuditLogs	Azure AD Directory Audit
entra-id-graph	MicrosoftGraphActivityLogs	Log delle attività di Microsoft Graph

Crea uno spazio dei nomi degli hub di evento

Uno spazio dei nomi degli hub di evento è un contenitore di gestione per uno o più hub di evento.

1. Nel portale Azure, cerca Event Hubs.
2. Fai clic su + Crea.

3. Fornisci i seguenti dettagli di configurazione:

   Impostazione	Valore
   Abbonamento	Seleziona il tuo abbonamento Azure
   Gruppo di risorse	Seleziona un elemento esistente o creane uno nuovo
   Nome dello spazio dei nomi	Inserisci un nome univoco (ad esempio, secops-azure-logs).
   Località	Seleziona la stessa regione dell'istanza Google SecOps (il deployment in una regione diversa riduce la velocità effettiva di importazione)
   Livello di prezzo	Standard o superiore (Basic supporta un solo hub eventi per spazio dei nomi)
   Unità di throughput	Inizia con 1 e attiva Gonfiaggio automatico.

4. Fai clic su Review + create (Rivedi e crea), quindi su Create (Crea).

5. Attendi il completamento del deployment.

   Nota :lo spazio dei nomi Event Hub deve trovarsi nella stessa regione dell'istanza Google SecOps. Il deployment in una regione diversa può ridurre la velocità effettiva di importazione. Un'unità di velocità effettiva (TU) supporta fino a 1 MB al secondo di traffico in entrata. Attiva l'espansione automatica in modo che lo scale up dello spazio dei nomi venga eseguito man mano che il volume dei log aumenta e gli eventi non vadano persi prima di raggiungere Google SecOps.

Crea hub degli eventi

Crea un hub eventi per ogni tipo di log di Google SecOps elencato nella tabella precedente.

1. Dopo il deployment dello spazio dei nomi, vai a Spazio dei nomi dell'hub di evento.
2. Nel pannello di navigazione a sinistra, seleziona Hub eventi in Entità.

3. Fai clic su + Event Hub e crea un Event Hub con le seguenti impostazioni:

   Impostazione	Valore
   Nome	azure-activity
   Conteggio partizioni	40 (consigliato per uno scalabilità ottimale di Google SecOps; non può essere modificato dopo la creazione nei livelli Standard e Basic)
   Conservazione dei messaggi	7 giorni minimo (imposta il periodo di conservazione più lungo che puoi permetterti in modo che i log non vengano eliminati prima che la ricezione riprenda dopo una limitazione della quota)
   Acquisizione	Disabilitato (non necessario per l'importazione diretta di Event Hub)

4. Fai clic su Rivedi e crea, quindi su Crea.

5. Ripeti l'operazione per creare gli hub eventi entra-id, entra-id-audit e entra-id-graph.

   Nota: esegui sempre lo streaming dei log di Azure in un hub eventi esistente. Se lasci vuoto il campo Nome hub eventi in un'impostazione di diagnostica, Azure crea un hub eventi separato per ogni categoria di log (denominato insights-logs-<category>), il che può esaurire la quota dell'hub eventi dello spazio dei nomi e la quota del feed di Google SecOps.

Ottenere una stringa di connessione dell'hub di eventi

Google SecOps richiede una stringa di connessione per l'autenticazione a Event Hub. Utilizza una stringa di connessione a livello di spazio dei nomi in modo che una credenziale funzioni per tutti gli hub eventi che hai creato.

1. Vai allo spazio dei nomi dell'hub di evento.
2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
3. Fai clic sul criterio RootManageSharedAccessKey o su + Aggiungi per creare un criterio dedicato con l'autorizzazione Listen.
4. Copia la stringa di connessione-chiave primaria.

5. Salva questa stringa di connessione in modo sicuro.

   Nota :una stringa di connessione a livello di spazio dei nomi non include il parametro EntityPath. Specifica l'hub di eventi di destinazione separatamente nel campo Event Hub Name (Nome hub di eventi) di ogni feed, in modo che la stessa stringa di connessione venga riutilizzata in tutti i feed.

Configura le impostazioni di diagnostica dei log delle attività Azure (hub eventi)

Per trasmettere in streaming i log delle attività Azure all'hub eventi azure-activity:

1. Nel portale Azure, cerca Monitoraggio.
2. Fai clic su Log delle attività nel pannello di navigazione a sinistra.
3. Fai clic su Esporta log delle attività nella parte superiore della finestra.
4. Fai clic su Aggiungi impostazione di diagnostica.
5. Fornisci i seguenti dettagli di configurazione:
   • Nome impostazione diagnostica: inserisci un nome descrittivo (ad esempio activity-logs-to-eventhub).
   • Nella sezione Log, seleziona le seguenti categorie:
     • Amministrativo
     • Sicurezza
     • Service Health
     • Avviso
     • Consiglio
     • Norme
     • Scalabilità automatica
     • Resource Health
   • Nella sezione Dettagli destinazione, seleziona la casella di controllo Trasmetti in streaming a un hub eventi.
   • Abbonamento: seleziona l'abbonamento contenente lo spazio dei nomi dell'hub eventi.
   • Spazio dei nomi dell'hub eventi: seleziona lo spazio dei nomi che hai creato in precedenza (ad esempio, secops-azure-logs).
   • Nome hub eventi: seleziona azure-activity.
   • Nome policy hub di eventi: seleziona la policy di accesso condiviso (ad esempio, RootManageSharedAccessKey).
6. Fai clic su Salva.

Configura le impostazioni di diagnostica di Entra ID (Event Hub)

Ogni impostazione di diagnostica viene trasmessa in streaming a un singolo hub eventi, quindi crea un'impostazione di diagnostica per ogni hub eventi Entra ID e raggruppa le categorie in base al tipo di log Google SecOps.

1. Nel portale Azure, cerca Microsoft Entra ID o Azure Active Directory.
2. Nel riquadro di navigazione a sinistra, vai a Monitoraggio e stato > Impostazioni di diagnostica.

3. Fai clic su Aggiungi impostazione di diagnostica e crea le seguenti impostazioni, una alla volta:

   Impostazione di diagnostica per l'hub eventi entra-id (tipo di log Azure AD):

   • Nome dell'impostazione di diagnostica: entraid-azuread-to-eventhub
   • Nella sezione Log, seleziona le seguenti categorie:
     • SignInLogs
     • NonInteractiveUserSignInLogs
     • ServicePrincipalSignInLogs
     • ManagedIdentitySignInLogs
     • ProvisioningLogs
     • RiskyUsers
     • UserRiskEvents
   • Nella sezione Dettagli destinazione, seleziona Trasmetti in streaming a un hub eventi, lo spazio dei nomi dell'hub eventi e l'entra-id hub eventi con la relativa policy di accesso condiviso.

   Impostazione di diagnostica per l'hub eventi entra-id-audit (tipo di log Audit directory Azure AD):

   • Nome impostazione di diagnostica: entraid-audit-to-eventhub
   • Nella sezione Log, seleziona AuditLogs.
   • Nella sezione Dettagli destinazione, seleziona Trasmetti in streaming a un hub eventi, lo spazio dei nomi dell'hub eventi e l'hub eventi entra-id-audit.

   Impostazione di diagnostica per l'hub eventi entra-id-graph (tipo di log Log delle attività di Microsoft Graph):

   • Nome impostazione di diagnostica: entraid-graph-to-eventhub
   • Nella sezione Log, seleziona MicrosoftGraphActivityLogs.
   • Nella sezione Dettagli destinazione, seleziona Trasmetti in streaming a un hub eventi, lo spazio dei nomi dell'hub eventi e l'hub eventi entra-id-graph.

4. Dopo aver configurato ogni impostazione, fai clic su Salva.

Nota: configura solo le categorie che vuoi importare. Se non hai bisogno di una categoria, omettila dall'impostazione di diagnostica e salta il feed corrispondente. Potrebbero essere necessari diversi minuti prima che i log inizino lo streaming verso gli hub eventi.

(Facoltativo) Crea gruppi di consumatori dedicati

Per impostazione predefinita, ogni hub di eventi fornisce un gruppo di consumatori denominato $Default. Per gli ambienti di produzione, è consigliabile creare un gruppo di consumer dedicato per Google SecOps su ogni Event Hub.

1. Vai a un hub eventi (non allo spazio dei nomi).
2. Nel menu di navigazione a sinistra, seleziona Gruppi di consumatori.
3. Fai clic su + Gruppo di consumatori, inserisci un nome (ad esempio chronicle) e fai clic su Crea.

4. Ripeti l'operazione per ogni hub di eventi.

   Attenzione: non creare altri abbonati nel gruppo di consumatori Google SecOps e non recuperare i dati in modo programmatico tramite la scheda Esplora dati del portale Azure durante l'utilizzo. Entrambe le azioni possono causare la perdita di dati perché gli offset dei gruppi di consumer di Event Hub avanzano man mano che i dati vengono letti.

Configura i feed in Google SecOps (Event Hub)

Crea un feed per ogni hub di eventi. Tutti i feed utilizzano la stessa stringa di connessione a livello di spazio dei nomi e differiscono solo per Nome hub eventi e Tipo di log:

Nome feed	Nome dell'hub di evento	Tipo di log di Google SecOps
Microsoft Azure Activity Logs	azure-activity	Microsoft Azure Activity
Azure AD Logs	entra-id	Azure AD
Azure AD Directory Audit Logs	entra-id-audit	Audit della directory Azure AD
Microsoft Graph Activity Logs	entra-id-graph	Log delle attività di Microsoft Graph

Per ogni riga della tabella:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci il nome del feed (ad esempio Azure Activity Logs).
5. Seleziona Microsoft Azure Event Hub come Tipo di origine.
6. Seleziona il Tipo di log corrispondente (ad esempio, Microsoft Azure Activity).
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • Nome hub di eventi: inserisci il nome dell'hub di eventi dalla tabella (ad esempio, azure-activity).
   • Gruppo di consumer di Event Hubs: inserisci $Default o il gruppo di consumer dedicato che hai creato (ad esempio chronicle).
   • Stringa di connessione dell'hub di eventi: inserisci la stringa di connessione a livello di spazio dei nomi che hai acquisito in precedenza.
   • Stringa di connessione ad Azure Storage (facoltativo): campo legacy per lo spazio di archiviazione dei checkpoint di Event Hubs; lascialo vuoto.
   • Nome container Azure Storage (facoltativo): campo legacy per lo spazio di archiviazione dei checkpoint di Event Hubs; lascialo vuoto.
   • Token SAS di Azure (facoltativo): autenticazione alternativa all'hub eventi quando le norme di sicurezza vietano la condivisione della stringa di connessione dell'hub eventi; lascia vuoto se fornisci la stringa di connessione sopra.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
   Nota: Google SecOps gestisce il proprio checkpointing per i feed di Hub eventi di Azure. È obbligatoria solo la stringa di connessione dell'hub eventi (o, al suo posto, il token SAS di Azure). I campi Stringa di connessione di Azure Storage e Nome del container Azure Storage sono campi di checkpoint legacy che non influiscono sull'importazione e devono essere lasciati vuoti nei deployment standard.

9. Fai clic su Avanti.

10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

    Nota: crea solo i feed per le categorie di log che hai attivato nelle impostazioni di diagnostica.

Metodo 2: Microsoft Azure Blob Storage V2

Con questo metodo, le impostazioni di diagnostica di Azure archiviano i log di attività di Azure e di Entra ID in un account di archiviazione Azure e Google SecOps esegue il polling dei contenitori di blob in base a una pianificazione. Utilizza questo metodo quando non è richiesta l'importazione quasi in tempo reale o quando il tuo ambiente è standardizzato su Blob Storage.

Configura un account di archiviazione Azure

Crea l'account di archiviazione

1. Nel portale Azure, cerca Account di archiviazione.
2. Fai clic su + Crea.

3. Fornisci i seguenti dettagli di configurazione:

   Impostazione	Valore
   Abbonamento	Seleziona il tuo abbonamento Azure
   Gruppo di risorse	Seleziona esistente o crea nuovo
   Nome account di archiviazione	Inserisci un nome univoco (ad esempio, secops-azure-logs).
   Regione	Seleziona la regione (ad esempio, East US)
   Prestazioni	Standard (consigliato)
   Ridondanza	GRS (archiviazione con ridondanza geografica) o LRS (archiviazione con ridondanza locale)

4. Fai clic su Review + create (Rivedi e crea).

5. Rivedi la panoramica dell'account e fai clic su Crea.

6. Attendi il completamento del deployment.

Ottieni le credenziali dell'account di archiviazione

1. Vai all'account di archiviazione che hai appena creato.
2. Nel riquadro di navigazione a sinistra, seleziona Chiavi di accesso in Sicurezza e networking.
3. Fai clic su Mostra chiavi.
4. Copia e salva quanto segue per un utilizzo futuro:
   • Nome account Storage: il nome del tuo account Storage (ad esempio, secops-azure-logs)
   • Chiave 1 o Chiave 2: la chiave di accesso condivisa (una stringa casuale di 512 bit con codifica base64)

Ottieni l'endpoint del servizio Blob

1. Nello stesso account di archiviazione, seleziona Endpoint dal menu di navigazione a sinistra.
2. Copia e salva l'URL dell'endpoint del servizio Blob.
   • Esempio: https://secops-azure-logs.blob.core.windows.net/

Configura le impostazioni di diagnostica del Log delle attività di Azure

Per esportare i log delle attività di Azure nell'account di archiviazione:

1. Nel portale Azure, cerca Monitoraggio.
2. Fai clic su Log delle attività nel pannello di navigazione a sinistra.
3. Fai clic su Esporta log delle attività nella parte superiore della finestra.
4. Fai clic su Aggiungi impostazione di diagnostica.
5. Fornisci i seguenti dettagli di configurazione:
   • Nome impostazione diagnostica: inserisci un nome descrittivo (ad esempio activity-logs-to-secops).
   • Nella sezione Log, seleziona le seguenti categorie:
     • Amministrativo
     • Sicurezza
     • Service Health
     • Avviso
     • Consiglio
     • Norme
     • Scalabilità automatica
     • Resource Health
   • Nella sezione Dettagli destinazione, seleziona la casella di controllo Archivia in un account di archiviazione.
   • Abbonamento: seleziona l'abbonamento contenente il tuo account di archiviazione.
   • Account di archiviazione: seleziona l'account di archiviazione che hai creato in precedenza (ad esempio, secops-azure-logs).
6. Fai clic su Salva.

Nota: dopo la configurazione, i log verranno esportati automaticamente in un contenitore denominato insights-activity-logs. Potrebbero essere necessari fino a 15 minuti prima che vengano visualizzati i primi log.

Configura le impostazioni di diagnostica di Entra ID

Per esportare i log di Entra ID nell'account di archiviazione:

1. Nel portale Azure, cerca Microsoft Entra ID o Azure Active Directory.
2. Nel riquadro di navigazione a sinistra, vai a Monitoraggio e stato > Impostazioni di diagnostica.
3. Fai clic su Aggiungi impostazione di diagnostica.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome impostazione diagnostica: inserisci un nome descrittivo (ad esempio entraid-logs-to-secops).
   • Nella sezione Log, seleziona le categorie di log che vuoi esportare:
     • SignInLogs: accessi utente interattivi
     • NonInteractiveUserSignInLogs: accessi utente non interattivi (entità di servizio, identità gestite che agiscono per conto degli utenti)
     • ServicePrincipalSignInLogs: accessi di entità servizio e applicazioni
     • ManagedIdentitySignInLogs: accessi con identità gestita
     • AuditLogs: audit trail di tutte le modifiche in Entra ID (creazione di utenti, assegnazioni di ruoli e così via)
     • ProvisioningLogs: eventi di provisioning di utenti e gruppi
     • RiskyUsers: utenti segnalati da Identity Protection
     • UserRiskEvents: rilevamenti di rischi per gli account utente
     • MicrosoftGraphActivityLogs: log delle attività API Microsoft Graph
   • Nella sezione Dettagli destinazione, seleziona la casella di controllo Archivia in un account di archiviazione.
   • Abbonamento: seleziona l'abbonamento contenente il tuo account di archiviazione.
   • Account di archiviazione: seleziona l'account di archiviazione che hai creato in precedenza (ad esempio, secops-azure-logs).

5. Fai clic su Salva.

   Nota: potrebbero essere necessarie fino a 72 ore prima che i log di Entra ID inizino a essere visualizzati nell'account di archiviazione. Ogni categoria di log selezionata creerà un contenitore separato con il pattern di denominazione insights-logs-{category-name}.

Recupera il account di servizio Google SecOps

Google SecOps utilizza un account di servizio univoco per leggere i dati da Azure Blob Storage. Devi concedere a questo account di servizio l'accesso al tuo account di archiviazione.

Recupera l'email del account di servizio

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome temporaneo.
5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
6. Seleziona un tipo di log (puoi modificarlo in un secondo momento).
7. Fai clic su Get Service Account (Ottieni service account).

8. Verrà visualizzato un indirizzo email del account di servizio univoco, ad esempio:

   [e-mail]
   

9. Copia l'indirizzo email. Lo utilizzerai nel prossimo passaggio.

10. Fai clic su Annulla per uscire dalla creazione del feed (creerai i feed effettivi in un secondo momento).

Nota: ogni istanza di Google SecOps ha un account di servizio univoco. Non utilizzare service account di altre documentazioni o esempi.

Concedi le autorizzazioni IAM al account di servizio Google SecOps

Il account di servizio Google SecOps deve avere il ruolo Storage Blob Data Reader nel tuo account di archiviazione.

1. Nel portale di Azure, vai ad Account di archiviazione.
2. Fai clic sul nome del tuo account di archiviazione (ad esempio, secops-azure-logs).
3. Vai alla scheda Controllo degli accessi (IAM).
4. Fai clic su + Aggiungi > Aggiungi assegnazione ruolo.
5. Nella scheda Ruolo, cerca e seleziona Storage Blob Data Reader.
6. Fai clic su Avanti.
7. Nella scheda Membri, fai clic su + Seleziona membri.
8. Nella casella di ricerca, incolla l'email dell'account di servizio di Google SecOps.
9. Seleziona il account di servizio dai risultati.
10. Fai clic su Seleziona.
11. Fai clic su Rivedi e assegna.

12. Rivedi l'assegnazione e fai di nuovo clic su Rivedi e assegna.

    Nota :se prevedi di utilizzare l'opzione di eliminazione "Elimina i file trasferiti" o "Elimina i file trasferiti e le directory vuote", assegna il ruolo Collaboratore ai dati dei blob di archiviazione anziché Lettore dei dati dei blob di archiviazione.

Configura i feed in Google SecOps

Devi creare un feed separato per ogni tipo di log e contenitore. La seguente tabella mostra il mapping tra i container Azure e i tipi di log di Google SecOps:

Nome container	Tipo di log Chronicle	Origine dati
insights-activity-logs	Microsoft Azure Activity	Log delle attività Azure
insights-logs-signinlogs	Azure AD	Accessi interattivi Entra ID
insights-logs-noninteractiveusersigninlogs	Azure AD	Accessi non interattivi di Entra ID
insights-logs-serviceprincipalsigninlogs	Azure AD	Accessi dell'entità servizio Entra ID
insights-logs-managedidentitysigninlogs	Azure AD	Accessi con identità gestita Entra ID
insights-logs-auditlogs	Audit della directory Azure AD	Audit log di Entra ID
insights-logs-provisioninglogs	Azure AD	Log di provisioning di Entra ID
insights-logs-riskyusers	Azure AD	Utenti a rischio Entra ID
insights-logs-userriskevents	Azure AD	Eventi di rischio utente Entra ID
insights-logs-microsoftgraphactivitylogs	Log delle attività di Microsoft Graph	Attività di Microsoft Graph

Crea un feed per i log delle attività di Microsoft Azure

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci Microsoft Azure Activity Logs.
5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
6. Seleziona Attività di Microsoft Azure come Tipo di log.
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • URI Azure: inserisci l'URL dell'endpoint del servizio BLOB con il percorso del container:

     https://secops-azure-logs.blob.core.windows.net/insights-activity-logs/
     

   Sostituisci secops-azure-logs con il nome del tuo account Azure Storage.

   Nota :includi la barra finale (/) alla fine dell'URI.
   • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:
     • Mai: non elimina mai i file dopo i trasferimenti.
     • Elimina file trasferiti: elimina i file dopo il trasferimento riuscito.
     • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.
   Nota: se selezioni un'opzione di eliminazione, assicurati di aver concesso il ruolo Storage Blob Data Contributor al service account.
   • Età massima file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.

   • Dal menu a discesa dell'autenticazione (il valore predefinito è Access/Shared key), seleziona il metodo che vuoi utilizzare e fornisci la credenziale corrispondente:

     • Chiave di accesso/condivisa: nel campo Chiave, incolla una chiave di accesso all'account di archiviazione (Chiave 1 o Chiave 2) acquisita in precedenza.
     • Token SAS: nel campo Token, incolla un token di firma di accesso condiviso (SAS) emesso per il contenitore.
     • Federazione delle identità per i workload di Azure V2: inserisci l'ID client e l'ID tenant dell'applicazione Microsoft Entra. Copia l'ID soggetto di sola lettura visualizzato dal feed e concedi l'accesso all'identità corrispondente all'account di archiviazione sul lato Azure.
     Nota: il service account Chronicle mostrato sul lato destro del feed è di sola lettura. Quando utilizzi la federazione delle identità del carico di lavoro Azure V2, configura le credenziali federate di Microsoft Entra in modo che considerino attendibile questo service account.

   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

9. Fai clic su Avanti.

10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza, quindi fai clic su Invia.

Crea feed per i log di Entra ID

Ripeti i seguenti passaggi per ogni tipo di log di Entra ID configurato nelle impostazioni di diagnostica:

Per i log di accesso interattivi:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci Azure AD Interactive Sign-in Logs.
5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
6. Seleziona Azure AD come Tipo di log.
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • URI Azure:

     https://secops-azure-logs.blob.core.windows.net/insights-logs-signinlogs/
     

   Nota: includi la barra finale (/) alla fine dell'URI.
   • Opzione di eliminazione dell'origine: seleziona l'opzione che preferisci.
   • Durata massima del file: 180 giorni (valore predefinito).

   • Nel menu a discesa dell'autenticazione (impostato per impostazione predefinita su Chiave di accesso/condivisa), seleziona il metodo che vuoi utilizzare e fornisci le credenziali corrispondenti:

     • Chiave di accesso/condivisa: nel campo Chiave, incolla una chiave di accesso dell'account di archiviazione (Chiave 1 o Chiave 2) acquisita in precedenza.
     • Token SAS: nel campo Token, incolla un token di firma di accesso condiviso (SAS) emesso per il contenitore.
     • Federazione delle identità per i workload di Azure V2: inserisci l'ID client e l'ID tenant dell'applicazione Microsoft Entra. Copia l'ID soggetto di sola lettura visualizzato dal feed e concedi l'accesso all'identità corrispondente all'account di archiviazione sul lato Azure.
     Nota: il service account Chronicle mostrato sul lato destro del feed è di sola lettura. Quando utilizzi la federazione delle identità del carico di lavoro Azure V2, configura le credenziali federate di Microsoft Entra in modo che considerino attendibile questo service account.

   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

   • Etichette di importazione: l'etichetta da applicare.

9. Fai clic su Avanti, quindi su Invia.

Per i log di accesso non interattivi:

Crea un altro feed con le seguenti impostazioni:

• Nome del feed: Azure AD Non-interactive Sign-in Logs
• Tipo di log: Azure AD
• URI Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

Per i log di accesso dell'entità servizio:

Crea un altro feed con le seguenti impostazioni:

• Nome del feed: Azure AD Service Principal Sign-in Logs
• Tipo di log: Azure AD
• URI Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

Per i log di accesso con identità gestita:

Crea un altro feed con le seguenti impostazioni:

• Nome del feed: Azure AD Managed Identity Sign-in Logs
• Tipo di log: Azure AD
• URI di Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

Per gli audit log:

Crea un altro feed con le seguenti impostazioni:

• Nome feed: Azure AD Audit Logs
• Tipo di log: Azure AD Directory Audit
• URI di Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-auditlogs/

Per i log di provisioning:

Crea un altro feed con le seguenti impostazioni:

• Nome del feed: Azure AD Provisioning Logs
• Tipo di log: Azure AD
• URI di Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-provisioninglogs/

Per gli utenti rischiosi:

Crea un altro feed con le seguenti impostazioni:

• Nome feed: Azure AD Risky Users
• Tipo di log: Azure AD
• URI di Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-riskyusers/

Per gli eventi di rischio utente:

Crea un altro feed con le seguenti impostazioni:

• Nome feed: Azure AD User Risk Events
• Tipo di log: Azure AD
• URI Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-userriskevents/

Per i log delle attività di Microsoft Graph:

Crea un altro feed con le seguenti impostazioni:

• Nome feed: Microsoft Graph Activity Logs
• Tipo di log: Microsoft Graph Activity Logs

• URI di Azure: https://secops-azure-logs.blob.core.windows.net/insights-logs-microsoftgraphactivitylogs/

  Nota: crea feed solo per le categorie di log selezionate nelle impostazioni di diagnostica di Entra ID. Se non hai attivato una categoria di log specifica, salta la creazione del feed corrispondente.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.