Microsoft Entra ID Organizational Context-Datenprotokolle (früher Azure Active Directory) erfassen

Parserversion: 12.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Organisationskontextdaten von Microsoft Entra ID (früher Azure Active Directory) erfassen, indem Sie einen Google Security Operations-Feed mit der Drittanbieter-API einrichten.

Der Organisationskontext von Microsoft Entra ID stellt Verzeichnisinformationen wie Nutzer, Gruppen und Geräte aus Ihrem Microsoft Entra ID-Mandanten bereit. Dies sind keine Ereignis- oder Protokolldaten, sondern ein regelmäßiger Snapshot des Verzeichnisstatus, der andere Protokolltypen in Google SecOps mit Identitätskontext anreichert.

Hinweis: Ein Aufnahmelabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel AZURE_AD_CONTEXT.

Hinweis: Da dieser Datentyp Verzeichnis-Snapshots über die Microsoft Graph API abruft (keine Streaming-Ereignisse), sind Azure Event Hub und Diagnoseeinstellungen für diesen Logtyp nicht zutreffend.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Microsoft Azure-Portal
• Eine der folgenden Rollen zum Erteilen der Administratoreinwilligung:
  • Globaler Administrator: Kann die Einwilligung für jede Berechtigung und jede API erteilen.
  • Privileged Role Administrator: Kann die Einwilligung für jede Berechtigung und jede API erteilen.

Achtung: Google SecOps erfordert eine Zulassungsliste für Logtypen, die von Drittanbieter-APIs aufgenommen werden. Weitere Informationen finden Sie unter IP-Zulassungsliste konfigurieren.

Zulassungsliste für IP-Adressen konfigurieren

Sie sollten die Google SecOps-IP-Bereiche in Ihren Microsoft Azure-Netzwerkeinstellungen oder Richtlinien für bedingten Zugriff hinzufügen, bevor Sie den Feed erstellen. Das ist wichtig, wenn die Datenquelle IP-basierte Einschränkungen erzwingt. Wenn der Feed einen 403-Fehler zurückgibt, prüfen Sie, ob die Zulassungsliste dort aktiviert ist. Wenn Sie den Zugriff auf einen engeren Bereich einschränken möchten, öffnen Sie ein Support-Ticket.

Hinweis: Die veröffentlichte Liste ist die goog.json für alle Google-Dienste, nicht eine Liste für ausgehenden Traffic von Google SecOps. Google SecOps kann nicht garantieren, dass ein Feed aus einer bestimmten Region stammt.

Weitere Informationen finden Sie unter IP-Zulassungsliste.

Google SecOps-IP-Bereiche abrufen

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Notieren Sie sich die IP-Bereiche, die auf der Benutzeroberfläche für die Feederstellung angezeigt werden.
4. Alternativ können Sie IP-Bereiche programmatisch über die Feed Management API abrufen.

Bedingten Zugriff für Workload-Identitäten konfigurieren (falls erforderlich)

Wenn Ihre Organisation Richtlinien für den bedingten Zugriff verwendet, die den Zugriff nach Standort einschränken, gehen Sie so vor:

1. Gehen Sie im Microsoft Entra Admin Center zu Schutz > Bedingter Zugriff > Benannte Standorte.
2. Klicken Sie auf + Neuer Standort.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie Google SecOps IP Ranges ein.
   • Als vertrauenswürdigen Standort markieren: Optional, je nach Sicherheitsrichtlinie.
   • IP-Bereiche: Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.
4. Klicken Sie auf Erstellen.
5. Gehen Sie zu Bedingter Zugriff > Richtlinien.
6. Konfigurieren Sie für alle Richtlinien, die für Workload-Identitäten gelten, einen Ausschluss für den benannten Standort Google SecOps IP Ranges oder den spezifischen Dienstprinzipal.

Microsoft Entra-Anwendungsregistrierung konfigurieren

App-Registrierung erstellen

1. Melden Sie sich im Microsoft Entra Admin Center oder im Azure-Portal an.
2. Gehen Sie zu Identität > Anwendungen > App-Registrierungen.
3. Klicken Sie auf Neue Registrierung.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Entra ID Context Integration).
   • Unterstützte Kontotypen: Wählen Sie Nur Konten in diesem Organisationsverzeichnis (einzelner Mandant) aus.
   • Weiterleitungs-URI: Lassen Sie dieses Feld leer (für die Authentifizierung des Diensthauptkontos nicht erforderlich).
5. Klicken Sie auf Registrieren.
6. Kopieren und speichern Sie nach der Registrierung die folgenden Werte:
   • Anwendungs-ID (Client-ID)
   • Verzeichnis-ID (Mandanten-ID)

API-Berechtigungen konfigurieren

Der Feed liest das Nutzerverzeichnis über den Microsoft Graph-Endpunkt List users, wobei der Manager jedes Nutzers erweitert wird. Gewähren Sie der Anwendung Berechtigungen, die den von Ihnen aktivierten Feedoptionen entsprechen.

1. Gehen Sie in der App-Registrierung zu API-Berechtigungen.
2. Klicken Sie auf Berechtigung hinzufügen.
3. Wählen Sie Microsoft Graph > Anwendungsberechtigungen aus.
4. Suchen Sie nach den folgenden Berechtigungen und wählen Sie sie aus:
   • User.Read.All – Erforderlich. Liest die Nutzerprofile und die Managerbeziehung, die der Feed aufnimmt.
   • Group.Read.All: Nur wenn Sie im Feed Gruppen abrufen auf Wahr festlegen. Liest die Gruppen, die für die Mitgliedschaft jedes Nutzers zurückgegeben werden.
   • Device.Read.All – nur, wenn Sie im Feed Retrieve devices (Geräte abrufen) auf True festgelegt haben. Liest die Geräte, die mit den einzelnen Nutzern verknüpft sind.
5. Klicken Sie auf Berechtigungen hinzufügen.
6. Klicken Sie auf Einwilligung des Administrators für Ihre Organisation erteilen.

7. Prüfen Sie, ob in der Spalte Status für alle Berechtigungen Für Ihre Organisation gewährt angezeigt wird.

   Hinweis: Wenn der Button Administratoreinwilligung erteilen deaktiviert ist, prüfen Sie, ob Sie die Rolle Global Administrator oder Privileged Role Administrator haben.

   Berechtigung	Typ	Wenn erforderlich
   User.Read.All	Anwendung	Immer
   Group.Read.All	Anwendung	Gruppen abrufen ist Wahr.
   Device.Read.All	Anwendung	Geräte abrufen ist Wahr.

   Hinweis: Directory.Read.All ist nicht erforderlich. Dies ist eine umfassendere Berechtigung, die alle drei Berechtigungen abdeckt. Sie können sie anstelle der einzelnen Berechtigungen gewähren, wenn Ihre Organisation eine einzelne Berechtigung bevorzugt. Der Feed funktioniert jedoch mit den hier aufgeführten geringsten Berechtigungen.
   Hinweis: Der aktuelle AZURE_AD_CONTEXT-Parser ordnet Nutzer- und Managerattribute dem UDM zu. Gruppen- und Gerätedaten, die mit den Optionen Gruppen abrufen und Geräte abrufen abgerufen werden, werden nicht UDM-Feldern zugeordnet.

Clientschlüssel erstellen

1. Rufen Sie in der App-Registrierung Zertifikate und Secrets auf.
2. Klicken Sie auf Neuer geheimer Clientschlüssel.

3. Geben Sie die folgenden Konfigurationsdetails an:

   • Beschreibung: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Feed).
   • Läuft ab: Wählen Sie einen Ablaufzeitraum aus.
   Hinweis: Microsoft empfiehlt, einen Ablaufwert von weniger als 12 Monaten festzulegen. Der maximal zulässige Wert beträgt 24 Monate.

4. Klicken Sie auf Hinzufügen.

5. Kopieren Sie den Wert des Clientschlüssels sofort.

   Wichtig: Der Secret-Wert wird nur einmal angezeigt und kann nach Verlassen dieser Seite nicht mehr abgerufen werden. Wenn Sie den Wert verlieren, müssen Sie einen neuen Clientschlüssel erstellen.

Feed in Google SecOps konfigurieren, um Kontextdaten der Microsoft Entra ID-Organisation aufzunehmen

So konfigurieren Sie den Feed:

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Azure AD Organizational Context.
5. Wählen Sie als Quelltyp die Option Drittanbieter-API aus.
6. Wählen Sie Azure AD Organizational Context als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie die folgenden Werte für die Eingabeparameter an:

   • OAuth-Client-ID: Geben Sie die Anwendungs- oder Client-ID aus der App-Registrierung ein.
   • OAuth-Clientschlüssel: Geben Sie den zuvor kopierten Clientschlüsselwert ein.
   • Mandanten-ID: Geben Sie die Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung im UUID-Format ein (z. B. 0fc279f9-fe30-41be-97d3-abe1d7681418).
   • Geräte abrufen: Wählen Sie aus, ob Geräteinformationen im Nutzerkontext abgerufen werden sollen. Legen Sie True fest, um Gerätedaten einzubeziehen.
   • Gruppen abrufen: Wählen Sie aus, ob Informationen zur Gruppenmitgliedschaft im Nutzerkontext abgerufen werden sollen. Legen Sie True fest, um Gruppendaten einzubeziehen.

   • Vollständiger API-Pfad: URL des Microsoft Graph REST API-Endpunkt:

     graph.microsoft.com/beta
     

   Hinweis: Geben Sie nicht das Präfix https:// an. Das Protokoll wird automatisch vom Feed hinzugefügt. Dieser Logtyp verwendet den Beta-Endpunkt von Microsoft Graph, nicht v1.0.

   • API-Authentifizierungsendpunkt: Microsoft Entra ID-Authentifizierungsendpunkt:

     login.microsoftonline.com
     

   Hinweis: Geben Sie nicht das Präfix https:// oder den Pfad /oauth2/v2.0/token an. Die vollständige Authentifizierungs-URL wird im Feed automatisch anhand Ihrer Mandanten-ID erstellt.

   Erweiterte Optionen:

   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Hinweis: Nach dem Erstellen des Feeds werden die Kontextdaten regelmäßig abgerufen. Es kann bis zu 24 Stunden dauern, bis der erste Verzeichnis-Snapshot in Google SecOps angezeigt wird.

Regionale Endpunkte

Verwenden Sie für Microsoft Entra ID-Bereitstellungen in Sovereign Clouds die entsprechenden regionalen Endpunkte:

Cloud-Umgebungen	Vollständiger API-Pfad	API-Authentifizierungsendpunkt
Global	graph.microsoft.com/beta	login.microsoftonline.com
US Government L4	graph.microsoft.us/beta	login.microsoftonline.us
US Government L5 (DOD)	dod-graph.microsoft.us/beta	login.microsoftonline.us
China (21Vianet)	microsoftgraph.chinacloudapi.cn/beta	login.chinacloudapi.cn

Hinweis: Google SecOps dokumentiert den API-Hostnamen nur als optionale Überschreibung mit einem kommerziellen Standardwert und dokumentiert keine Unterstützung für Sovereign-Cloud-Hosts. Für die Feedtypen „Azure Blob Storage“ und „Event Hub“ wird angegeben, dass Sovereign Clouds nicht unterstützt werden. Wenden Sie sich an den Support, bevor Sie sich auf einen hoheitlichen Endpunkt verlassen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
extension_wfc_AccountType	entity.labels.value	Direkt zugeordnet
extension_wfc_AccountingUnitName	entity.labels.value	Direkt zugeordnet
extension_wfc_execDescription	entity.labels.value	Direkt zugeordnet
extension_wfc_groupDescription	entity.labels.value	Direkt zugeordnet
extension_wfc_orgDescription	entity.labels.value	Direkt zugeordnet
createdDateTime	entity.user.attribute.creation_time	Geparst als RFC3339
sign_in_type	entity.user.attribute.labels.key	Direkt zugeordnet
assignedLicense.skuId	entity.user.attribute.labels.value	Direkt zugeordnet
employeeType	entity.user.attribute.labels.value	Direkt zugeordnet
empmanager-src.usageLocation	entity.user.attribute.labels.value	Direkt zugeordnet
externalUserState	entity.user.attribute.labels.value	Direkt zugeordnet
gopher-manager.onPremisesImmutableId	entity.user.attribute.labels.value	Direkt zugeordnet
mailNickname	entity.user.attribute.labels.value	Direkt zugeordnet
onPremisesDistinguishedName	entity.user.attribute.labels.value	Direkt zugeordnet
onPremisesDomainName	entity.user.attribute.labels.value	Direkt zugeordnet
onPremisesExtensionAttributes.extensionAttribute4	entity.user.attribute.labels.value	Direkt zugeordnet
onPremisesImmutableId	entity.user.attribute.labels.value	Direkt zugeordnet
onPremisesSamAccountName	entity.user.attribute.labels.value	Direkt zugeordnet
refreshTokensValidFromDateTime	entity.user.attribute.labels.value	Direkt zugeordnet
token_date_time	entity.user.attribute.labels.value	Direkt zugeordnet
userPrincipalName	entity.user.attribute.labels.value	Direkt zugeordnet
user_ou_data	entity.user.attribute.labels.value	Direkt zugeordnet
userType	entity.user.attribute.roles.name	Direkt zugeordnet
user_ou_data	entity.user.attribute.roles.type	Zugeordnet: Admin → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
department	entity.user.department	Zusammengeführt
mail	entity.user.email_addresses	Zusammengeführt
proxyAddress	entity.user.email_addresses	Zugeordnet: smtp/SMTP → proxyAddress
userPrincipalName	entity.user.email_addresses	Zusammengeführt
employeeId	entity.user.employee_id	Umbenannt/zugeordnet
extension_employeeNumber	entity.user.employee_id	Umbenannt/zugeordnet
onPremisesDomainName	entity.user.group_identifiers	Zusammengeführt
proxyAddress	entity.user.group_identifiers	Zusammengeführt
sign_in_type_manager	entity.user.managers.attribute.labels.key	Direkt zugeordnet
temp	entity.user.managers.attribute.labels.key	Zugeordnet: true → manager accountEnabled
empmanager-src.sbuxCompanyCode	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxCostCenter	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxDirectorySync	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxEmployeeStatus	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxEmployeeType	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxFullName	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxFullNameAKA	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxFullNameAKAAlt	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxFullNameAlt	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxGivenNameAlt	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxGlobalID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxJobNumber	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxKnownAs	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxKnownAsAlt	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxLocalMarket	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxLocalMarketEmployeeID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxManagerImmutableID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxManagerNumber	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOnTLA	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgAreaID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgDistrictID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgDivisionID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgRegionID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgShortName	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgStoreID	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgType	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxOrgUnit	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxSnAlt	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.sbuxSourceSystem	entity.user.managers.attribute.labels.value	Direkt zugeordnet
empmanager-src.userPrincipalName	entity.user.managers.attribute.labels.value	Direkt zugeordnet
manager_ou_data	entity.user.managers.attribute.labels.value	Direkt zugeordnet
temp	entity.user.managers.attribute.labels.value	Direkt zugeordnet
manager_user_type	entity.user.managers.attribute.roles.name	Direkt zugeordnet
manager_ou_data	entity.user.managers.attribute.roles.type	Zugeordnet: Users → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
empmanager-src.companyName	entity.user.managers.company_name	Umbenannt/zugeordnet
empmanager-src.department	entity.user.managers.department	Zusammengeführt
empProxyAddress	entity.user.managers.email_addresses	Zugeordnet: smtp/SMTP → empProxyAddress
empmanager-src.mail	entity.user.managers.email_addresses	Zusammengeführt
principal_name	entity.user.managers.email_addresses	Zusammengeführt
empmanager-src.employeeId	entity.user.managers.employee_id	Umbenannt/zugeordnet
empmanager-src.extension_employeeNumber	entity.user.managers.employee_id	Umbenannt/zugeordnet
empmanager-src.givenName	entity.user.managers.first_name	Umbenannt/zugeordnet
empProxyAddress	entity.user.managers.group_identifiers	Zusammengeführt
empmanager-src.surname	entity.user.managers.last_name	Umbenannt/zugeordnet
empmanager-src.city	entity.user.managers.personal_address.city	Umbenannt/zugeordnet
country_n_code	entity.user.managers.personal_address.country_or_region	Direkt zugeordnet
empmanager-src.streetAddress	entity.user.managers.personal_address.name	Umbenannt/zugeordnet
empmanager-src.state	entity.user.managers.personal_address.state	Umbenannt/zugeordnet
empmanager-src.businessPhones.0	entity.user.managers.phone_numbers	Zusammengeführt
empmanager-src.id	entity.user.managers.product_object_id	Umbenannt/zugeordnet
empmanager-src.jobTitle	entity.user.managers.title	Umbenannt/zugeordnet
empmanager-src.displayName	entity.user.managers.user_display_name	Umbenannt/zugeordnet
empmanager-src.sAMAccountName	entity.user.managers.userid	Umbenannt/zugeordnet
empmanager-src.onPremisesSecurityIdentifier	entity.user.managers.windows_sid	Umbenannt/zugeordnet
country	entity.user.personal_address.country_or_region	Direkt zugeordnet
usageLocation	entity.user.personal_address.country_or_region	Direkt zugeordnet
phoneNumber	entity.user.phone_numbers	Zusammengeführt
onPremisesSamAccountName	entity.user.userid	Umbenannt/zugeordnet
sAMAccountName	entity.user.userid	Umbenannt/zugeordnet
gopher-device-item.createdDateTime	metadata.event_timestamp	Geparst als RFC3339
–	entity.labels.key	Konstante: wfc_AccountType
–	entity.user.attribute.labels.key	Konstante: gopher-manager onPremisesImmutableId
–	entity.user.attribute.roles.type	Konstante: SERVICE_ACCOUNT
–	entity.user.managers.attribute.labels.key	Konstante: manager accountEnabled
–	entity.user.managers.attribute.roles.type	Konstante: SERVICE_ACCOUNT
–	entity.user.user_authentication_status	Konstante: ACTIVE
–	metadata.entity_type	Konstante: USER
–	metadata.event_metadata.log_type	Konstante: AZURE_AD_CONTEXT
–	metadata.product_name	Konstante: Azure Active Directory
–	metadata.vendor_name	Konstante: Microsoft

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten