Mengumpulkan log data Konteks Organisasi Microsoft Entra ID (sebelumnya Azure Active Directory)

Versi Parser: 12.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan data konteks organisasi Microsoft Entra ID (sebelumnya Azure Active Directory) dengan menyiapkan feed Google Security Operations menggunakan API Pihak Ketiga.

Konteks Organisasi Microsoft Entra ID menyediakan informasi direktori seperti pengguna, grup, dan perangkat dari tenant Microsoft Entra ID Anda. Data ini bukan data peristiwa atau log, melainkan snapshot berkala status direktori yang memperkaya jenis log lain di Google SecOps dengan konteks identitas.

Catatan: Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan AZURE_AD_CONTEXT.

Catatan: Karena jenis data ini mengambil snapshot direktori menggunakan Microsoft Graph API (bukan peristiwa streaming), Azure Event Hub dan Setelan Diagnostik tidak berlaku untuk jenis log ini.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke portal Microsoft Azure
• Salah satu peran berikut untuk memberikan izin administrator:
  • Global Administrator - dapat memberikan izin untuk izin apa pun, untuk API apa pun
  • Privileged Role Administrator - dapat memberikan izin untuk izin apa pun, untuk API apa pun

Perhatian: Google SecOps memerlukan daftar yang diizinkan untuk jenis log yang diserap dari API pihak ketiga. Lihat Mengonfigurasi daftar IP yang diizinkan.

Mengonfigurasi daftar IP yang diizinkan

Anda harus menambahkan rentang IP Google SecOps di setelan jaringan Microsoft Azure atau kebijakan Akses Bersyarat sebelum membuat feed. Hal ini penting jika sumber data menerapkan batasan berbasis IP. Jika feed menampilkan error 403, pastikan izin diaktifkan di sana. Untuk membatasi akses dengan rentang yang lebih sempit, buka tiket dukungan.

Catatan: Daftar yang dipublikasikan adalah goog.json semua Google, bukan daftar egress Google SecOps, dan Google SecOps tidak dapat menjamin bahwa feed berasal dari region tertentu.

Untuk mengetahui informasi selengkapnya, lihat Daftar IP yang Diizinkan.

Mendapatkan rentang IP Google SecOps

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Catat rentang IP yang ditampilkan di antarmuka pembuatan feed.
4. Atau, ambil rentang IP secara terprogram menggunakan Feed Management API.

Mengonfigurasi akses bersyarat untuk workload identity (jika diperlukan)

Jika organisasi Anda menggunakan kebijakan akses bersyarat yang membatasi akses berdasarkan lokasi, lakukan hal berikut:

1. Di Microsoft Entra admin center, buka Protection > Conditional Access > Named locations.
2. Klik + Lokasi baru.
3. Berikan detail konfigurasi berikut:
   • Nama: Masukkan Google SecOps IP Ranges.
   • Mark as trusted location: Opsional, berdasarkan kebijakan keamanan Anda.
   • IP ranges: Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.
4. Klik Create.
5. Buka Conditional Access > Policies.
6. Untuk kebijakan apa pun yang berlaku pada workload identity, konfigurasikan pengecualian untuk lokasi bernama Google SecOps IP Ranges atau akun utama layanan tertentu.

Mengonfigurasi pendaftaran aplikasi Microsoft Entra

Membuat pendaftaran aplikasi

1. Login ke Microsoft Entra admin center atau Azure portal.
2. Buka Identity > Applications > App registrations.
3. Klik New registration.
4. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Google SecOps Entra ID Context Integration).
   • Jenis akun yang didukung: Pilih Akun di direktori organisasi ini saja (Single tenant).
   • Redirect URI: Biarkan kosong (tidak diperlukan untuk autentikasi akun utama layanan).
5. Klik Daftar.
6. Setelah pendaftaran, salin dan simpan nilai berikut:
   • Application (client) ID
   • Directory (tenant) ID

Mengonfigurasi izin API

Feed membaca direktori pengguna melalui endpoint List users Microsoft Graph, dengan pengelola setiap pengguna diperluas. Berikan izin aplikasi yang sesuai dengan opsi feed yang Anda aktifkan.

1. Di pendaftaran aplikasi, buka API permissions.
2. Klik Add a permission.
3. Pilih Microsoft Graph > Application permissions.
4. Telusuri dan pilih izin berikut:
   • User.Read.All - Wajib. Membaca profil pengguna dan hubungan pengelola yang diserap feed.
   • Group.Read.All - Hanya jika Anda menetapkan Retrieve groups ke True di feed. Membaca grup yang ditampilkan untuk keanggotaan setiap pengguna.
   • Device.Read.All - Hanya jika Anda menetapkan Retrieve devices ke True di feed. Membaca perangkat yang terkait dengan setiap pengguna.
5. Klik Add permissions.
6. Klik Grant admin consent for Your Organization.

7. Pastikan kolom Status menampilkan Granted for Your Organization untuk semua izin.

   Catatan: Jika tombol Grant admin consent dinonaktifkan, pastikan Anda memiliki peran Global Administrator atau Privileged Role Administrator.

   Izin	Jenis	Jika diperlukan
   User.Read.All	Aplikasi	Selalu
   Group.Read.All	Aplikasi	Ambil grup adalah Benar
   Device.Read.All	Aplikasi	Ambil perangkat adalah Benar

   Catatan: Directory.Read.All tidak diperlukan. Izin ini lebih luas dan mencakup ketiga izin tersebut. Anda dapat memberikan peran ini, bukan izin individual, jika organisasi Anda lebih memilih satu izin. Namun, feed ini berfungsi dengan set hak istimewa terendah yang tercantum di sini.
   Catatan: Parser AZURE_AD_CONTEXT saat ini memetakan atribut pengguna dan pengelola ke UDM. Data grup dan perangkat yang diambil dengan opsi Retrieve groups dan Retrieve devices tidak dipetakan ke kolom UDM.

Membuat rahasia klien

1. Di pendaftaran aplikasi, buka Certificates & secrets.
2. Klik rahasia klien baru.

3. Berikan detail konfigurasi berikut:

   • Description: Masukkan nama deskriptif (misalnya, Google SecOps Feed).
   • Masa berlaku: Pilih periode masa berlaku.
   Catatan: Microsoft merekomendasikan untuk menetapkan nilai masa berlaku kurang dari 12 bulan. Maksimum yang diizinkan adalah 24 bulan.

4. Klik Tambahkan.

5. Segera salin Nilai rahasia klien.

   Penting: Nilai rahasia hanya ditampilkan sekali dan tidak dapat diambil setelah keluar dari halaman ini. Jika Anda kehilangan nilai tersebut, Anda harus membuat rahasia klien baru.

Mengonfigurasi feed di Google SecOps untuk menyerap data konteks organisasi Microsoft Entra ID

Untuk mengonfigurasi feed, lakukan hal berikut:

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Azure AD Organizational Context).
5. Pilih API pihak ketiga sebagai Jenis sumber.
6. Pilih Azure AD Organizational Context sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • OAuth Client ID: Masukkan Application (client) ID dari pendaftaran aplikasi.
   • OAuth Client Secret: Masukkan nilai rahasia klien yang Anda salin sebelumnya.
   • Tenant ID: Masukkan Directory (tenant) ID dari pendaftaran aplikasi dalam format UUID (misalnya, 0fc279f9-fe30-41be-97d3-abe1d7681418).
   • Ambil perangkat: Pilih apakah akan mengambil informasi perangkat dalam konteks pengguna. Tetapkan ke True untuk menyertakan data perangkat.
   • Ambil grup: Pilih apakah akan mengambil informasi keanggotaan grup dalam konteks pengguna. Tetapkan ke True untuk menyertakan data grup.

   • API Full Path: URL endpoint API Microsoft Graph REST:

     graph.microsoft.com/beta
     

   Catatan: Jangan sertakan awalan https://. Feed akan menambahkan protokol secara otomatis. Jenis log ini menggunakan endpoint beta Microsoft Graph, bukan v1.0.

   • Endpoint Autentikasi API: Endpoint Autentikasi Microsoft Entra ID:

     login.microsoftonline.com
     

   Catatan: Jangan sertakan awalan https:// atau jalur /oauth2/v2.0/token. Feed akan membuat URL autentikasi lengkap secara otomatis menggunakan ID Tenant Anda.

   Advanced Options:

   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Catatan: Setelah feed dibuat, data konteks akan diambil secara berkala. Mungkin perlu waktu hingga 24 jam agar snapshot direktori awal muncul di Google SecOps.

Endpoint regional

Untuk deployment Microsoft Entra ID di sovereign cloud, gunakan endpoint regional yang sesuai:

Lingkungan Cloud	Jalur Lengkap API	Endpoint Autentikasi API
Global	graph.microsoft.com/beta	login.microsoftonline.com
L4 Pemerintah AS	graph.microsoft.us/beta	login.microsoftonline.us
US Government L5 (DOD)	dod-graph.microsoft.us/beta	login.microsoftonline.us
China (21Vianet)	microsoftgraph.chinacloudapi.cn/beta	login.chinacloudapi.cn

Catatan: Google SecOps hanya mendokumentasikan nama host API sebagai penggantian opsional dengan default komersial, dan tidak mendokumentasikan dukungan untuk host sovereign cloud. Untuk jenis feed Azure Blob Storage dan Event Hub, dinyatakan bahwa sovereign cloud tidak didukung. Konfirmasi dengan Dukungan sebelum mengandalkan endpoint kedaulatan di sini.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
extension_wfc_AccountType	entity.labels.value	Dipetakan secara langsung
extension_wfc_AccountingUnitName	entity.labels.value	Dipetakan secara langsung
extension_wfc_execDescription	entity.labels.value	Dipetakan secara langsung
extension_wfc_groupDescription	entity.labels.value	Dipetakan secara langsung
extension_wfc_orgDescription	entity.labels.value	Dipetakan secara langsung
createdDateTime	entity.user.attribute.creation_time	Diurai sebagai RFC3339
sign_in_type	entity.user.attribute.labels.key	Dipetakan secara langsung
assignedLicense.skuId	entity.user.attribute.labels.value	Dipetakan secara langsung
employeeType	entity.user.attribute.labels.value	Dipetakan secara langsung
empmanager-src.usageLocation	entity.user.attribute.labels.value	Dipetakan secara langsung
externalUserState	entity.user.attribute.labels.value	Dipetakan secara langsung
gopher-manager.onPremisesImmutableId	entity.user.attribute.labels.value	Dipetakan secara langsung
mailNickname	entity.user.attribute.labels.value	Dipetakan secara langsung
onPremisesDistinguishedName	entity.user.attribute.labels.value	Dipetakan secara langsung
onPremisesDomainName	entity.user.attribute.labels.value	Dipetakan secara langsung
onPremisesExtensionAttributes.extensionAttribute4	entity.user.attribute.labels.value	Dipetakan secara langsung
onPremisesImmutableId	entity.user.attribute.labels.value	Dipetakan secara langsung
onPremisesSamAccountName	entity.user.attribute.labels.value	Dipetakan secara langsung
refreshTokensValidFromDateTime	entity.user.attribute.labels.value	Dipetakan secara langsung
token_date_time	entity.user.attribute.labels.value	Dipetakan secara langsung
userPrincipalName	entity.user.attribute.labels.value	Dipetakan secara langsung
user_ou_data	entity.user.attribute.labels.value	Dipetakan secara langsung
userType	entity.user.attribute.roles.name	Dipetakan secara langsung
user_ou_data	entity.user.attribute.roles.type	Dipetakan: Admin → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
department	entity.user.department	Digabung
mail	entity.user.email_addresses	Digabung
proxyAddress	entity.user.email_addresses	Dipetakan: smtp/SMTP → proxyAddress
userPrincipalName	entity.user.email_addresses	Digabung
employeeId	entity.user.employee_id	Diganti namanya/dipetakan
extension_employeeNumber	entity.user.employee_id	Diganti namanya/dipetakan
onPremisesDomainName	entity.user.group_identifiers	Digabung
proxyAddress	entity.user.group_identifiers	Digabung
sign_in_type_manager	entity.user.managers.attribute.labels.key	Dipetakan secara langsung
temp	entity.user.managers.attribute.labels.key	Dipetakan: true → manager accountEnabled
empmanager-src.sbuxCompanyCode	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxCostCenter	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxDirectorySync	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxEmployeeStatus	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxEmployeeType	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxFullName	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxFullNameAKA	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxFullNameAKAAlt	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxFullNameAlt	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxGivenNameAlt	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxGlobalID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxJobNumber	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxKnownAs	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxKnownAsAlt	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxLocalMarket	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxLocalMarketEmployeeID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxManagerImmutableID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxManagerNumber	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOnTLA	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgAreaID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgDistrictID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgDivisionID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgRegionID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgShortName	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgStoreID	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgType	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxOrgUnit	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxSnAlt	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.sbuxSourceSystem	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
empmanager-src.userPrincipalName	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
manager_ou_data	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
temp	entity.user.managers.attribute.labels.value	Dipetakan secara langsung
manager_user_type	entity.user.managers.attribute.roles.name	Dipetakan secara langsung
manager_ou_data	entity.user.managers.attribute.roles.type	Dipetakan: Users → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
empmanager-src.companyName	entity.user.managers.company_name	Diganti namanya/dipetakan
empmanager-src.department	entity.user.managers.department	Digabung
empProxyAddress	entity.user.managers.email_addresses	Dipetakan: smtp/SMTP → empProxyAddress
empmanager-src.mail	entity.user.managers.email_addresses	Digabung
principal_name	entity.user.managers.email_addresses	Digabung
empmanager-src.employeeId	entity.user.managers.employee_id	Diganti namanya/dipetakan
empmanager-src.extension_employeeNumber	entity.user.managers.employee_id	Diganti namanya/dipetakan
empmanager-src.givenName	entity.user.managers.first_name	Diganti namanya/dipetakan
empProxyAddress	entity.user.managers.group_identifiers	Digabung
empmanager-src.surname	entity.user.managers.last_name	Diganti namanya/dipetakan
empmanager-src.city	entity.user.managers.personal_address.city	Diganti namanya/dipetakan
country_n_code	entity.user.managers.personal_address.country_or_region	Dipetakan secara langsung
empmanager-src.streetAddress	entity.user.managers.personal_address.name	Diganti namanya/dipetakan
empmanager-src.state	entity.user.managers.personal_address.state	Diganti namanya/dipetakan
empmanager-src.businessPhones.0	entity.user.managers.phone_numbers	Digabung
empmanager-src.id	entity.user.managers.product_object_id	Diganti namanya/dipetakan
empmanager-src.jobTitle	entity.user.managers.title	Diganti namanya/dipetakan
empmanager-src.displayName	entity.user.managers.user_display_name	Diganti namanya/dipetakan
empmanager-src.sAMAccountName	entity.user.managers.userid	Diganti namanya/dipetakan
empmanager-src.onPremisesSecurityIdentifier	entity.user.managers.windows_sid	Diganti namanya/dipetakan
country	entity.user.personal_address.country_or_region	Dipetakan secara langsung
usageLocation	entity.user.personal_address.country_or_region	Dipetakan secara langsung
phoneNumber	entity.user.phone_numbers	Digabung
onPremisesSamAccountName	entity.user.userid	Diganti namanya/dipetakan
sAMAccountName	entity.user.userid	Diganti namanya/dipetakan
gopher-device-item.createdDateTime	metadata.event_timestamp	Diurai sebagai RFC3339
T/A	entity.labels.key	Konstanta: wfc_AccountType
T/A	entity.user.attribute.labels.key	Konstanta: gopher-manager onPremisesImmutableId
T/A	entity.user.attribute.roles.type	Konstanta: SERVICE_ACCOUNT
T/A	entity.user.managers.attribute.labels.key	Konstanta: manager accountEnabled
T/A	entity.user.managers.attribute.roles.type	Konstanta: SERVICE_ACCOUNT
T/A	entity.user.user_authentication_status	Konstanta: ACTIVE
T/A	metadata.entity_type	Konstanta: USER
T/A	metadata.event_metadata.log_type	Konstanta: AZURE_AD_CONTEXT
T/A	metadata.product_name	Konstanta: Azure Active Directory
T/A	metadata.vendor_name	Konstanta: Microsoft

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.