Raccogli i log dei dati del contesto organizzativo di Microsoft Entra ID (in precedenza Azure Active Directory)

Versione parser: 12.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come raccogliere i dati di contesto dell'organizzazione di Microsoft Entra ID (in precedenza Azure Active Directory) configurando un feed di Google Security Operations utilizzando l'API di terze parti.

Il contesto organizzativo di Microsoft Entra ID fornisce informazioni sulla directory, come utenti, gruppi e dispositivi, dal tuo tenant di Microsoft Entra ID. Non si tratta di dati di eventi o log, ma di uno snapshot periodico dello stato della directory che arricchisce altri tipi di log in Google SecOps con il contesto dell'identità.

Nota: un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati nel formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione AZURE_AD_CONTEXT.

Nota: poiché questo tipo di dati recupera gli snapshot della directory utilizzando l'API Microsoft Graph (non gli eventi di streaming), l'hub eventi di Azure e le impostazioni di diagnostica non sono applicabili a questo tipo di log.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso con privilegi al portale di Microsoft Azure
• Uno dei seguenti ruoli per concedere il consenso dell'amministratore:
  • Amministratore globale: può concedere il consenso per qualsiasi autorizzazione, per qualsiasi API
  • Amministratore dei ruoli con privilegi: può concedere il consenso per qualsiasi autorizzazione, per qualsiasi API

Attenzione: Google SecOps richiede l'inserimento nella lista consentita per i tipi di log che importano dati da API di terze parti. Consulta Configura la lista consentita IP.

Configura la lista consentita IP

Prima di creare il feed, devi aggiungere gli intervalli IP di Google SecOps nelle impostazioni della rete Microsoft Azure o nei criteri di accesso condizionale. Questo è importante se l'origine dati applica limitazioni basate sull'IP. Se il feed restituisce un errore 403, verifica che la lista consentita sia attiva. Per limitare l'accesso a un intervallo più ristretto, apri un ticket di assistenza.

Nota: l'elenco pubblicato è l'elenco di tutti i goog.json di Google, non un elenco di traffico in uscita di Google SecOps e Google SecOps non può garantire che un feed provenga da una determinata regione.

Per saperne di più, consulta Lista consentita IP.

Ottieni gli intervalli IP di Google SecOps

1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Prendi nota degli intervalli IP visualizzati nell'interfaccia di creazione del feed.
4. In alternativa, recupera gli intervalli IP in modo programmatico utilizzando l'API Feed Management.

Configura l'accesso condizionale per le identità dei workload (se necessario)

Se la tua organizzazione utilizza policy di accesso condizionale che limitano l'accesso in base alla località, segui questi passaggi:

1. Nell'interfaccia di amministrazione di Microsoft Entra, vai a Protezione > Accesso condizionale > Località denominate.
2. Fai clic su + Nuova località.
3. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci Google SecOps IP Ranges.
   • Contrassegna come località attendibile: facoltativo, in base alle policy di sicurezza.
   • Intervalli IP: aggiungi ogni intervallo IP di Google SecOps in notazione CIDR.
4. Fai clic su Crea.
5. Vai a Accesso condizionale > Criteri.
6. Per tutte le policy che si applicano alle Workload Identity, configura un'esclusione per la località denominata Google SecOps IP Ranges o per l'entità servizio specifica.

Configura la registrazione dell'app Microsoft Entra

Crea registrazione app

1. Accedi all'interfaccia di amministrazione di Microsoft Entra o al portale di Azure.
2. Vai a Identity (Identità) > Applications (Applicazioni) > App registrations (Registrazioni app).
3. Fai clic su Nuova registrazione.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome descrittivo (ad esempio Google SecOps Entra ID Context Integration).
   • Tipi di account supportati: seleziona Solo account in questa directory dell'organizzazione (singolo tenant).
   • URI di reindirizzamento: lascia vuoto (non richiesto per l'autenticazione del service principal).
5. Fai clic su Register (Registrati).
6. Dopo la registrazione, copia e salva i seguenti valori:
   • ID applicazione (client)
   • ID directory (tenant)

Configura le autorizzazioni API

Il feed legge la directory utente tramite l'endpoint Microsoft Graph List users, con il manager di ogni utente espanso. Concedi all'applicazione le autorizzazioni corrispondenti alle opzioni del feed che attivi.

1. Nella registrazione dell'app, vai ad API permissions (Autorizzazioni API).
2. Fai clic su Aggiungi un'autorizzazione.
3. Seleziona Microsoft Graph > Application permissions (Autorizzazioni applicazione).
4. Cerca e seleziona le seguenti autorizzazioni:
   • User.Read.All: obbligatorio. Legge i profili utente e la relazione con il gestore che il feed importa.
   • Group.Read.All: solo se imposti Retrieve groups su True nel feed. Legge i gruppi restituiti per l'appartenenza di ogni utente.
   • Device.Read.All: solo se imposti Recupera dispositivi su True nel feed. Legge i dispositivi associati a ciascun utente.
5. Fai clic su Aggiungi autorizzazioni.
6. Fai clic su Concedi il consenso amministratore per la tua organizzazione.

7. Verifica che la colonna Stato mostri Concesso per la tua organizzazione per tutte le autorizzazioni.

   Nota: se il pulsante Concedi il consenso dell'amministratore è disattivato, assicurati di avere il ruolo Global Administrator o Privileged Role Administrator.

   Autorizzazione	Tipo	When required
   User.Read.All	Applicazione	Sempre
   Group.Read.All	Applicazione	Recupera gruppi è Vero
   Device.Read.All	Applicazione	Recupera dispositivi è Vero

   Nota: Directory.Read.All non è obbligatorio. Si tratta di un'autorizzazione più ampia che copre tutte e tre queste autorizzazioni. Puoi concederlo al posto delle singole autorizzazioni se la tua organizzazione preferisce un'unica autorizzazione. Tuttavia, il feed funziona con l'insieme con privilegi minimi elencato qui.
   Nota: l'attuale parser AZURE_AD_CONTEXT mappa gli attributi di utente e gestore a UDM. I dati dei gruppi e dei dispositivi recuperati con le opzioni Recupera gruppi e Recupera dispositivi non vengono mappati ai campi UDM.

Crea un client secret

1. Nella registrazione dell'app, vai a Certificates & secrets (Certificati e secret).
2. Fai clic su Nuovo client secret.

3. Fornisci i seguenti dettagli di configurazione:

   • Descrizione: inserisci un nome descrittivo (ad esempio Google SecOps Feed).
   • Scadenza: seleziona un periodo di scadenza.
   Nota: Microsoft consiglia di impostare un valore di scadenza inferiore a 12 mesi. Il numero massimo consentito è 24 mesi.

4. Fai clic su Aggiungi.

5. Copia immediatamente il valore del client secret.

   Importante: il valore del secret viene visualizzato una sola volta e non può essere recuperato dopo aver lasciato questa pagina. Se perdi il valore, devi creare un nuovo client secret.

Configura un feed in Google SecOps per importare i dati di contesto organizzativo di Microsoft Entra ID

Per configurare il feed:

1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Azure AD Organizational Context).
5. Seleziona API di terze parti come Tipo di origine.
6. Seleziona Azure AD Organizational Context (Contesto organizzativo di Azure AD) come Log type (Tipo di log).
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • ID client OAuth: inserisci l'ID applicazione (client) dalla registrazione dell'app.
   • OAuth Client Secret (Client secret OAuth): inserisci il valore del client secret che hai copiato in precedenza.
   • ID tenant: inserisci l'ID directory (tenant) dalla registrazione dell'app in formato UUID (ad esempio, 0fc279f9-fe30-41be-97d3-abe1d7681418).
   • Recupera dispositivi: seleziona se recuperare le informazioni sui dispositivi nel contesto utente. Imposta su True per includere i dati del dispositivo.
   • Recupera gruppi: seleziona se recuperare le informazioni sull'appartenenza ai gruppi nel contesto utente. Imposta su True per includere i dati del gruppo.

   • Percorso completo dell'API: URL dell'endpoint API REST di Microsoft Graph:

     graph.microsoft.com/beta
     

   Nota: non includere il prefisso https://. Il feed aggiunge automaticamente il protocollo. Questo tipo di log utilizza l'endpoint beta di Microsoft Graph, non v1.0.

   • Endpoint di autenticazione API: endpoint di autenticazione Microsoft Entra ID:

     login.microsoftonline.com
     

   Nota: non includere il prefisso https:// o il percorso /oauth2/v2.0/token. Il feed crea automaticamente l'URL di autenticazione completo utilizzando il tuo ID tenant.

   Opzioni avanzate:

   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

9. Fai clic su Avanti.

10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Nota: dopo aver creato il feed, i dati di contesto verranno recuperati periodicamente. Potrebbero essere necessarie fino a 24 ore prima che lo snapshot iniziale della directory venga visualizzato in Google SecOps.

Endpoint regionali

Per i deployment di Microsoft Entra ID in Sovereign Cloud, utilizza gli endpoint regionali appropriati:

Ambiente cloud	Percorso completo dell'API	Endpoint di autenticazione API
Global	graph.microsoft.com/beta	login.microsoftonline.com
US Government L4	graph.microsoft.us/beta	login.microsoftonline.us
US Government L5 (DOD)	dod-graph.microsoft.us/beta	login.microsoftonline.us
Cina (21Vianet)	microsoftgraph.chinacloudapi.cn/beta	login.chinacloudapi.cn

Nota: Google SecOps documenta il nome host dell'API solo come override facoltativo con un valore predefinito commerciale e non documenta il supporto per gli host di Sovereign Cloud. Per i tipi di feed Azure Blob Storage ed Event Hub, viene indicato che i Sovereign Cloud non sono supportati. Conferma con l'assistenza prima di fare affidamento su un endpoint sovrano qui.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
extension_wfc_AccountType	entity.labels.value	Mappatura diretta
extension_wfc_AccountingUnitName	entity.labels.value	Mappatura diretta
extension_wfc_execDescription	entity.labels.value	Mappatura diretta
extension_wfc_groupDescription	entity.labels.value	Mappatura diretta
extension_wfc_orgDescription	entity.labels.value	Mappatura diretta
createdDateTime	entity.user.attribute.creation_time	Analizzato come RFC3339
sign_in_type	entity.user.attribute.labels.key	Mappatura diretta
assignedLicense.skuId	entity.user.attribute.labels.value	Mappatura diretta
employeeType	entity.user.attribute.labels.value	Mappatura diretta
empmanager-src.usageLocation	entity.user.attribute.labels.value	Mappatura diretta
externalUserState	entity.user.attribute.labels.value	Mappatura diretta
gopher-manager.onPremisesImmutableId	entity.user.attribute.labels.value	Mappatura diretta
mailNickname	entity.user.attribute.labels.value	Mappatura diretta
onPremisesDistinguishedName	entity.user.attribute.labels.value	Mappatura diretta
onPremisesDomainName	entity.user.attribute.labels.value	Mappatura diretta
onPremisesExtensionAttributes.extensionAttribute4	entity.user.attribute.labels.value	Mappatura diretta
onPremisesImmutableId	entity.user.attribute.labels.value	Mappatura diretta
onPremisesSamAccountName	entity.user.attribute.labels.value	Mappatura diretta
refreshTokensValidFromDateTime	entity.user.attribute.labels.value	Mappatura diretta
token_date_time	entity.user.attribute.labels.value	Mappatura diretta
userPrincipalName	entity.user.attribute.labels.value	Mappatura diretta
user_ou_data	entity.user.attribute.labels.value	Mappatura diretta
userType	entity.user.attribute.roles.name	Mappatura diretta
user_ou_data	entity.user.attribute.roles.type	Mappatura: Admin → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
department	entity.user.department	Unita
mail	entity.user.email_addresses	Unita
proxyAddress	entity.user.email_addresses	Mappatura: smtp/SMTP → proxyAddress
userPrincipalName	entity.user.email_addresses	Unita
employeeId	entity.user.employee_id	Rinominato/mappato
extension_employeeNumber	entity.user.employee_id	Rinominato/mappato
onPremisesDomainName	entity.user.group_identifiers	Unita
proxyAddress	entity.user.group_identifiers	Unita
sign_in_type_manager	entity.user.managers.attribute.labels.key	Mappatura diretta
temp	entity.user.managers.attribute.labels.key	Mappatura: true → manager accountEnabled
empmanager-src.sbuxCompanyCode	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxCostCenter	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxDirectorySync	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxEmployeeStatus	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxEmployeeType	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxFullName	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxFullNameAKA	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxFullNameAKAAlt	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxFullNameAlt	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxGivenNameAlt	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxGlobalID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxJobNumber	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxKnownAs	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxKnownAsAlt	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxLocalMarket	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxLocalMarketEmployeeID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxManagerImmutableID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxManagerNumber	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOnTLA	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgAreaID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgDistrictID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgDivisionID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgRegionID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgShortName	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgStoreID	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgType	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxOrgUnit	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxSnAlt	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.sbuxSourceSystem	entity.user.managers.attribute.labels.value	Mappatura diretta
empmanager-src.userPrincipalName	entity.user.managers.attribute.labels.value	Mappatura diretta
manager_ou_data	entity.user.managers.attribute.labels.value	Mappatura diretta
temp	entity.user.managers.attribute.labels.value	Mappatura diretta
manager_user_type	entity.user.managers.attribute.roles.name	Mappatura diretta
manager_ou_data	entity.user.managers.attribute.roles.type	Mappatura: Users → ADMINISTRATOR, Service Accounts → SERVICE_ACCOUNT
empmanager-src.companyName	entity.user.managers.company_name	Rinominato/mappato
empmanager-src.department	entity.user.managers.department	Unita
empProxyAddress	entity.user.managers.email_addresses	Mappatura: smtp/SMTP → empProxyAddress
empmanager-src.mail	entity.user.managers.email_addresses	Unita
principal_name	entity.user.managers.email_addresses	Unita
empmanager-src.employeeId	entity.user.managers.employee_id	Rinominato/mappato
empmanager-src.extension_employeeNumber	entity.user.managers.employee_id	Rinominato/mappato
empmanager-src.givenName	entity.user.managers.first_name	Rinominato/mappato
empProxyAddress	entity.user.managers.group_identifiers	Unita
empmanager-src.surname	entity.user.managers.last_name	Rinominato/mappato
empmanager-src.city	entity.user.managers.personal_address.city	Rinominato/mappato
country_n_code	entity.user.managers.personal_address.country_or_region	Mappatura diretta
empmanager-src.streetAddress	entity.user.managers.personal_address.name	Rinominato/mappato
empmanager-src.state	entity.user.managers.personal_address.state	Rinominato/mappato
empmanager-src.businessPhones.0	entity.user.managers.phone_numbers	Unita
empmanager-src.id	entity.user.managers.product_object_id	Rinominato/mappato
empmanager-src.jobTitle	entity.user.managers.title	Rinominato/mappato
empmanager-src.displayName	entity.user.managers.user_display_name	Rinominato/mappato
empmanager-src.sAMAccountName	entity.user.managers.userid	Rinominato/mappato
empmanager-src.onPremisesSecurityIdentifier	entity.user.managers.windows_sid	Rinominato/mappato
country	entity.user.personal_address.country_or_region	Mappatura diretta
usageLocation	entity.user.personal_address.country_or_region	Mappatura diretta
phoneNumber	entity.user.phone_numbers	Unita
onPremisesSamAccountName	entity.user.userid	Rinominato/mappato
sAMAccountName	entity.user.userid	Rinominato/mappato
gopher-device-item.createdDateTime	metadata.event_timestamp	Analizzato come RFC3339
N/D	entity.labels.key	Costante: wfc_AccountType
N/D	entity.user.attribute.labels.key	Costante: gopher-manager onPremisesImmutableId
N/D	entity.user.attribute.roles.type	Costante: SERVICE_ACCOUNT
N/D	entity.user.managers.attribute.labels.key	Costante: manager accountEnabled
N/D	entity.user.managers.attribute.roles.type	Costante: SERVICE_ACCOUNT
N/D	entity.user.user_authentication_status	Costante: ACTIVE
N/D	metadata.entity_type	Costante: USER
N/D	metadata.event_metadata.log_type	Costante: AZURE_AD_CONTEXT
N/D	metadata.product_name	Costante: Azure Active Directory
N/D	metadata.vendor_name	Costante: Microsoft

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.