Microsoft Intune-Kontextprotokolle erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Microsoft Intune-Logs erfassen, indem Sie einen Google Security Operations-Feed mit Microsoft Azure Blob Storage V2 einrichten.

Microsoft Intune ist eine cloudbasierte Lösung zur Endpunktverwaltung, mit der der Nutzerzugriff auf Organisationsressourcen verwaltet und die App- und Geräteverwaltung auf verschiedenen Geräten vereinfacht wird, darunter Mobilgeräte, Computer und virtuelle Endpunkte.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für Folgendes:
  • Speicherkonten erstellen
  • Diagnoseeinstellungen für Microsoft Intune konfigurieren
  • Zugriffsschlüssel verwalten
• Ein Nutzer mit der Microsoft Entra-Rolle Intune-Administrator oder Globaler Administrator für den Intune-Mandanten
• Ein Azure-Abo zum Einrichten des Speicherkontos

Hinweis: Wenn Sie den Zugriff auf Ihre Azure-Ressourcen über eine Azure Storage-Firewall beschränken, müssen Sie die von Storage Transfer Service-Workern (STS) verwendeten IP-Bereiche der Liste der zulässigen IP-Adressen hinzufügen. Weitere Informationen finden Sie unter IP-Zulassungsliste.

Azure-Speicherkonto konfigurieren

Speicherkonto erstellen

1. Suchen Sie im Azure-Portal nach Speicherkonten.
2. Klicken Sie auf + Erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo	Azure-Abo auswählen
   Ressourcengruppe	Vorhandenen auswählen oder neuen erstellen
   Name des Speicherkontos	Geben Sie einen eindeutigen Namen ein, z. B. intunelogsstorage.
   Region	Wählen Sie die Region aus (z. B. East US).
   Leistung	Standard (empfohlen)
   Redundanz	GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

4. Klicken Sie auf Überprüfen + Erstellen.

5. Sehen Sie sich die Übersicht des Kontos an und klicken Sie auf Erstellen.

6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

1. Rufen Sie das soeben erstellte Storage-Konto auf.
2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
3. Klicken Sie auf Schlüssel anzeigen.
4. Kopieren und speichern Sie die folgenden Informationen für die spätere Verwendung:
   • Storage-Kontoname: Der Name, den Sie beim Erstellen angegeben haben
   • Schlüssel 1 oder Schlüssel 2: Der gemeinsame Zugriffsschlüssel (ein 512-Bit-Zufallsstring in Base64-Codierung)

Blob-Dienstendpunkt abrufen

1. Wählen Sie im selben Speicherkonto in der linken Navigationsleiste Endpunkte aus.
2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
   • Beispiel: https://intunelogsstorage.blob.core.windows.net/

Microsoft Intune-Diagnoseeinstellungen konfigurieren

1. Melden Sie sich im Microsoft Intune Admin Center an.

2. Rufen Sie Berichte > Diagnoseeinstellungen auf.

   • Wenn Sie noch keine Diagnoseeinstellungen eingerichtet haben, werden Sie aufgefordert, sie zu aktivieren. Fahren Sie dann mit Schritt 3 fort.
   • Wenn Sie bereits Diagnoseeinstellungen eingerichtet haben, fahren Sie mit Schritt 3 fort.

3. Klicken Sie auf Diagnoseeinstellung hinzufügen.

4. Geben Sie die folgenden Konfigurationsdetails an:

   • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. export-to-secops.
   • Wählen Sie im Bereich Logs die Option AuditLogs aus.
   • Klicken Sie im Abschnitt Zieldetails das Kästchen In einem Speicherkonto archivieren an.
   • Abo: Wählen Sie das Abo aus, das Ihr Speicherkonto enthält.
   • Speicherkonto: Wählen Sie das Speicherkonto aus, das Sie zuvor erstellt haben.

5. Klicken Sie auf Speichern.

Nach der Konfiguration werden die Protokolle automatisch in das Speicherkonto exportiert. In Audit-Logs werden Aktivitäten aufgezeichnet, die eine Änderung in Intune zur Folge haben. Betriebsprotokolle enthalten Details zu Nutzern und Geräten, die erfolgreich (oder nicht erfolgreich) registriert wurden, sowie Details zu nicht konformen Geräten. Die Organisationsprotokolle zur Gerätecompliance enthalten einen Organisationsbericht zur Gerätecompliance in Intune sowie Details zu nicht konformen Geräten. IntuneDevices zeigt Geräteinventar- und Statusinformationen für in Intune registrierte und verwaltete Geräte an.

Die Intune-Audit-Logs und -Betriebslogs werden sofort von Intune an Azure Monitor-Dienste gesendet. Die Daten aus den Organisationsprotokollen zur Gerätekonformität von Intune und dem Bericht „IntuneDevices“ werden einmal alle 24 Stunden von Intune an Azure Monitor-Dienste gesendet. Es kann also bis zu 24 Stunden dauern, bis die Logs in den Azure Monitor-Diensten verfügbar sind. Nachdem die Daten von Intune gesendet wurden, werden sie in der Regel innerhalb von 30 Minuten im Azure Monitor-Dienst angezeigt.

Hinweis :Mit Azure-Diagnoseeinstellungen werden Container im Speicherkonto basierend auf der Protokollkategorie erstellt. Die Containernamen folgen dem Muster insights-logs-{categoryname}. Sie können die tatsächlichen Containernamen in Ihrem Speicherkonto überprüfen, nachdem Sie die Diagnoseeinstellungen aktiviert haben.

Feed in Google SecOps konfigurieren, um Microsoft Intune-Logs aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Intune Logs.
5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
6. Wählen Sie Microsoft Intune als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein. Da in Intune mehrere Container für verschiedene Protokollkategorien erstellt werden, müssen Sie für jeden Container separate Feeds erstellen. Verwenden Sie das folgende Format:

   • Für Audit-Logs:

     https://intunelogsstorage.blob.core.windows.net/insights-logs-auditlogs/
     

   • Für Betriebslogs:

     https://intunelogsstorage.blob.core.windows.net/insights-logs-operationallogs/
     

   • Für Organisationsprotokolle zur Gerätecompliance:

     https://intunelogsstorage.blob.core.windows.net/insights-logs-devicecomplianceorg/
     

   • Für Geräte:

     https://intunelogsstorage.blob.core.windows.net/insights-logs-devices/
     

   • Ersetzen Sie intunelogsstorage durch den Namen Ihres Azure-Speicherkontos.

     Hinweis :Fügen Sie am Ende des URI einen Schrägstrich (/) ein. Prüfen Sie die tatsächlichen Containernamen in Ihrem Azure Storage-Konto, da sie automatisch durch Azure-Diagnoseeinstellungen erstellt werden.

   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

     • Nie: Löscht nach Übertragungen niemals Dateien.
     • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
     • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach der erfolgreichen Übertragung gelöscht.
     Hinweis :Wenn Sie eine Löschoption auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • Shared Key (Gemeinsamer Schlüssel): Geben Sie den Wert des gemeinsamen Schlüssels (Zugriffsschlüssel) ein, den Sie aus dem Speicherkonto abgerufen haben.

   • Asset-Namespace: Der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

11. Wiederholen Sie die Schritte 1 bis 10, um zusätzliche Feeds für jeden Intune-Protokollkategorie-Container zu erstellen.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn für Ihr Azure-Speicherkonto eine Firewall verwendet wird, müssen Sie die IP-Bereiche von Google SecOps hinzufügen.

1. Rufen Sie im Azure-Portal Ihr Storage-Konto auf.
2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option Aktiviert für ausgewählte virtuelle Netzwerke und IP-Adressen aus.
4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.

5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.

   • So rufen Sie die aktuellen IP-Bereiche ab:

     • Dokumentation zur IP-Zulassungsliste
     • Oder Sie rufen sie programmatisch über die Feed Management API ab.

6. Klicken Sie auf Speichern.

   Hinweis: Für diese Feedquelle wird der Storage Transfer Service (STS) verwendet, um Daten aus Azure Storage in Google SecOps zu übertragen. Bevor Sie diese Feedquelle verwenden können, müssen Sie die Azure Storage-Firewall so konfigurieren, dass der Zugriff über die STS-IP-Bereiche möglich ist.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
TargetDisplayNames_list	additional.fields	Zusammengeführt
TargetObjectIds_list	additional.fields	Zusammengeführt
UserPermissions_list	additional.fields	Zusammengeführt
time	metadata.event_timestamp	Geparst als ISO8601
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
operationName	metadata.product_event_type	Direkt zugeordnet
properties.AuditEventId	metadata.product_log_id	Direkt zugeordnet
correlationId	network.session_id	Direkt zugeordnet
properties.Actor.Application	principal.application	Direkt zugeordnet
properties.Actor.ApplicationName	principal.resource.name	Direkt zugeordnet
PartnerTenantId_label	principal.user.attribute.labels	Zusammengeführt
isDelegatedAdmin_label	principal.user.attribute.labels	Zusammengeführt
category	security_result.category_details	Zusammengeführt
resultDescription	security_result.description	Direkt zugeordnet
ActivityDate_label	security_result.detection_fields	Zusammengeführt
ActivityResultStatus_label	security_result.detection_fields	Zusammengeführt
ActivityType_label	security_result.detection_fields	Zusammengeführt
ActorType_label	security_result.detection_fields	Zusammengeführt
Category_label	security_result.detection_fields	Zusammengeführt
Name_label	security_result.detection_fields	Zusammengeführt
New_label	security_result.detection_fields	Zusammengeführt
Old_label	security_result.detection_fields	Zusammengeführt
identity_label	security_result.detection_fields	Zusammengeführt
resultType	security_result.summary	Direkt zugeordnet
tenantId	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: USER_UNCATEGORIZED
–	metadata.product_name	Konstante: Microsoft Intune Context
–	metadata.vendor_name	Konstante: Microsoft

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten