Collecter les journaux de contexte Microsoft Intune

Compatible avec :

Ce document explique comment collecter les journaux Microsoft Intune en configurant un flux Google Security Operations à l'aide de Microsoft Azure Blob Storage V2.

Microsoft Intune est une solution de gestion des points de terminaison basée dans le cloud. Elle gère l'accès des utilisateurs aux ressources de l'organisation et simplifie la gestion des applications et des appareils sur différents appareils, y compris les appareils mobiles, les ordinateurs de bureau et les points de terminaison virtuels.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié au portail Microsoft Azure avec les autorisations suivantes :
    • Créer des comptes de stockage
    • Configurer les paramètres de diagnostic pour Microsoft Intune
    • Gérer les clés d'accès
  • Un utilisateur disposant du rôle Microsoft Entra Administrateur Intune ou Administrateur général pour le locataire Intune
  • Un abonnement Azure pour configurer le compte de stockage

Configurer un compte de stockage Azure

Créer le compte de stockage

  1. Dans le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez votre abonnement Azure.
    Groupe de ressources Sélectionner une base de données existante ou en créer une
    Nom du compte de stockage Saisissez un nom unique (par exemple, intunelogsstorage).
    Région Sélectionnez la région (par exemple, East US).
    Performances Standard (recommandé)
    Redondance GRS (stockage géoredondant) ou LRS (stockage localement redondant)

  4. Cliquez sur Examiner et créer.

  5. Passez en revue l'aperçu du compte, puis cliquez sur Créer.

  6. Attendez la fin du déploiement.

Obtenir les identifiants du compte de stockage

  1. Accédez au compte de stockage que vous venez de créer.
  2. Dans le panneau de navigation de gauche, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  3. Cliquez sur Afficher les clés.
  4. Copiez et enregistrez les éléments suivants pour les utiliser ultérieurement :
    • Nom du compte de stockage : nom que vous avez fourni lors de la création
    • Clé 1 ou Clé 2 : clé d'accès partagée (chaîne aléatoire de 512 bits encodée en base64)

Obtenir le point de terminaison du service Blob

  1. Dans le même compte de stockage, sélectionnez Points de terminaison dans le panneau de navigation de gauche.
  2. Copiez et enregistrez l'URL du point de terminaison Blob service.
    • Exemple : https://intunelogsstorage.blob.core.windows.net/

Configurer les paramètres de diagnostic Microsoft Intune

  1. Connectez-vous au centre d'administration Microsoft Intune.

  2. Accédez à Rapports > Paramètres de diagnostic.

    • Si vous n'avez pas encore configuré de paramètres de diagnostic, vous serez invité à les activer. Une fois cela fait, passez à l'étape 3.
    • Si vous avez déjà configuré des paramètres de diagnostic, passez à l'étape 3.

  3. Cliquez sur Ajouter un paramètre de diagnostic.

  4. Fournissez les informations de configuration suivantes :

    • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, export-to-secops).
    • Dans la section Journaux, sélectionnez AuditLogs.
    • Dans la section Détails de la destination, cochez la case Archiver dans un compte de stockage.
    • Abonnement : sélectionnez l'abonnement contenant votre compte de stockage.
    • Compte de stockage : sélectionnez le compte de stockage que vous avez créé précédemment.

  5. Cliquez sur Enregistrer.

Une fois la configuration effectuée, les journaux seront automatiquement exportés vers le compte de stockage. Les journaux d'audit affichent un enregistrement des activités qui génèrent une modification dans Intune. Les journaux opérationnels affichent des informations sur les utilisateurs et les appareils qui ont réussi (ou non) à s'enregistrer, ainsi que des informations sur les appareils non conformes. Les journaux d'organisation de la conformité des appareils affichent un rapport organisationnel sur la conformité des appareils dans Intune, ainsi que des informations sur les appareils non conformes. IntuneDevices affiche l'inventaire des appareils et des informations sur l'état des appareils enregistrés et gérés dans Intune.

Les journaux d'audit et les journaux opérationnels Intune sont envoyés immédiatement d'Intune aux services Azure Monitor. Les données des journaux d'organisation de conformité des appareils Intune et du rapport IntuneDevices sont envoyées d'Intune vers les services Azure Monitor une fois toutes les 24 heures. Il peut donc s'écouler jusqu'à 24 heures avant que les journaux ne s'affichent dans les services Azure Monitor. Une fois les données envoyées depuis Intune, elles s'affichent généralement dans le service Azure Monitor sous 30 minutes.

Configurer un flux dans Google SecOps pour ingérer les journaux Microsoft Intune

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Intune Logs).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Microsoft Intune comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur. Étant donné qu'Intune crée plusieurs conteneurs pour différentes catégories de journaux, vous devez créer des flux distincts pour chaque conteneur. Utilisez le format suivant :

    • Pour les journaux d'audit :

      https://intunelogsstorage.blob.core.windows.net/insights-logs-auditlogs/

    • Pour les journaux opérationnels :

      https://intunelogsstorage.blob.core.windows.net/insights-logs-operationallogs/

    • Pour les journaux organisationnels de conformité des appareils :

      https://intunelogsstorage.blob.core.windows.net/insights-logs-devicecomplianceorg/

    • Pour les appareils :

      https://intunelogsstorage.blob.core.windows.net/insights-logs-devices/

    • Remplacez intunelogsstorage par le nom de votre compte de stockage Azure.

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :

      • Jamais : ne supprime jamais aucun fichier après les transferts.
      • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.

    • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.

    • Clé partagée : saisissez la valeur de la clé partagée (clé d'accès) que vous avez récupérée à partir du compte de stockage.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

  11. Répétez les étapes 1 à 10 pour créer des flux supplémentaires pour chaque conteneur de catégorie de journaux Intune.

Configurer le pare-feu Azure Storage (le cas échéant)

Si votre compte de stockage Azure utilise un pare-feu, vous devez ajouter les plages d'adresses IP Google SecOps.

  1. Dans le portail Azure, accédez à votre compte de stockage.
  2. Sélectionnez Mise en réseau sous Sécurité et mise en réseau.
  3. Sous Pare-feu et réseaux virtuels, sélectionnez Activé à partir des réseaux virtuels et adresses IP sélectionnés.
  4. Dans la section Pare-feu, sous Plage d'adresses, cliquez sur + Ajouter une plage d'adresses IP.

  5. Ajoutez chaque plage d'adresses IP Google SecOps au format CIDR.

  6. Cliquez sur Enregistrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
TargetDisplayNames_list additional.fields Fusionné
TargetObjectIds_list additional.fields Fusionné
UserPermissions_list additional.fields Fusionné
time metadata.event_timestamp Analysé en tant que ISO8601
has_user metadata.event_type Mappé : true → USER_UNCATEGORIZED
operationName metadata.product_event_type Mappé directement
properties.AuditEventId metadata.product_log_id Mappé directement
correlationId network.session_id Mappé directement
properties.Actor.Application principal.application Mappé directement
properties.Actor.ApplicationName principal.resource.name Mappé directement
PartnerTenantId_label principal.user.attribute.labels Fusionné
isDelegatedAdmin_label principal.user.attribute.labels Fusionné
category security_result.category_details Fusionné
resultDescription security_result.description Mappé directement
ActivityDate_label security_result.detection_fields Fusionné
ActivityResultStatus_label security_result.detection_fields Fusionné
ActivityType_label security_result.detection_fields Fusionné
ActorType_label security_result.detection_fields Fusionné
Category_label security_result.detection_fields Fusionné
Name_label security_result.detection_fields Fusionné
New_label security_result.detection_fields Fusionné
Old_label security_result.detection_fields Fusionné
identity_label security_result.detection_fields Fusionné
resultType security_result.summary Mappé directement
tenantId target.user.userid Mappé directement
N/A metadata.event_type Constante : USER_UNCATEGORIZED
N/A metadata.product_name Constante : Microsoft Intune Context
N/A metadata.vendor_name Constante : Microsoft

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.