Raccogliere i log di contesto di Microsoft Intune

Supportato in:

Questo documento spiega come raccogliere i log di Microsoft Intune configurando un feed Google Security Operations utilizzando Microsoft Azure Blob Storage V2.

Microsoft Intune è una soluzione di gestione degli endpoint basata su cloud che gestisce l'accesso degli utenti alle risorse dell'organizzazione e semplifica la gestione di app e dispositivi su tutti i dispositivi, inclusi dispositivi mobili, computer e endpoint virtuali.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale Microsoft Azure con autorizzazioni per:
    • Crea account di archiviazione
    • Configurare le impostazioni di diagnostica per Microsoft Intune
    • Gestire le chiavi di accesso
  • Un utente con il ruolo Microsoft Entra di Amministratore Intune o Amministratore globale per il tenant Intune
  • Un abbonamento Azure per configurare l'account di archiviazione

Configurare un account di archiviazione di Azure

Crea l'account di archiviazione

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Seleziona esistente o crea nuovo
    Nome account di archiviazione Inserisci un nome univoco (ad esempio, intunelogsstorage).
    Regione Seleziona la regione (ad esempio, East US)
    Prestazioni Standard (consigliato)
    Ridondanza GRS (archiviazione con ridondanza geografica) o LRS (archiviazione con ridondanza locale)

  4. Fai clic su Review + create (Rivedi e crea).

  5. Controlla la panoramica dell'account e fai clic su Crea.

  6. Attendi il completamento del deployment.

Recuperare le credenziali dell'account di archiviazione

  1. Vai all'account di archiviazione che hai appena creato.
  2. Nel riquadro di navigazione a sinistra, seleziona Chiavi di accesso in Sicurezza e networking.
  3. Fai clic su Mostra chiavi.
  4. Copia e salva quanto segue per un utilizzo successivo:
    • Nome account di archiviazione: il nome che hai fornito durante la creazione
    • Chiave 1 o Chiave 2: la chiave di accesso condivisa (una stringa casuale di 512 bit con codifica Base64)

Recupera l'endpoint del servizio Blob

  1. Nello stesso account di archiviazione, seleziona Endpoint nel menu di navigazione a sinistra.
  2. Copia e salva l'URL dell'endpoint Blob service.
    • Esempio: https://intunelogsstorage.blob.core.windows.net/

Configurare le impostazioni di diagnostica di Microsoft Intune

  1. Accedi al centro di amministrazione di Microsoft Intune.

  2. Vai a Report > Impostazioni di diagnostica.

    • Se non hai ancora configurato le impostazioni di diagnostica, ti verrà chiesto di attivarle. Al termine, continua con il passaggio 3.
    • Se hai già configurato le impostazioni di diagnostica, vai al passaggio 3.

  3. Fai clic su Aggiungi impostazione diagnostica.

  4. Fornisci i seguenti dettagli di configurazione:

    • Nome impostazione diagnostica: inserisci un nome descrittivo (ad esempio export-to-secops).
    • Nella sezione Log, seleziona le seguenti categorie:
      • AuditLogs
      • OperationalLogs
      • DeviceComplianceOrg
      • Dispositivi
    • Nella sezione Dettagli destinazione, seleziona la casella di controllo Archivia in un account di archiviazione.
    • Abbonamento: seleziona l'abbonamento contenente il tuo account di archiviazione.
    • Storage account: seleziona l'account di archiviazione che hai creato in precedenza.

  5. Fai clic su Salva.

Dopo la configurazione, i log verranno esportati automaticamente nell'account di archiviazione. I log di controllo mostrano un record delle attività che generano una modifica in Intune. I log operativi mostrano i dettagli su utenti e dispositivi che sono stati registrati correttamente (o non sono riusciti a registrarsi) e i dettagli sui dispositivi non conformi. I log organizzativi di conformità dei dispositivi mostrano un report organizzativo per la conformità dei dispositivi in Intune e i dettagli sui dispositivi non conformi. IntuneDevices mostra l'inventario dei dispositivi e le informazioni sullo stato dei dispositivi registrati e gestiti da Intune.

I log di controllo e operativi di Intune vengono inviati immediatamente da Intune ai servizi Azure Monitor. I dati dei log organizzativi di conformità dei dispositivi Intune e del report IntuneDevices vengono inviati da Intune ai servizi Azure Monitor una volta ogni 24 ore. Pertanto, potrebbero essere necessarie fino a 24 ore per ottenere i log nei servizi Azure Monitor. Una volta inviati i dati da Intune, in genere vengono visualizzati nel servizio Azure Monitor entro 30 minuti.

Configura un feed in Google SecOps per importare i log di Microsoft Intune

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Intune Logs).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Microsoft Intune come tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI di Azure: inserisci l'URL dell'endpoint del servizio Blob con il percorso del container. Poiché Intune crea più contenitori per diverse categorie di log, dovrai creare feed separati per ogni contenitore. Utilizza il formato seguente:

    • Per i log di controllo:

      https://intunelogsstorage.blob.core.windows.net/insights-logs-auditlogs/

    • Per i log operativi:

      https://intunelogsstorage.blob.core.windows.net/insights-logs-operationallogs/

    • Per i log organizzativi della conformità dei dispositivi:

      https://intunelogsstorage.blob.core.windows.net/insights-logs-devicecomplianceorg/

    • Per i dispositivi:

      https://intunelogsstorage.blob.core.windows.net/insights-logs-devices/

    • Sostituisci intunelogsstorage con il nome del tuo account di archiviazione Azure.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo i trasferimenti.
      • Elimina i file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

    • Età massima file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.

    • Chiave condivisa: inserisci il valore della chiave condivisa (chiave di accesso) acquisita dall'account di archiviazione.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

  11. Ripeti i passaggi da 1 a 10 per creare feed aggiuntivi per ogni contenitore di categorie di log di Intune.

Configura il firewall di Azure Storage (se abilitato)

Se il tuo account di archiviazione Azure utilizza un firewall, devi aggiungere gli intervalli IP di Google SecOps.

  1. Nel portale Azure, vai al tuo account di archiviazione.
  2. Seleziona Networking in Sicurezza + networking.
  3. In Firewall e reti virtuali, seleziona Attivato da reti virtuali e indirizzi IP selezionati.
  4. Nella sezione Firewall, in Intervallo di indirizzi, fai clic su + Aggiungi intervallo IP.

  5. Aggiungi ogni intervallo IP di Google SecOps in notazione CIDR.

  6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
TargetDisplayNames_list additional.fields Unita
TargetObjectIds_list additional.fields Unita
UserPermissions_list additional.fields Unita
time metadata.event_timestamp Analizzato come ISO8601
has_user metadata.event_type Mappato: true → USER_UNCATEGORIZED
operationName metadata.product_event_type Mappato direttamente
properties.AuditEventId metadata.product_log_id Mappato direttamente
correlationId network.session_id Mappato direttamente
properties.Actor.Application principal.application Mappato direttamente
properties.Actor.ApplicationName principal.resource.name Mappato direttamente
PartnerTenantId_label principal.user.attribute.labels Unita
isDelegatedAdmin_label principal.user.attribute.labels Unita
category security_result.category_details Unita
resultDescription security_result.description Mappato direttamente
ActivityDate_label security_result.detection_fields Unita
ActivityResultStatus_label security_result.detection_fields Unita
ActivityType_label security_result.detection_fields Unita
ActorType_label security_result.detection_fields Unita
Category_label security_result.detection_fields Unita
Name_label security_result.detection_fields Unita
New_label security_result.detection_fields Unita
Old_label security_result.detection_fields Unita
identity_label security_result.detection_fields Unita
resultType security_result.summary Mappato direttamente
tenantId target.user.userid Mappato direttamente
N/D metadata.event_type Costante: USER_UNCATEGORIZED
N/D metadata.product_name Costante: Microsoft Intune Context
N/D metadata.vendor_name Costante: Microsoft

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.