Microsoft Dynamics 365-Nutzeraktivitätslogs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Protokolle zur Nutzeraktivität in Microsoft Dynamics 365 erfassen können, indem Sie einen Google SecOps-Feed mit Microsoft Azure Blob Storage V2 einrichten.

Microsoft Dynamics 365 ist eine cloudbasierte Plattform für Geschäftsanwendungen, die CRM- und ERP-Funktionen kombiniert. In Protokollen zur Nutzeraktivität werden Aktionen und Ereignisse erfasst, die von Nutzern in Dynamics 365-Anwendungen ausgeführt werden, einschließlich Entitätsvorgängen, Datenzugriff und Verwaltungsaktivitäten. Dynamics 365 basiert auf Microsoft Dataverse, das umfassendes Audit-Logging über das einheitliche Audit-Log von Microsoft Purview bietet.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für:
  • Speicherkonten erstellen
  • Azure Synapse Link für Dataverse konfigurieren
  • Zugriffsschlüssel verwalten
• Ein Microsoft 365-Abo, das Dynamics 365 umfasst
• Sicherheitsrolle „Systemadministrator“ in der Dynamics 365-Umgebung

• Global Administrator- oder Power Platform-Administratorzugriff auf das Power Platform Admin Center

  Hinweis :Wenn Sie den Zugriff auf Ihre Azure-Ressourcen über eine Azure Storage-Firewall beschränken, müssen Sie die von Storage Transfer Service-Workern (STS) verwendeten IP-Bereiche der Liste der zulässigen IP-Adressen hinzufügen. Weitere Informationen finden Sie unter Zulassen von IP-Adressen.

Dataverse-Prüfung aktivieren

Bevor Sie Dynamics 365-Protokolle für Nutzeraktivitäten exportieren können, müssen Sie die Überwachung im Power Platform Admin Center aktivieren.

1. Melden Sie sich im Power Platform Admin Center an.
2. Wählen Sie im Navigationsbereich Umgebungen aus.
3. Wählen Sie die Umgebung aus, die Ihre Dynamics 365-Bereitstellung enthält.
4. Wählen Sie in der Befehlsleiste Einstellungen aus.
5. Maximieren Sie Audit und Logs und wählen Sie Auditeinstellungen aus.
6. Aktivieren Sie unter Audit (Überprüfung) die folgenden Optionen:
   • Prüfung starten: Aktiviert die Prüfung für die Umgebung.
   • Protokollzugriff: Hier werden Nutzeranmeldungen erfasst.
   • Logs lesen: Erfasst die meisten Nutzeraktivitäten und ‑ereignisse.
7. Legen Sie die Aufbewahrungsrichtlinie für Audit-Logs entsprechend Ihren Anforderungen fest.
8. Wählen Sie Speichern aus, um die Änderungen zu übernehmen.

Prüfung auf Tabellenebene aktivieren

1. Melden Sie sich in Power Apps an und wählen Sie die Umgebung aus.
2. Wählen Sie in der Befehlsleiste Einstellungen> Erweiterte Einstellungen aus.
3. Gehen Sie zu den Einstellungen > „Anpassungen“ > „System anpassen“.
4. Maximieren Sie im Navigationsbereich unter Komponenten die Option Entitäten und wählen Sie die zu prüfende Entität aus (z. B. Konto).
5. Scrollen Sie nach unten zu Datendienste und aktivieren Sie das Kästchen Überprüfung.
6. Aktivieren Sie unter Audit (Überprüfung) die folgenden Optionen:
   • Auditing einzelner Datensätze. Einen Datensatz protokollieren, wenn er geöffnet wird.
   • Prüfung mehrerer Datensätze. Alle auf einer geöffneten Seite angezeigten Datensätze protokollieren.
7. Wählen Sie Speichern und dann Veröffentlichen aus.
8. Wiederholen Sie die Schritte 4 bis 7 für jede Tabelle, die Sie prüfen möchten.

Weitere Informationen finden Sie unter Microsoft Dataverse and model-driven apps activity logging.

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

1. Suchen Sie im Azure-Portal nach Speicherkonten.
2. Klicken Sie auf + Erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo	Azure-Abo auswählen
   Ressourcengruppe	Vorhandenen auswählen oder neuen erstellen
   Name des Speicherkontos	Geben Sie einen eindeutigen Namen ein, z. B. secopsd365logs.
   Region	Wählen Sie dieselbe Region wie für Ihre Dataverse-Umgebung aus.
   Leistung	Standard (empfohlen)
   Redundanz	GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

4. Wählen Sie den Tab Erweitert aus und aktivieren Sie die Option Hierarchischer Namespace.

   Hinweis :Der hierarchische Namespace ist für Azure Data Lake Storage Gen2 erforderlich, das von Azure Synapse Link für Dataverse verwendet wird.

5. Klicken Sie auf Überprüfen + Erstellen.

6. Sehen Sie sich die Übersicht des Kontos an und klicken Sie auf Erstellen.

7. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

1. Rufen Sie das Storage-Konto auf, das Sie gerade erstellt haben.
2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
3. Klicken Sie auf Schlüssel anzeigen.
4. Kopieren und speichern Sie Folgendes für die spätere Verwendung:
   • Name des Speicherkontos: secopsd365logs
   • Schlüssel 1 oder Schlüssel 2: Der gemeinsame Zugriffsschlüssel (ein 512-Bit-Zufallsstring in Base64-Codierung)

Blob Service-Endpunkt abrufen

1. Wählen Sie im selben Speicherkonto in der linken Navigationsleiste Endpunkte aus.
2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
   • Beispiel: https://secopsd365logs.blob.core.windows.net/

Speicherkontoberechtigungen gewähren

Gewähren Sie dem Power Platform-Administrator, der den Azure Synapse Link konfiguriert, die folgenden Berechtigungen:

1. Wählen Sie im Speicherkonto im linken Bereich Zugriffssteuerung (IAM) aus.
2. Klicken Sie auf + Hinzufügen> Rollenzuweisung hinzufügen.
3. Weisen Sie dem Power Platform-Administrator die folgenden Rollen zu:
   • Storage Blob Data Contributor
   • Storage Blob-Dateninhaber

Azure Synapse Link für Dataverse konfigurieren

Mit Azure Synapse Link for Dataverse wird die Dataverse-Prüfungstabelle in Azure Data Lake Storage Gen2 exportiert, das mit Azure Blob Storage V2-Feeds kompatibel ist.

Azure Synapse-Arbeitsbereich erstellen

1. Suchen Sie im Azure-Portal nach Synapse Analytics.
2. Klicken Sie auf + Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Abo: Wählen Sie das Abo aus, in dem Sie das Speicherkonto erstellt haben.
   • Ressourcengruppe: Wählen Sie dieselbe Ressourcengruppe wie für das Speicherkonto aus.
   • Workspace-Name: Geben Sie einen eindeutigen Namen ein, z. B. synapse-d365-secops.
   • Region: Wählen Sie dieselbe Region wie für Ihre Dataverse-Umgebung aus.
   • Storage-Kontoname: Wählen Sie das Storage-Konto aus, das Sie zuvor erstellt haben (secopsd365logs).
   • Name des Dateisystems: Klicken Sie auf Neu erstellen und geben Sie einen Namen ein (z. B. d365-audit).
4. Klicken Sie auf Überprüfen + erstellen und dann auf Erstellen.
5. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Apache Spark-Pool erstellen

1. Rufen Sie im Azure-Portal den von Ihnen erstellten Synapse-Arbeitsbereich auf.
2. Klicken Sie auf + Neuer Apache Spark-Pool.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Apache Spark-Pools: Geben Sie einen Namen ein, z. B. sparkpoold365.
   • Anzahl der Knoten: Geben Sie 5 ein.
4. Wählen Sie den Tab Zusätzliche Einstellungen aus und geben Sie 5 für Anzahl der Minuten im Leerlauf ein.
5. Klicken Sie auf Überprüfen + erstellen und dann auf Erstellen.

Dataverse-Audittabelle mit Synapse-Arbeitsbereich verbinden

1. Melden Sie sich in Power Apps an und wählen Sie die Umgebung mit Ihrer Dynamics 365-Bereitstellung aus.
2. Wählen Sie im linken Navigationsbereich Azure Synapse Link aus. Wenn das Element nicht sichtbar ist, wählen Sie Mehr > Alle anzeigen aus und suchen Sie nach Azure Synapse Link.
3. Klicken Sie auf Neue Verknüpfung.
4. Auf der Seite Neue Verknüpfung:
   • Wählen Sie die Option Mit Ihrem Azure Synapse Analytics-Arbeitsbereich verbinden aus.
   • Abo: Wählen Sie das Azure-Abo aus.
   • Ressourcengruppe: Wählen Sie die Ressourcengruppe aus, die den Synapse-Arbeitsbereich enthält.
   • Speicherkonto: Wählen Sie das Speicherkonto (secopsd365logs) aus.
   • Wählen Sie die Option Spark-Pool für Delta Lake-Datenkonvertierungsjob verwenden aus.
   • Spark-Pool: Wählen Sie den von Ihnen erstellten Spark-Pool aus (sparkpoold365).
   • Speicherkonto: Wählen Sie dasselbe Speicherkonto aus.
5. Klicken Sie auf Weiter.
6. Maximieren Sie den Tab Erweitert und geben Sie im Feld Zeitintervall den Wert 480 Minuten ein.
7. Wählen Sie unter der Liste der Tabellen die Tabellen Auditing und User aus.

8. Klicken Sie auf Speichern.

   Hinweis :Der Export der Audittabelle wird nur bei Delta Lake-Profilen unterstützt. Es kann einige Zeit dauern, bis der erste Export abgeschlossen ist. Prüfen Sie nach Abschluss der Synchronisierung den Synchronisierungsstatus, indem Sie zur Seite Azure Synapse Link zurückkehren und bestätigen, dass der Status Aktiv ist.

Weitere Informationen finden Sie unter Zugriff auf Audit-Daten mit Azure Synapse Link und Power BI.

Feed in Google SecOps konfigurieren, um Microsoft Dynamics 365-Nutzeraktivitätslogs aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Dynamics 365 User Activity.
5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
6. Wählen Sie Microsoft Dynamics 365 als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein:

   https://secopsd365logs.blob.core.windows.net/d365-audit/
   

   Ersetzen Sie Folgendes:

   • secopsd365logs: Der Name Ihres Azure Storage-Kontos.
   • d365-audit: Der Name des Dateisystems (Containers), der im Synapse-Arbeitsbereich konfiguriert ist.
   Hinweis: Fügen Sie am Ende des URI einen abschließenden Schrägstrich (/) ein.
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:
   • Nie: Löscht nach Übertragungen nie Dateien.
   • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
   • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.
   Hinweis: Wenn Sie eine Löschoption auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.
   • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
   • Gemeinsamer Schlüssel: Geben Sie den Wert des gemeinsamen Schlüssels (Zugriffsschlüssel) ein, den Sie zuvor aus dem Speicherkonto abgerufen haben.
   • Asset-Namespace: Der Asset-Namespace
   • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn für Ihr Azure Storage-Konto eine Firewall verwendet wird, müssen Sie die IP-Bereiche von Google SecOps hinzufügen.

1. Rufen Sie im Azure-Portal Ihr Storage-Konto auf.
2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option Aktiviert für ausgewählte virtuelle Netzwerke und IP-Adressen aus.
4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.

5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.

   So rufen Sie die aktuellen IP-Bereiche ab:

   • Dokumentation zum Zulassen von IP-Adressen
   • Oder Sie rufen sie programmatisch mit der Feed Management API ab.

6. Klicken Sie auf Speichern.

   Hinweis :Bei dieser Feedquelle wird Storage Transfer Service (STS) verwendet, um Daten aus Azure Storage in Google SecOps zu übertragen. Bevor Sie diese Feedquelle verwenden können, müssen Sie möglicherweise die von STS-Workern verwendeten IP-Bereiche der Liste der zulässigen IP-Adressen hinzufügen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
BuildNumber	about.labels	„about_BuildNumber“ mit dem Schlüssel „BuildNumber“ und dem Wert aus „BuildNumber“ zusammengeführt, sofern nicht leer
RECORD_IDENTIFIER	additional.fields	Wird mit Labels zusammengeführt, die aus den jeweiligen Feldern erstellt wurden, sofern diese nicht leer sind.
LastProcessedChange_DateTime	additional.fields
DataLakeModified_DateTime	additional.fields
Application_Object_Server_node	additional.fields
ClientType	additional.fields
LogoutDateTime	additional.fields
LOGOUTDATETIMETZID	additional.fields
TerminatedOk	additional.fields
Typ	additional.fields
Lebend	additional.fields
PARTITION	additional.fields
has_user	metadata.event_type	Wird auf „GENERIC_EVENT“ und dann auf „USER_UNCATEGORIZED“ festgelegt, wenn „has_user“ auf „true“ gesetzt ist. Andernfalls wird es auf „STATUS_UPDATE“ festgelegt, wenn „has_principal“ auf „true“ gesetzt ist.
has_principal	metadata.event_type
RECVERSION	metadata.product_version	Wert wird direkt kopiert, wenn er nicht leer ist
SessionId (Sitzungs-ID)	network.session_id	Wert wird direkt kopiert, wenn er nicht leer ist
LOG_SEQUENCE_NUMBER	security_result.detection_fields	Das Label „LOG_SEQUENCE_NUMBER_label“ wurde mit dem Schlüssel „LOG_SEQUENCE_NUMBER“ und dem Wert aus „LOG_SEQUENCE_NUMBER“ zusammengeführt, sofern dieser nicht leer ist.
UserId	target.user.userid	Wert wird direkt kopiert, wenn er nicht leer ist
timestamp	timestamp	Wird mit dem Datumsabgleich im ISO 8601- oder RFC 3339-Format geparst, sofern nicht leer.
metadata.product_name	metadata.product_name	Auf „MICROSOFT_DYNAMICS_365“ festgelegt
metadata.vendor_name	metadata.vendor_name	Auf „MICROSOFT_DYNAMICS_365“ festgelegt

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten