איסוף יומני פעילות משתמשים ב-Microsoft Dynamics 365

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך אפשר לאסוף יומני פעילות של משתמשים ב-Microsoft Dynamics 365 על ידי הגדרת פיד של Google SecOps באמצעות Microsoft Azure Blob Storage V2.

‫Microsoft Dynamics 365 היא פלטפורמה של אפליקציות עסקיות מבוססות-ענן שמשלבת יכולות של CRM ו-ERP. יומני פעילות המשתמשים מתעדים פעולות ואירועים שבוצעו על ידי משתמשים באפליקציות של Dynamics 365, כולל פעולות על ישויות, גישה לנתונים ופעילויות ניהול. ‫Dynamics 365 מבוסס על Microsoft Dataverse, שמספק רישום מקיף ביומן הביקורת באמצעות יומן הביקורת המאוחד של Microsoft Purview.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• מופע של Google SecOps
• גישה עם הרשאות לפורטל Microsoft Azure:
  • יצירת חשבונות אחסון
  • הגדרה של Azure Synapse Link for Dataverse
  • ניהול מפתחות גישה
• מינוי ל-Microsoft 365 שכולל את Dynamics 365
• תפקיד האבטחה של אדמין המערכת בסביבת Dynamics 365

• גישה למרכז האדמין של Power Platform עם הרשאת אדמין גלובלי או אדמין של Power Platform

  הערה: אם אתם מגבילים את הגישה למשאבי Azure באמצעות חומת אש של Azure Storage, אתם צריכים להוסיף לרשימת כתובות ה-IP המותרות את טווחי כתובות ה-IP שמשמשים את העובדים של Storage Transfer Service ‏ (STS). מידע נוסף על רשימות היתרים לכתובות IP

הפעלת ביקורת ב-Dataverse

לפני שמייצאים יומני פעילות משתמשים ב-Dynamics 365, צריך להפעיל את הביקורת במרכז האדמין של Power Platform.

1. נכנסים למרכז הניהול של Power Platform.
2. בחלונית הניווט, בוחרים באפשרות סביבות.
3. בוחרים את הסביבה שמכילה את פריסת Dynamics 365.
4. בסרגל הפקודות, לוחצים על הגדרות.
5. מרחיבים את הקטע ביקורת ויומנים ובוחרים באפשרות הגדרות ביקורת.
6. בקטע ביקורת, מפעילים את האפשרויות הבאות:
   • התחלת הביקורת: מפעיל את הביקורת בסביבה.
   • גישה ליומן: מעקב אחרי התחברות של משתמשים.
   • קריאת יומנים: מתעד את רוב הפעילויות והאירועים של המשתמשים.
7. מגדירים את מדיניות שמירת הנתונים של יומני הביקורת בהתאם לדרישות שלכם.
8. כדי לאשר את השינויים, לוחצים על שמירה.

הפעלת ביקורת ברמת הטבלה

1. נכנסים ל-Power Apps ובוחרים את הסביבה.
2. בסרגל הפקודות, לוחצים על הגדרות > הגדרות מתקדמות.
3. עוברים אל הגדרות > התאמות אישיות > התאמה אישית של המערכת.
4. בחלונית הניווט, בקטע Components (רכיבים), מרחיבים את Entities (ישויות) ובוחרים את הישות שרוצים לבדוק (לדוגמה, Account (חשבון)).
5. גוללים למטה אל שירותי נתונים ומסמנים את התיבה ביקורת.
6. בקטע ביקורת, מפעילים את האפשרויות הבאות:
   • ביקורת של רשומה אחת. רישום רשומה כשפותחים את הקובץ.
   • ביקורת על כמה רשומות. רישום כל הרשומות שמוצגות בדף פתוח.
7. לוחצים על שמירה ואז על פרסום.
8. חוזרים על שלבים 4 עד 7 לכל טבלה שרוצים לבדוק.

מידע נוסף זמין במאמר בנושא רישום פעילות ב-Microsoft Dataverse ובאפליקציות מבוססות-מודל.

הגדרת חשבון Azure Storage

יצירת חשבון אחסון

1. ב-Azure portal, מחפשים Storage accounts.
2. לוחצים על ‎+ Create.

3. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   מינוי	בוחרים את המינוי ל-Azure.
   קבוצת משאבים	בוחרים קבוצה קיימת או יוצרים קבוצה חדשה
   שם חשבון האחסון	מזינים שם ייחודי (לדוגמה, secopsd365logs)
   אזור	בחירת אותו אזור כמו בסביבת Dataverse
   ביצועים	רגיל (מומלץ)
   יתירות	‫GRS (Geo-redundant storage) או LRS (Locally redundant storage)

4. בוחרים בכרטיסייה מתקדם ומפעילים את האפשרות מרחב שמות היררכי.

   הערה: נדרש מרחב שמות היררכי ל-Azure Data Lake Storage Gen2, שמשמש את Azure Synapse Link for Dataverse.

5. לוחצים על בדיקה + יצירה.

6. בודקים את הסקירה הכללית של החשבון ולוחצים על יצירה.

7. מחכים שהפריסה תסתיים.

קבלת פרטי הכניסה לחשבון האחסון

1. עוברים אל חשבון האחסון שיצרתם.
2. בניווט הימני, בוחרים באפשרות מפתחות גישה בקטע אבטחה + רשת.
3. לוחצים על הצגת מקשים.
4. מעתיקים ושומרים את הפרטים הבאים לשימוש בהמשך:
   • שם חשבון האחסון: secopsd365logs
   • ‫Key 1 או Key 2: מפתח הגישה המשותף (מחרוזת אקראית באורך 512 ביט בקידוד Base-64)

קבלת נקודת קצה של Blob Service

1. באותו חשבון אחסון, בתפריט הניווט הימני, בוחרים באפשרות נקודות קצה.
2. מעתיקים ושומרים את כתובת ה-URL של נקודת הקצה של שירות ה-Blob.
   • לדוגמה: https://secopsd365logs.blob.core.windows.net/

מתן הרשאות לחשבון אחסון

מעניקים הרשאות לאדמין של Power Platform שיגדיר את Azure Synapse Link:

1. בחלונית הימנית של Storage Account, בוחרים באפשרות בקרת גישה (IAM).
2. לוחצים על + הוספה > הוספת הקצאת תפקיד.
3. מקצים לאדמין של Power Platform את התפקידים הבאים:
   • Storage Blob Data Contributor
   • בעלים של נתוני Blob באחסון

הגדרה של Azure Synapse Link for Dataverse

‫Azure Synapse Link for Dataverse מייצא את טבלת הביקורת של Dataverse אל Azure Data Lake Storage Gen2, שתואם לפידים של Azure Blob Storage V2.

יצירת סביבת עבודה ב-Azure Synapse

1. ב-Azure portal, מחפשים את Synapse Analytics.
2. לוחצים על ‎+ Create.
3. מספקים את פרטי ההגדרה הבאים:
   • מינוי: בוחרים את המינוי שבו יצרתם את חשבון האחסון.
   • קבוצת משאבים: בוחרים את אותה קבוצת משאבים כמו חשבון האחסון.
   • שם Workspace: מזינים שם ייחודי (לדוגמה, synapse-d365-secops).
   • אזור: בוחרים את אותו אזור שבו נמצאת סביבת Dataverse.
   • שם חשבון האחסון: בוחרים את חשבון האחסון שיצרתם קודם (secopsd365logs).
   • שם מערכת הקבצים: לוחצים על יצירת חדש ומזינים שם (לדוגמה, d365-audit).
4. לוחצים על בדיקה + יצירה ואז על יצירה.
5. מחכים שהפריסה תסתיים.

יצירת מאגר Apache Spark

1. בפורטל Azure, עוברים לסביבת העבודה של Synapse שיצרתם.
2. לוחצים על + מאגר חדש של Apache Spark.
3. מספקים את פרטי ההגדרה הבאים:
   • שם מאגר Apache Spark: מזינים שם (לדוגמה, sparkpoold365).
   • מספר הצמתים: מזינים 5.
4. לוחצים על הכרטיסייה הגדרות נוספות ומזינים 5 בשדה מספר הדקות של חוסר פעילות.
5. לוחצים על בדיקה + יצירה ואז על יצירה.

חיבור טבלת ביקורת של Dataverse לסביבת עבודה של Synapse

1. נכנסים ל-Power Apps ובוחרים את הסביבה שמכילה את הפריסה של Dynamics 365.
2. בחלונית הניווט שמימין, בוחרים באפשרות Azure Synapse Link. אם הפריט לא מוצג, בוחרים באפשרות עוד > גילוי הכול ומאתרים את Azure Synapse Link.
3. לוחצים על קישור חדש.
4. בדף קישור חדש:
   • בוחרים באפשרות Connect to your Azure Synapse Analytics workspace (קישור לסביבת העבודה שלכם ב-Azure Synapse Analytics).
   • מינוי: בוחרים את המינוי ל-Azure.
   • קבוצת משאבים: בוחרים את קבוצת המשאבים שמכילה את סביבת העבודה של Synapse.
   • חשבון אחסון: בוחרים את חשבון האחסון (secopsd365logs).
   • בוחרים באפשרות Use Spark pool for Delta Lake data conversion job (שימוש במאגר Spark לעבודת המרת נתונים של Delta Lake).
   • מאגר Spark: בוחרים את מאגר Spark שיצרתם (sparkpoold365).
   • חשבון אחסון: בוחרים את אותו חשבון אחסון.
5. לוחצים על הבא.
6. מרחיבים את הכרטיסייה מתקדם ומזינים 480 דקות בשדה מרווח זמן.
7. מתחת לרשימת הטבלאות, בוחרים בטבלאות Auditing ו-User.

8. לוחצים על Save.

   הערה: ייצוא של טבלת הביקורת נתמך רק בפרופילים של Delta Lake. יכול להיות שיעבור קצת זמן עד שהייצוא הראשוני יושלם. אחרי ההשלמה, חוזרים לדף Azure Synapse Link ומוודאים שהסטטוס הוא Active.

מידע נוסף זמין במאמר גישה לנתוני ביקורת באמצעות Azure Synapse Link ו-Power BI.

הגדרה של פיד ב-Google SecOps להטמעה של יומני פעילות משתמשים ב-Microsoft Dynamics 365

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Microsoft Dynamics 365 User Activity).
5. בוחרים באפשרות Microsoft Azure Blob Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Microsoft Dynamics 365 בתור סוג היומן.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   • ‫Azure URI: מזינים את כתובת ה-URL של נקודת הקצה של Blob Service עם הנתיב של המאגר:

   https://secopsd365logs.blob.core.windows.net/d365-audit/
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫secopsd365logs: השם של חשבון האחסון שלכם ב-Azure.
   • ‫d365-audit: השם של מערכת הקבצים (המאגר) שהוגדרה בסביבת העבודה של Synapse.
   הערה: צריך לכלול את התו '/' בסוף ה-URI.
   • אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:
   • אף פעם: הקבצים לא נמחקים אחרי ההעברה.
   • מחיקת קבצים שהועברו: הקבצים נמחקים אחרי שההעברה מסתיימת.
   • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת בהצלחה.
   הערה: אם בוחרים באפשרות מחיקה, צריך לוודא שנתתם לחשבון השירות את ההרשאות המתאימות.
   • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים)
   • ‫Shared key (מפתח משותף): מזינים את הערך של המפתח המשותף (מפתח גישה) ששמרתם קודם מחשבון האחסון.
   • מרחב השמות של הנכס: מרחב השמות של הנכס
   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

הגדרת חומת אש של Azure Storage (אם היא מופעלת)

אם חשבון האחסון שלכם ב-Azure משתמש בחומת אש, אתם צריכים להוסיף את טווחי כתובות ה-IP של Google SecOps.

1. ב-Azure portal, עוברים אל Storage Account.
2. בקטע Security + networking (אבטחה + רשתות), בוחרים באפשרות Networking (רשתות).
3. בקטע Firewalls and virtual networks (חומות אש ורשתות וירטואליות), בוחרים באפשרות Enabled from selected virtual networks and IP addresses (מופעל מרשתות וירטואליות נבחרות ומכתובות IP נבחרות).
4. בקטע Firewall (חומת אש), מתחת לAddress range (טווח כתובות), לוחצים על + Add IP range (+ הוספת טווח כתובות IP).

5. מוסיפים כל טווח כתובות IP של Google SecOps בסימון CIDR.

   כדי לקבל את טווחי כתובות ה-IP הנוכחיים:

   • לעיון במאמרי העזרה בנושא רשימות היתרים לכתובות IP
   • אפשר גם לאחזר אותם באופן פרוגרמטי באמצעות Feed Management API

6. לוחצים על Save.

   הערה: מקור הפיד הזה משתמש ב-Storage Transfer Service‏ (STS) כדי להעביר נתונים מאחסון Azure אל Google SecOps. לפני שמשתמשים במקור הנתונים הזה, יכול להיות שיהיה צורך להוסיף את טווחי כתובות ה-IP שמשמשים את עובדי STS לרשימת כתובות ה-IP המותרות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
BuildNumber	about.labels	בוצע מיזוג של about_BuildNumber עם המפתח BuildNumber והערך מ-BuildNumber אם הוא לא ריק
RECORD_IDENTIFIER	additional.fields	התווית תמוזג עם תוויות שנוצרו מכל שדה רלוונטי אם הוא לא ריק
LastProcessedChange_DateTime	additional.fields
DataLakeModified_DateTime	additional.fields
Application_Object_Server_node	additional.fields
ClientType	additional.fields
LogoutDateTime	additional.fields
LOGOUTDATETIMETZID	additional.fields
TerminatedOk	additional.fields
סוג	additional.fields
חי	additional.fields
PARTITION	additional.fields
has_user	metadata.event_type	הערך שמוגדר הוא GENERIC_EVENT, ואז USER_UNCATEGORIZED אם has_user הוא true, אחרת הערך שמוגדר הוא STATUS_UPDATE אם has_principal הוא true
has_principal	metadata.event_type
RECVERSION	metadata.product_version	הערך מועתק ישירות אם הוא לא ריק
SessionId	network.session_id	הערך מועתק ישירות אם הוא לא ריק
LOG_SEQUENCE_NUMBER	security_result.detection_fields	המיזוג של LOG_SEQUENCE_NUMBER_label עם המפתח LOG_SEQUENCE_NUMBER והערך מ-LOG_SEQUENCE_NUMBER אם הוא לא ריק
UserId	target.user.userid	הערך מועתק ישירות אם הוא לא ריק
חותמת זמן	חותמת זמן	הערך מנותח באמצעות התאמה לתאריך בפורמט ISO8601 או RFC 3339, אם הוא לא ריק
metadata.product_name	metadata.product_name	הערך שמוגדר הוא MICROSOFT_DYNAMICS_365
metadata.vendor_name	metadata.vendor_name	הערך שמוגדר הוא MICROSOFT_DYNAMICS_365

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.