Mengumpulkan log Aktivitas Pengguna Microsoft Dynamics 365

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Aktivitas Pengguna Microsoft Dynamics 365 dengan menyiapkan feed Google SecOps menggunakan Microsoft Azure Blob Storage V2.

Microsoft Dynamics 365 adalah platform aplikasi bisnis berbasis cloud yang menggabungkan kemampuan CRM dan ERP. Log aktivitas pengguna mencatat tindakan dan peristiwa yang dilakukan oleh pengguna dalam aplikasi Dynamics 365, termasuk operasi entitas, akses data, dan aktivitas administratif. Dynamics 365 dibangun di Microsoft Dataverse, yang menyediakan pencatatan audit komprehensif melalui log audit terpadu Microsoft Purview.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke portal Microsoft Azure dengan izin untuk:
  • Membuat Akun Penyimpanan
  • Mengonfigurasi Azure Synapse Link untuk Dataverse
  • Mengelola kunci akses
• Langganan Microsoft 365 yang mencakup Dynamics 365
• Peran keamanan Administrator Sistem di lingkungan Dynamics 365

• Akses administrator Global Administrator atau Power Platform ke pusat admin Power Platform

  Catatan: Jika Anda membatasi akses ke resource Azure menggunakan firewall Azure Storage, Anda harus menambahkan rentang IP yang digunakan oleh pekerja Storage Transfer Service (STS) ke daftar IP yang diizinkan. Lihat Daftar IP yang Diizinkan.

Mengaktifkan audit Dataverse

Sebelum mengekspor log aktivitas pengguna Dynamics 365, Anda harus mengaktifkan audit di pusat admin Power Platform.

1. Login ke pusat admin Power Platform.
2. Di panel navigasi, pilih Environments.
3. Pilih lingkungan yang berisi deployment Dynamics 365 Anda.
4. Di panel perintah, pilih Setelan.
5. Luaskan Audit dan log, lalu pilih Setelan audit.
6. Di bagian Audit, aktifkan opsi berikut:
   • Mulai Audit: Mengaktifkan audit untuk lingkungan.
   • Akses log: Melacak login pengguna.
   • Membaca log: Mencatat sebagian besar aktivitas dan peristiwa pengguna.
7. Tetapkan Kebijakan retensi untuk log audit berdasarkan persyaratan Anda.
8. Pilih Simpan untuk menerapkan perubahan.

Mengaktifkan audit tingkat tabel

1. Login ke Power Apps dan pilih lingkungan.
2. Di panel perintah, pilih Setelan > Setelan lanjutan.
3. Buka Setelan > Penyesuaian > Sesuaikan Sistem.
4. Di panel navigasi, di bagian Komponen, luaskan Entitas dan pilih entitas yang akan diaudit (misalnya, Akun).
5. Scroll ke bawah ke Data Services, lalu centang kotak Auditing.
6. Di bagian Audit, aktifkan opsi berikut:
   • Audit catatan tunggal. Mencatat rekaman saat dibuka.
   • Pengauditan beberapa catatan. Mencatat semua rekaman yang ditampilkan di halaman yang dibuka.
7. Pilih Simpan, lalu pilih Publikasikan.
8. Ulangi langkah 4-7 untuk setiap tabel yang ingin Anda audit.

Untuk mengetahui informasi selengkapnya, lihat Logging aktivitas Microsoft Dataverse dan aplikasi yang didriven model.

Mengonfigurasi Akun Azure Storage

Buat Akun Penyimpanan

1. Di portal Azure, cari Storage accounts.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih yang sudah ada atau buat yang baru
   Nama akun penyimpanan	Masukkan nama unik (misalnya, secopsd365logs)
   Region	Pilih region yang sama dengan lingkungan Dataverse Anda
   Performa	Standar (direkomendasikan)
   Redundansi	GRS (Geo-redundant storage) atau LRS (Locally redundant storage)

4. Pilih tab Advanced dan aktifkan opsi Hierarchical Namespace.

   Catatan: Namespace Hierarkis diperlukan untuk Azure Data Lake Storage Gen2, yang digunakan oleh Azure Synapse Link untuk Dataverse.

5. Klik Review + create.

6. Tinjau ringkasan akun, lalu klik Buat.

7. Tunggu hingga deployment selesai.

Mendapatkan kredensial Akun Penyimpanan

1. Buka Akun Penyimpanan yang baru saja Anda buat.
2. Di navigasi kiri, pilih Access keys di bagian Security + networking.
3. Klik Tampilkan kunci.
4. Salin dan simpan teks berikut untuk digunakan nanti:
   • Nama akun penyimpanan: secopsd365logs
   • Kunci 1 atau Kunci 2: Kunci akses bersama (string acak 512-bit dalam encoding base-64)

Mendapatkan endpoint Blob Service

1. Di Akun Penyimpanan yang sama, pilih Endpoints dari navigasi kiri.
2. Salin dan simpan URL endpoint Blob service.
   • Contoh: https://secopsd365logs.blob.core.windows.net/

Memberikan izin akun penyimpanan

Beri izin kepada administrator Power Platform yang akan mengonfigurasi Azure Synapse Link:

1. Di Storage Account, pilih Access control (IAM) di panel kiri.
2. Klik + Tambahkan > Tambahkan penetapan peran.
3. Tetapkan peran berikut kepada administrator Power Platform:
   • Storage Blob Data Contributor
   • Storage Blob Data Owner

Mengonfigurasi Azure Synapse Link untuk Dataverse

Azure Synapse Link for Dataverse mengekspor tabel audit Dataverse ke Azure Data Lake Storage Gen2, yang kompatibel dengan feed Azure Blob Storage V2.

Buat ruang kerja Azure Synapse

1. Di portal Azure, cari Synapse Analytics.
2. Klik + Create.
3. Berikan detail konfigurasi berikut:
   • Subscription: Pilih langganan tempat Anda membuat akun penyimpanan.
   • Resource group: Pilih grup resource yang sama dengan akun penyimpanan.
   • Nama ruang kerja: Masukkan nama unik (misalnya, synapse-d365-secops).
   • Region: Pilih region yang sama dengan lingkungan Dataverse Anda.
   • Storage account name: Pilih akun penyimpanan yang Anda buat sebelumnya (secopsd365logs).
   • Nama sistem file: Klik Buat baru, lalu masukkan nama (misalnya, d365-audit).
4. Klik Tinjau + buat, lalu klik Buat.
5. Tunggu hingga deployment selesai.

Membuat kumpulan Apache Spark

1. Di portal Azure, buka ruang kerja Synapse yang Anda buat.
2. Klik + New Apache Spark pool.
3. Berikan detail konfigurasi berikut:
   • Nama pool Apache Spark: Masukkan nama (misalnya, sparkpoold365).
   • Number of nodes: Masukkan 5.
4. Pilih tab Setelan tambahan dan masukkan 5 untuk Jumlah menit tidak ada aktivitas.
5. Klik Tinjau + buat, lalu klik Buat.

Menghubungkan tabel audit Dataverse ke ruang kerja Synapse

1. Login ke Power Apps dan pilih lingkungan yang berisi deployment Dynamics 365 Anda.
2. Di panel navigasi kiri, pilih Azure Synapse Link. Jika item tidak terlihat, pilih Lainnya > Temukan semua dan temukan Azure Synapse Link.
3. Klik Link baru.
4. Di halaman Link baru:
   • Pilih opsi Hubungkan ke ruang kerja Azure Synapse Analytics Anda.
   • Langganan: Pilih langganan Azure.
   • Grup resource: Pilih grup resource yang berisi ruang kerja Synapse.
   • Akun penyimpanan: Pilih akun penyimpanan (secopsd365logs).
   • Pilih opsi Use Spark pool for Delta Lake data conversion job.
   • Spark pool: Pilih Spark pool yang Anda buat (sparkpoold365).
   • Akun penyimpanan: Pilih akun penyimpanan yang sama.
5. Klik Berikutnya.
6. Luaskan tab Advanced dan masukkan 480 menit di kolom Time interval.
7. Di bagian daftar tabel, pilih tabel Auditing dan User.

8. Klik Simpan.

   Catatan: Ekspor tabel audit hanya didukung dengan profil Delta Lake. Mungkin perlu waktu beberapa saat untuk menyelesaikan ekspor awal. Setelah selesai, verifikasi status sinkronisasi dengan kembali ke halaman Azure Synapse Link dan mengonfirmasi bahwa statusnya adalah Aktif.

Untuk mengetahui informasi selengkapnya, lihat Mengakses data audit dengan Azure Synapse Link dan Power BI.

Mengonfigurasi feed di Google SecOps untuk menyerap log Aktivitas Pengguna Microsoft Dynamics 365

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Dynamics 365 User Activity).
5. Pilih Microsoft Azure Blob Storage V2 sebagai Jenis sumber.
6. Pilih Microsoft Dynamics 365 sebagai Jenis log.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • URI Azure: Masukkan URL endpoint Blob Service dengan jalur container:

   https://secopsd365logs.blob.core.windows.net/d365-audit/
   

   Ganti kode berikut:

   • secopsd365logs: Nama akun penyimpanan Azure Anda.
   • d365-audit: Nama sistem file (penampung) yang dikonfigurasi di ruang kerja Synapse.
   Catatan: Sertakan garis miring (/) di akhir URI.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
   • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer.
   • Hapus file yang ditransfer: Menghapus file setelah transfer berhasil.
   • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.
   Catatan: Jika Anda memilih opsi penghapusan, pastikan Anda memberikan izin yang sesuai ke akun layanan.
   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir (default adalah 180 hari)
   • Shared key: Masukkan nilai kunci bersama (kunci akses) yang Anda ambil dari Akun Penyimpanan sebelumnya
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Mengonfigurasi firewall Azure Storage (jika diaktifkan)

Jika Akun Azure Storage Anda menggunakan firewall, Anda harus menambahkan rentang IP Google SecOps.

1. Di portal Azure, buka Akun Penyimpanan Anda.
2. Pilih Networking di bagian Security + networking.
3. Di bagian Firewalls and virtual networks, pilih Enabled from selected virtual networks and IP addresses.
4. Di bagian Firewall, di bagian Rentang alamat, klik + Tambahkan rentang IP.

5. Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.

   Untuk mendapatkan rentang IP saat ini:

   • Lihat dokumentasi Daftar IP yang Diizinkan
   • Atau, ambil secara terprogram menggunakan Feed Management API

6. Klik Simpan.

   Catatan: Sumber feed ini menggunakan Storage Transfer Service (STS) untuk mentransfer data dari penyimpanan Azure ke Google SecOps. Sebelum menggunakan sumber feed ini, Anda mungkin perlu menambahkan rentang IP yang digunakan oleh pekerja STS ke daftar IP yang diizinkan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
BuildNumber	about.labels	Menggabungkan about_BuildNumber dengan kunci "BuildNumber" dan nilai dari BuildNumber jika tidak kosong
RECORD_IDENTIFIER	additional.fields	Digabungkan dengan label yang dibuat dari setiap kolom masing-masing jika tidak kosong
LastProcessedChange_DateTime	additional.fields
DataLakeModified_DateTime	additional.fields
Application_Object_Server_node	additional.fields
ClientType	additional.fields
LogoutDateTime	additional.fields
LOGOUTDATETIMETZID	additional.fields
TerminatedOk	additional.fields
Jenis	additional.fields
Alive	additional.fields
PARTISI	additional.fields
has_user	metadata.event_type	Ditetapkan ke "GENERIC_EVENT", lalu "USER_UNCATEGORIZED" jika has_user benar, atau "STATUS_UPDATE" jika has_principal benar
has_principal	metadata.event_type
RECVERSION	metadata.product_version	Nilai disalin langsung jika tidak kosong
SessionId	network.session_id	Nilai disalin langsung jika tidak kosong
LOG_SEQUENCE_NUMBER	security_result.detection_fields	Menggabungkan LOG_SEQUENCE_NUMBER_label dengan kunci "LOG_SEQUENCE_NUMBER" dan nilai dari LOG_SEQUENCE_NUMBER jika tidak kosong
ID Pengguna	target.user.userid	Nilai disalin langsung jika tidak kosong
timestamp	timestamp	Diuraikan menggunakan kecocokan tanggal dengan format ISO8601 atau RFC 3339 jika tidak kosong
metadata.product_name	metadata.product_name	Tetapkan ke "MICROSOFT_DYNAMICS_365"
metadata.vendor_name	metadata.vendor_name	Tetapkan ke "MICROSOFT_DYNAMICS_365"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.