Integrar Azure Monitor con Google SecOps
Versión de la integración: 1.0
En este documento se explica cómo integrar Azure Monitor con Google Security Operations (Google SecOps).
Casos prácticos
La integración de Azure Monitor puede abordar los siguientes casos prácticos:
Enriquecimiento de registros y contexto: usa las funciones de Google SecOps para buscar registros de Azure Monitor (como los de actividad de Azure o los de eventos de seguridad) durante un incidente para obtener contexto adicional, confirmar actividades sospechosas o identificar el alcance de una brecha que afecte a recursos de Azure.
Investigar eventos de autenticación de Azure: usa las funciones de SecOps de Google para consultar los registros de inicio de sesión cuando se identifique una dirección IP o una entidad de usuario sospechosas. De esta forma, podrás recuperar rápidamente todos los intentos de autenticación y el historial de acceso relacionados de Azure para ayudarte en las investigaciones de cuentas vulneradas.
Validación de configuraciones incorrectas en la nube: usa las funciones de Google SecOps para ejecutar consultas específicas en lenguaje de consulta Kusto (KQL) en el registro de actividad de Azure y comprobar si se han producido cambios recientes en los grupos de seguridad de red, las reglas de firewall o las configuraciones de servicios clave de Azure que puedan haber activado una alerta.
Antes de empezar
Antes de configurar la integración en la plataforma Google SecOps, comprueba que tienes lo siguiente:
Registro de aplicaciones de Azure AD: una aplicación de Azure Active Directory (Azure AD) con los permisos necesarios (por ejemplo, Lector de Log Analytics) para acceder a los datos de registro, de la que debes obtener el ID de cliente y el secreto de cliente. Para obtener información detallada sobre cómo configurar esta aplicación para acceder a la API, consulta el artículo Acceder a la API de registros de Azure Monitor.
ID de tenant: identificador único de tu instancia de Azure Active Directory, que es necesario para completar el flujo de autenticación de OAuth 2.0.
ID de espacio de trabajo de Log Analytics: identificador único del espacio de trabajo de Log Analytics de Azure Monitor específico en el que la integración busca registros. Para obtener más información sobre cómo encontrar el ID de Workspace, consulta Espacios de trabajo.
Parámetros de integración
La integración de Azure Monitor requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Login API Root |
Obligatorio. La raíz de la API de inicio de sesión del servicio Azure Monitor. El valor predeterminado es |
API Root |
Obligatorio. La raíz de la API del servicio Azure Monitor. El valor predeterminado es |
Tenant ID |
Obligatorio. ID de cliente de la cuenta de Azure Monitor. |
Client ID |
Obligatorio. El ID de cliente de la cuenta de Azure Monitor. |
Client Secret |
Obligatorio. El secreto de cliente de la cuenta de Azure Monitor. |
Workspace ID |
Obligatorio. ID del área de trabajo de la cuenta de Azure Monitor. |
Verify SSL |
Obligatorio. Si se selecciona esta opción, la integración valida el certificado SSL al conectarse al servidor de Azure Monitor. Esta opción está habilitada de forma predeterminada. |
Acciones
Para obtener más información sobre las acciones, consulta Responder a acciones pendientes desde Tu espacio de trabajo y Realizar una acción manual.
Ping
Usa la acción Ping para probar la conectividad con Azure Monitor.
Esta acción no se ejecuta en entidades de Google SecOps.
Entradas de acciones
Ninguno
Resultados de la acción
La acción Ping proporciona las siguientes salidas:
| Tipo de salida de la acción | Disponibilidad |
|---|---|
| Adjunto del panel de casos | No disponible |
| Enlace del panel de casos | No disponible |
| Tabla del panel de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de la secuencia de comandos. | Disponible |
Mensajes de salida
La acción Ping puede devolver los siguientes mensajes de salida:
| Mensaje resultante | Descripción del mensaje |
|---|---|
|
La acción se ha realizado correctamente. |
Failed to connect to the Azure Monitor server!
Error is ERROR_REASON |
No se ha podido realizar la acción. Comprueba la conexión al servidor, los parámetros de entrada o las credenciales. |
Resultado de la secuencia de comandos
En la siguiente tabla se muestra el valor de la salida del resultado de la secuencia de comandos al usar la acción Ping:
| Nombre del resultado del script | Valor |
|---|---|
is_success |
True o False |
Registros de búsqueda
Usa la acción Buscar registros para ejecutar comandos de KQL en tu área de trabajo de Azure Monitor y obtener datos de registro específicos en función de la cadena de consulta proporcionada.
Esta acción no se ejecuta en entidades de Google SecOps.
Entradas de acciones
La acción Registros de búsqueda requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Workspace ID |
Opcional. El ID del espacio de trabajo en el que se va a buscar. Si no se proporciona ningún valor, la acción usa el ID de espacio de trabajo de la configuración de la integración. |
Query |
Obligatorio. La consulta (comando KQL) que ejecuta la acción en los datos de registro. |
Time Frame |
Opcional. El periodo de la consulta. Si se selecciona Estos son los valores posibles:
El valor predeterminado es |
Start Time |
Opcional. Hora de inicio de la consulta en formato ISO 8601. Si se selecciona |
End Time |
Opcional. Hora de finalización de la consulta en formato ISO 8601. Si se selecciona |
Max Results To Return |
Obligatorio. Número máximo de resultados que se devolverán en la búsqueda. El valor máximo es El valor predeterminado es |
Resultados de la acción
La acción Buscar registros proporciona los siguientes resultados:
| Tipo de salida de la acción | Disponibilidad |
|---|---|
| Adjunto del panel de casos | No disponible |
| Enlace del panel de casos | No disponible |
| Tabla del panel de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de la secuencia de comandos. | Disponible |
Resultado de JSON
En el siguiente ejemplo se muestra la salida del resultado JSON recibida al usar la acción Buscar registros:
[
{
"TimeGenerated": "2025-10-07T06:44:40.4570918Z",
"OperationName": "Update datascanners"
},
{
"TimeGenerated": "2025-10-07T06:44:41.1760472Z",
"OperationName": "Update datascanners"
},
]
Mensajes de salida
La acción Buscar registros puede devolver los siguientes mensajes de salida:
| Mensaje resultante | Descripción del mensaje |
|---|---|
|
La acción se ha realizado correctamente. |
Error executing action "Search Logs". Reason:
ERROR_REASON |
No se ha podido realizar la acción. Comprueba la conexión al servidor, los parámetros de entrada o las credenciales. |
Resultado de la secuencia de comandos
En la siguiente tabla se muestra el valor de la salida del resultado de la secuencia de comandos cuando se usa la acción Buscar registros:
| Nombre del resultado del script | Valor |
|---|---|
is_success |
True o False |
¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.