Ingérer les journaux d'activité Azure

Présentation

Ce document décrit la procédure à suivre pour ingérer vos journaux d'activité Azure dans Chronicle.

Configurer un compte de stockage

Pour configurer un compte Storage, procédez comme suit:

1. Dans la console Azure, recherchez Comptes de stockage.
2. Cliquez sur Create (Créer).
3. Sélectionnez l'abonnement, le groupe de ressources, la région, les performances (recommandé standard) et la redondance (recommandé GRS ou LRS) requises pour le compte, puis saisissez un nom pour le nouveau compte de stockage.
4. Cliquez sur Examiner et créer, passez en revue la présentation du compte et cliquez sur Créer.
5. Sur la page Vue d'ensemble du compte de stockage, sélectionnez Clés d'accès dans le panneau de navigation de gauche.
6. Cliquez sur Afficher les clés et notez la clé partagée du compte de stockage.
7. Sélectionnez Points de terminaison dans le panneau de navigation de gauche de la fenêtre.
8. Notez le point de terminaison Service Blob. (https://<nomcomptecompte>.blob.core.windows.net/)

Configurer la journalisation de l'activité Azure

Pour configurer la journalisation des activités Azure, procédez comme suit:

1. Dans la console Azure, recherchez Monitor (Surveiller).
2. Cliquez sur le lien Journal d'activité dans le panneau de navigation de gauche de la page.
3. Cliquez sur Exporter les journaux d'activité en haut de la fenêtre.
4. Cliquez sur Ajouter un paramètre de diagnostic.
5. Sélectionnez toutes les catégories que vous souhaitez exporter vers Chronicle.
6. Sous Détails de la destination, sélectionnez Archiver dans un compte de stockage.
7. Sélectionnez l'abonnement et le compte de stockage que vous avez créés à l'étape précédente.
8. Cliquez sur Save (Enregistrer).

Remarque : Consultez la documentation suivante pour configurer Microsoft Defender pour les journaux des points de terminaison.{/10

Configurer un flux dans Chronicle pour ingérer les journaux Azure

Pour configurer un flux dans Chronicle afin d'ingérer les journaux Azure, procédez comme suit:

1. Accédez aux paramètres de Chronicle, puis cliquez sur Flux.
2. Cliquez sur Ajouter.
3. Sélectionnez Microsoft Azure Blob Storage pour Source Type (Type de source).
4. Sélectionnez Activité Microsoft Azure pour Type de journal.
5. Cliquez sur Suivant.
6. Sous URI Azure, saisissez la valeur du point de terminaison Service Blob que vous avez enregistrée précédemment, avec le suffixe insights-activity-logs (par exemple, https://acme-azure-chronicle.blob.core.windows.net/insights-activity-logs).
7. Sous Type de source URI, sélectionnez Répertoires comprenant des sous-répertoires.
8. Sous Clé partagée, saisissez la valeur de la clé partagée précédemment récupérée.
9. Cliquez sur Suivant, puis sur Terminer.