Mengumpulkan log aktivitas Microsoft Graph

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Ringkasan

Parser ini mengekstrak kolom dari log aktivitas Microsoft Graph, dan mengubahnya menjadi Model Data Terpadu (UDM). Fungsi ini melakukan inisialisasi kolom UDM, mengurai payload, mengekstrak stempel waktu, memetakan berbagai properti ke kolom UDM, menangani alamat IP dan port, serta mengategorikan jenis peristiwa berdasarkan keberadaan informasi utama dan jaringan.

Sebelum memulai

• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Anda memiliki akses dengan hak istimewa ke Microsoft Entra ID dan akun penyimpanan Azure.

Mengonfigurasi akun penyimpanan Azure

1. Di konsol Azure, telusuri akun penyimpanan.
2. Klik Create.
3. Tentukan nilai untuk parameter input berikut:
   • Langganan: pilih langganan.
   • Resource Group: pilih grup resource.
   • Region: pilih region.
   • Performa: pilih tingkat performa yang Anda inginkan (standar direkomendasikan).
   • Redundansi: pilih tingkat redundansi yang Anda inginkan (GRS atau LRS direkomendasikan).
   • Nama akun penyimpanan: masukkan nama untuk akun penyimpanan baru.
4. Klik Review + create.
5. Tinjau ringkasan akun, lalu klik Buat.
6. Dari halaman Ringkasan Akun Penyimpanan, pilih submenu Kunci akses di Keamanan + jaringan.
7. Klik Tampilkan di samping kunci1 atau kunci2
8. Klik Salin ke papan klip untuk menyalin kunci.
9. Simpan kunci di lokasi yang aman untuk referensi di masa mendatang.
10. Dari halaman Ringkasan Akun Penyimpanan, pilih submenu Endpoint di Setelan.
11. Klik Salin ke papan klip untuk menyalin URL endpoint Layanan blob (misalnya, https://.blob.core.windows.net).
12. Simpan URL endpoint di lokasi yang aman untuk referensi di masa mendatang.

Mengonfigurasi ekspor log aktivitas Microsoft Graph ke akun penyimpanan

1. Di konsol Azure, telusuri Entra ID.
2. Pilih Monitoring > Diagnostic settings.
3. Klik + Tambahkan setelan diagnostik.
4. Beri setelan nama unik (misalnya, ms-graph-activity).
5. Pilih kategori MicrosoftGraphActivityLog yang ingin Anda ekspor ke Google SecOps.
6. Di bagian Detail tujuan, pilih Arsipkan ke akun penyimpanan.
7. Pilih langganan dan akun penyimpanan yang Anda buat di langkah sebelumnya.
8. Klik Simpan.

Catatan: Mungkin perlu waktu hingga 72 jam agar penyimpanan blob muncul di akun penyimpanan Anda.

Mengonfigurasi feed di Google SecOps untuk menyerap log aktivitas Microsoft Graph

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Log aktivitas Microsoft Graph).
4. Pilih Microsoft Azure Blob Storage sebagai Jenis sumber.
5. Pilih Microsoft Graph Activity Logs sebagai Log type.
6. Klik Berikutnya.

7. Tentukan nilai untuk parameter input berikut:

   • URI Azure: URL endpoint blob.

     ENDPOINT_URL/BLOB_NAME

     Ganti kode berikut:

     • ENDPOINT_URL: URL endpoint blob (https://<storageaccountname>.blob.core.windows.net)
     • BLOB_NAME: nama blob (misalnya, insights-logs-)

   • URI adalah: pilih jenis URI sesuai dengan konfigurasi aliran log (File tunggal | Direktori | Direktori yang menyertakan subdirektori).

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

   Catatan: Jika Anda memilih opsi Hapus file yang ditransfer atau Hapus file yang ditransfer dan direktori kosong, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.
   • Kunci bersama: kunci akses ke Azure Blob Storage.
   • Namespace aset: namespace aset.
   • Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.

8. Klik Berikutnya.

9. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
callerIpAddress	principal.asset.ip	Kolom log mentah callerIpAddress disalin ke kolom UDM.
callerIpAddress	principal.ip	Kolom log mentah callerIpAddress disalin ke kolom UDM.
category	security_result.category_details	Kolom log mentah category disalin ke kolom UDM.
correlationId	security_result.detection_fields.value	Kolom log mentah correlationId disalin ke kolom UDM, dengan kunci correlationId.
Level	security_result.detection_fields.value	Kolom log mentah Level dikonversi menjadi string dan disalin ke kolom UDM, dengan kunci Level.
operationName	metadata.product_event_type	Kolom log mentah operationName disalin ke kolom UDM.
operationVersion	additional.fields.value.string_value	Kolom log mentah operationVersion disalin ke kolom UDM, dengan kunci operationVersion.
properties.apiVersion	metadata.product_version	Kolom log mentah properties.apiVersion disalin ke kolom UDM.
properties.appId	target.resource.product_object_id	Kolom log mentah properties.appId disalin ke kolom UDM.
properties.atContent	additional.fields.value.string_value	Kolom log mentah properties.atContent disalin ke kolom UDM, dengan kunci atContent.
properties.clientAuthMethod	extensions.auth.auth_details	Berdasarkan nilai properties.clientAuthMethod, kolom UDM ditetapkan ke "Klien Publik" (0), "Client ID/Rahasia Klien" (1), atau "Sertifikat Klien" (2).
properties.clientRequestId	additional.fields.value.string_value	Kolom log mentah properties.clientRequestId disalin ke kolom UDM, dengan kunci clientRequestId.
properties.durationMs	network.session_duration.seconds	Kolom log mentah properties.durationMs dikonversi dari milidetik ke detik dan disalin ke kolom UDM.
properties.identityProvider	security_result.detection_fields.value	Kolom log mentah properties.identityProvider disalin ke kolom UDM, dengan kunci identityProvider.
properties.ipAddress	principal.asset.ip	Alamat IP dari kolom log mentah properties.ipAddress diekstrak dan disalin ke kolom UDM.
properties.ipAddress	principal.ip	Alamat IP dari kolom log mentah properties.ipAddress diekstrak dan disalin ke kolom UDM.
properties.location	principal.location.name	Kolom log mentah properties.location disalin ke kolom UDM.
properties.operationId	security_result.detection_fields.value	Kolom log mentah properties.operationId disalin ke kolom UDM, dengan kunci operationId.
properties.requestMethod	network.http.method	Kolom log mentah properties.requestMethod disalin ke kolom UDM.
properties.requestId	metadata.product_log_id	Kolom log mentah properties.requestId disalin ke kolom UDM.
properties.responseSizeBytes	network.received_bytes	Kolom log mentah properties.responseSizeBytes dikonversi menjadi bilangan bulat tanpa tanda tangan dan disalin ke kolom UDM.
properties.responseStatusCode	network.http.response_code	Kolom log mentah properties.responseStatusCode dikonversi menjadi bilangan bulat dan disalin ke kolom UDM.
properties.roles	additional.fields.value.string_value	Kolom log mentah properties.roles disalin ke kolom UDM, dengan kunci roles.
properties.scopes	additional.fields.value.string_value	Kolom log mentah properties.scopes disalin ke kolom UDM, dengan kunci Scopes.
properties.servicePrincipalId	principal.user.userid	Kolom log mentah properties.servicePrincipalId disalin ke kolom UDM jika properties.userId kosong.
properties.signInActivityId	network.session_id	Kolom log mentah properties.signInActivityId disalin ke kolom UDM.
properties.tenantId	metadata.product_deployment_id	Kolom log mentah properties.tenantId disalin ke kolom UDM.
properties.tokenIssuedAt	additional.fields.value.string_value	Kolom log mentah properties.tokenIssuedAt disalin ke kolom UDM, dengan kunci tokenIssuedAt.
properties.userAgent	network.http.user_agent	Kolom log mentah properties.userAgent disalin ke kolom UDM.
properties.userId	principal.user.userid	Kolom log mentah properties.userId disalin ke kolom UDM.
properties.wids	security_result.detection_fields.value	Kolom log mentah properties.wids disalin ke kolom UDM, dengan kunci wids.
resourceId	target.resource.attribute.labels.value	Kolom log mentah resourceId disalin ke kolom UDM, dengan kunci Resource ID.
resultSignature	additional.fields.value.string_value	Kolom log mentah resultSignature disalin ke kolom UDM, dengan kunci resultSignature.
time	metadata.event_timestamp	Kolom log mentah time diuraikan dan dikonversi menjadi stempel waktu, lalu disalin ke kolom UDM. Kolom UDM event.idm.read_only_udm.metadata.event_type ditetapkan ke "NETWORK_HTTP" jika has_principal benar (true) dan network.http tidak kosong, "STATUS_UPDATE" jika has_principal benar (true) dan network.http kosong, atau "GENERIC_EVENT" jika tidak. Kolom UDM ditetapkan ke "Microsoft Graph". Kolom UDM ditetapkan ke "Microsoft".

Perubahan

2024-05-27

• Tetapkan "metadata.vendor_name" sebagai "Microsoft" dan "metadata.product_name" sebagai "Microsoft Graph".

2024-03-01

• Parser yang baru dibuat.