Microsoft Graph 활동 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google Security Operations 기술 지원 서비스 가이드라인 및 Google Security Operations 서비스 특정 약관을 참조하세요.

개요

이 파서는 Microsoft Graph 활동 로그에서 필드를 추출하여 통합 데이터 모델 (UDM)로 변환합니다. UDM 필드를 초기화하고, 페이로드를 파싱하고, 타임스탬프를 추출하고, 다양한 속성을 UDM 필드에 매핑하고, IP 주소와 포트를 처리하고, 사용자 및 네트워크 정보의 존재 여부에 따라 이벤트 유형을 분류합니다.

시작하기 전에

• Google SecOps 인스턴스가 있는지 확인합니다.
• Microsoft Entra ID 및 Azure 스토리지 계정에 대한 액세스 권한이 있는지 확인합니다.

Azure 스토리지 계정 구성

1. Azure Console에서 스토리지 계정을 검색합니다.
2. 만들기를 클릭합니다.
3. 다음 입력 매개변수의 값을 지정합니다.
   • 구독: 구독을 선택합니다.
   • Resource Group(리소스 그룹): 리소스 그룹을 선택합니다.
   • 리전: 리전을 선택합니다.
   • 성능: 원하는 성능 수준을 선택합니다 (표준 권장).
   • 중복성: 원하는 중복성 수준을 선택합니다 (GRS 또는 LRS 권장).
   • 스토리지 계정 이름: 새 스토리지 계정의 이름을 입력합니다.
4. 검토 + 만들기를 클릭합니다.
5. 계정 개요를 검토하고 만들기를 클릭합니다.
6. 스토리지 계정 개요 페이지의 보안 + 네트워킹에서 하위 메뉴 액세스 키를 선택합니다.
7. key1 또는 key2 옆에 있는 표시를 클릭합니다.
8. 클립보드에 복사를 클릭하여 키를 복사합니다.
9. 나중에 참고할 수 있도록 키를 안전한 위치에 저장합니다.
10. 스토리지 계정 개요 페이지에서 설정의 하위 메뉴 엔드포인트를 선택합니다.
11. 클립보드에 복사를 클릭하여 Blob 서비스 엔드포인트 URL (예: https://.blob.core.windows.net)을 복사합니다.
12. 나중에 참고할 수 있도록 엔드포인트 URL을 안전한 위치에 저장합니다.

스토리지 계정으로 Microsoft Graph 활동 로그 내보내기 구성

1. Azure 콘솔에서 Entra ID를 검색합니다.
2. 모니터링 > 진단 설정을 선택합니다.
3. + 진단 설정 추가를 클릭합니다.
4. 설정에 고유한 이름을 지정합니다 (예: ms-graph-activity).
5. Google SecOps로 내보낼 MicrosoftGraphActivityLog 카테고리를 선택합니다.
6. 대상 세부정보에서 스토리지 계정에 보관처리를 선택합니다.
7. 이전 단계에서 만든 구독 및 스토리지 계정을 선택합니다.
8. 저장을 클릭합니다.

참고: Blob 저장소가 저장용량 계정에 표시되는 데 최대 72시간이 걸릴 수 있습니다.

Microsoft Graph 활동 로그를 수집하도록 Google SecOps에서 피드 구성

1. SIEM 설정 > 피드로 이동합니다.
2. 새로 추가를 클릭합니다.
3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Microsoft Graph 활동 로그).
4. 소스 유형으로 Microsoft Azure Blob Storage를 선택합니다.
5. 로그 유형으로 Microsoft Graph 활동 로그를 선택합니다.
6. 다음을 클릭합니다.

7. 다음 입력 매개변수의 값을 지정합니다.

   • Azure uri: blob 엔드포인트 URL입니다.

     ENDPOINT_URL/BLOB_NAME

     다음을 바꿉니다.

     • ENDPOINT_URL: blob 엔드포인트 URL (https://<storageaccountname>.blob.core.windows.net)
     • BLOB_NAME: blob의 이름입니다 (예: insights-logs-).

   • URI: 로그 스트림 구성 (단일 파일 | 디렉터리 | 하위 디렉터리가 포함된 디렉터리)에 따라 URI 유형을 선택합니다.

   • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.

   참고: 전송된 파일 삭제 또는 전송된 파일 및 빈 디렉터리 삭제 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.
   • 공유 키: Azure Blob Storage의 액세스 키입니다.
   • 애셋 네임스페이스: 애셋 네임스페이스입니다.
   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

8. 다음을 클릭합니다.

9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드	UDM 매핑	논리
callerIpAddress	principal.asset.ip	원시 로그 필드 callerIpAddress가 UDM 필드에 복사됩니다.
callerIpAddress	principal.ip	원시 로그 필드 callerIpAddress가 UDM 필드에 복사됩니다.
category	security_result.category_details	원시 로그 필드 category가 UDM 필드에 복사됩니다.
correlationId	security_result.detection_fields.value	원시 로그 필드 correlationId가 UDM 필드에 복사되며 여기서 키는 correlationId입니다.
Level	security_result.detection_fields.value	원시 로그 필드 Level가 문자열로 변환되고 UDM 필드(키가 Level)에 복사됩니다.
operationName	metadata.product_event_type	원시 로그 필드 operationName가 UDM 필드에 복사됩니다.
operationVersion	additional.fields.value.string_value	원시 로그 필드 operationVersion가 UDM 필드에 복사되며 여기서 키는 operationVersion입니다.
properties.apiVersion	metadata.product_version	원시 로그 필드 properties.apiVersion가 UDM 필드에 복사됩니다.
properties.appId	target.resource.product_object_id	원시 로그 필드 properties.appId가 UDM 필드에 복사됩니다.
properties.atContent	additional.fields.value.string_value	원시 로그 필드 properties.atContent가 UDM 필드에 복사되며 여기서 키는 atContent입니다.
properties.clientAuthMethod	extensions.auth.auth_details	properties.clientAuthMethod의 값에 따라 UDM 필드는 '공개 클라이언트' (0), '클라이언트 ID/클라이언트 암호' (1) 또는 '클라이언트 인증서' (2)로 설정됩니다.
properties.clientRequestId	additional.fields.value.string_value	원시 로그 필드 properties.clientRequestId가 UDM 필드에 복사되며 여기서 키는 clientRequestId입니다.
properties.durationMs	network.session_duration.seconds	원시 로그 필드 properties.durationMs가 밀리초에서 초로 변환되고 UDM 필드에 복사됩니다.
properties.identityProvider	security_result.detection_fields.value	원시 로그 필드 properties.identityProvider가 UDM 필드에 복사되며 여기서 키는 identityProvider입니다.
properties.ipAddress	principal.asset.ip	원시 로그 필드 properties.ipAddress의 IP 주소가 추출되어 UDM 필드에 복사됩니다.
properties.ipAddress	principal.ip	원시 로그 필드 properties.ipAddress의 IP 주소가 추출되어 UDM 필드에 복사됩니다.
properties.location	principal.location.name	원시 로그 필드 properties.location가 UDM 필드에 복사됩니다.
properties.operationId	security_result.detection_fields.value	원시 로그 필드 properties.operationId가 UDM 필드에 복사되며 여기서 키는 operationId입니다.
properties.requestMethod	network.http.method	원시 로그 필드 properties.requestMethod가 UDM 필드에 복사됩니다.
properties.requestId	metadata.product_log_id	원시 로그 필드 properties.requestId가 UDM 필드에 복사됩니다.
properties.responseSizeBytes	network.received_bytes	원시 로그 필드 properties.responseSizeBytes가 부호 없는 정수로 변환되고 UDM 필드에 복사됩니다.
properties.responseStatusCode	network.http.response_code	원시 로그 필드 properties.responseStatusCode가 정수로 변환되고 UDM 필드에 복사됩니다.
properties.roles	additional.fields.value.string_value	원시 로그 필드 properties.roles가 UDM 필드에 복사되며 여기서 키는 roles입니다.
properties.scopes	additional.fields.value.string_value	원시 로그 필드 properties.scopes가 UDM 필드에 복사되며 여기서 키는 Scopes입니다.
properties.servicePrincipalId	principal.user.userid	properties.userId가 비어 있으면 원시 로그 필드 properties.servicePrincipalId가 UDM 필드에 복사됩니다.
properties.signInActivityId	network.session_id	원시 로그 필드 properties.signInActivityId가 UDM 필드에 복사됩니다.
properties.tenantId	metadata.product_deployment_id	원시 로그 필드 properties.tenantId가 UDM 필드에 복사됩니다.
properties.tokenIssuedAt	additional.fields.value.string_value	원시 로그 필드 properties.tokenIssuedAt가 UDM 필드에 복사되며 여기서 키는 tokenIssuedAt입니다.
properties.userAgent	network.http.user_agent	원시 로그 필드 properties.userAgent가 UDM 필드에 복사됩니다.
properties.userId	principal.user.userid	원시 로그 필드 properties.userId가 UDM 필드에 복사됩니다.
properties.wids	security_result.detection_fields.value	원시 로그 필드 properties.wids가 UDM 필드에 복사되며 여기서 키는 wids입니다.
resourceId	target.resource.attribute.labels.value	원시 로그 필드 resourceId가 UDM 필드에 복사되며 여기서 키는 Resource ID입니다.
resultSignature	additional.fields.value.string_value	원시 로그 필드 resultSignature가 UDM 필드에 복사되며 여기서 키는 resultSignature입니다.
time	metadata.event_timestamp	원시 로그 필드 time가 파싱되어 타임스탬프로 변환되고 UDM 필드에 복사됩니다. UDM 필드 event.idm.read_only_udm.metadata.event_type는 has_principal이 true이고 network.http가 비어 있지 않으면 'NETWORK_HTTP'로, has_principal이 true이고 network.http가 비어 있으면 'STATUS_UPDATE'로, 그 밖의 경우에는 'GENERIC_EVENT'로 설정됩니다. UDM 필드가 'Microsoft Graph'로 설정됩니다. UDM 필드가 'Microsoft'로 설정됩니다.

변경사항

2024-05-27

• 'metadata.vendor_name'을 'Microsoft'로, 'metadata.product_name'을 'Microsoft Graph'로 설정합니다.

2024-03-01

• 파서를 새로 만들었습니다.