Conectarse a Microsoft Azure para recoger datos de registro

Nivel de servicio de Enterprise

Vista previa

Este producto o función está sujeto a los "Términos de las Ofertas de Acceso Previo a la Disponibilidad General" de la sección Términos Generales de los Servicios de los Términos Específicos de los Servicios. Los productos y las funciones previos a la disponibilidad general están disponibles tal cual y pueden tener una compatibilidad y asistencia limitadas. Para obtener más información, consulta las descripciones de las fases de lanzamiento.

Para usar las detecciones seleccionadas, la investigación de amenazas y las funciones de gestión de derechos de infraestructura en la nube (CIEM) de Security Command Center para Microsoft Azure, es necesario ingerir los registros de Microsoft Azure mediante la canalización de ingesta de la consola de operaciones de seguridad. Los tipos de registro de Microsoft Azure necesarios para la ingesta varían en función de lo que estés configurando:

• CIEM requiere datos del tipo de registro de servicios en la nube de Azure (AZURE_ACTIVITY).
• Las detecciones seleccionadas requieren datos de varios tipos de registros. Para obtener más información sobre los distintos tipos de registros de Microsoft Azure, consulta Dispositivos admitidos y tipos de registros necesarios.

Detecciones seleccionadas

Las detecciones seleccionadas del nivel Enterprise de Security Command Center ayudan a identificar amenazas en entornos de Microsoft Azure mediante datos de eventos y de contexto.

Estos conjuntos de reglas requieren los siguientes datos para funcionar correctamente. Para obtener la máxima cobertura de reglas, debe ingerir datos de Azure de cada una de estas fuentes de datos.

• Servicios en la nube de Azure
• Microsoft Entra ID, antes Azure Active Directory
• Registros de auditoría de Microsoft Entra ID, anteriormente registros de auditoría de Azure AD
• Microsoft Defender for Cloud
• API Activity de Microsoft Graph

Para obtener más información, consulta lo siguiente en la documentación de Google SecOps:

• Dispositivos admitidos y tipos de registros necesarios para Azure: información sobre los datos que requiere cada conjunto de reglas.

• Ingerir datos de Azure y Microsoft Entra ID y Crear un feed de Azure Event Hub: pasos para recoger datos de registro de Azure y Microsoft Entra ID.

• Detecciones seleccionadas para datos de Azure: resumen de los conjuntos de reglas de Azure en las detecciones seleccionadas de la categoría Amenazas en la nube.

• Usar detecciones seleccionadas para identificar amenazas: cómo usar detecciones seleccionadas en Google SecOps.

Para obtener información sobre el tipo de datos de registro que pueden ingerir directamente en el arrendatario de Google SecOps los clientes con Security Command Center Enterprise, consulte el artículo Recogida de datos de registro de Google SecOps.

Configurar la ingestión de registros de Microsoft Azure para CIEM

Para generar resultados de CIEM en tu entorno de Microsoft Azure, las funciones de CIEM requieren datos de los registros de actividad de Azure de cada suscripción o grupo de gestión de Azure que se deba analizar.

Antes de empezar

Para exportar los registros de actividad de tus suscripciones o grupos de administración de Azure, configura una cuenta de almacenamiento de Microsoft Azure.

Configurar la ingestión de registros de Microsoft Azure para grupos de gestión

1. Para configurar el registro de actividad de Azure en grupos de administración, usa la API de grupos de administración.

   Nota: El portal de Microsoft Azure no admite la configuración de ajustes de diagnóstico para grupos de administración.

2. Para ingerir los registros de actividad exportados de la cuenta de almacenamiento, configura un feed en la consola de Security Operations.

3. Asigne una etiqueta de ingestión al feed. Para ello, asigne el valor CIEM al campo Etiqueta y el valor TRUE al campo Valor.

Configurar la ingestión de registros de Microsoft Azure para suscripciones

1. Para configurar el registro de actividad de Azure en las suscripciones, sigue estos pasos:

   1. En la consola de Azure, busca Monitor.
   2. En el panel de navegación de la izquierda, haz clic en el enlace Registro de actividad.
   3. Haz clic en Exportar registros de actividad.
   4. Realiza las siguientes acciones en cada suscripción o grupo de gestión para los que deban exportarse los registros:
      1. En el menú Suscripción, seleccione la suscripción de Microsoft Azure de la que quiera exportar los registros de actividad.
      2. Haz clic en Añadir ajuste de diagnóstico.
      3. Escriba un nombre para el ajuste de diagnóstico.
      4. En Categorías de registro, selecciona Administrativo.
      5. En Detalles del destino, selecciona Archivar en una cuenta de almacenamiento.
      6. Selecciona la suscripción y la cuenta de almacenamiento que has creado y haz clic en Guardar.

2. Para ingerir los registros de actividad exportados de la cuenta de almacenamiento, configura un feed en la consola de Security Operations.

3. Asigne una etiqueta de ingestión al feed. Para ello, asigne el valor CIEM al campo Etiqueta y el valor TRUE al campo Valor.

Siguientes pasos

• Para habilitar CIEM, consulta Habilitar el servicio de detección de CIEM.
• Para obtener más información sobre las funciones de CIEM, consulta el resumen de CIEM.