アクティビティ ログをイベント ハブにストリーミングする方法

この機能を使用するには、Microsoft クラウド サービス用 Splunk Add-on が必要です。

Microsoft Entra ログを Splunk と統合する

1. Splunk インスタンスを開き、[データの概要] を選択します。

   

2. [ソースタイプ] タブを選択し、mscs:azure:eventhub を選択します

   

検索に body.records.category=AuditLogs を追加します。 次の図のような Microsoft Entra アクティビティ ログが表示されます。

アドオンを Splunk インスタンスにインストールできない場合 (たとえば、プロキシを使用している場合、Splunk Cloud で実行している場合など)、Splunk HTTP Event Collector にこれらのイベントを転送できます。 そのためには、イベント ハブの新しいメッセージによってトリガーされるこの Azure 関数を使います。

この機能を使用するには、SumoLogic のシングル サインオンが有効なサブスクリプションが必要です。

Microsoft Entra ログを SumoLogic と統合する

1. Microsoft Entra ID のログを収集するため SumoLogic インスタンスを構成します。

2. 対象環境のリアルタイム分析を行うことができる事前構成済みのダッシュボードを使用するために、Microsoft Entra SumoLogic アプリをインストールします。

   

この機能を使用するには、ArcSight Syslog NG Daemon SmartConnector (SmartConnector) または ArcSight Load Balancer の構成済みインスタンスが必要です。 イベントが ArcSight Load Balancer に送信されると、その結果、Load Balancer によって SmartConnector に送信されます。

ArcSight SmartConnector for Azure Monitor Event Hub の構成ガイドをダウンロードして開いてください。 このガイドには、ArcSight SmartConnector for Azure Monitor のインストールと構成に必要な手順が記載されています。

Microsoft Entra ログを ArcSight と統合する

1. ArcSight 構成ガイドの「前提条件」セクションの手順を完了します。 このセクションには、次の手順が記載されています。

   • コネクタのデプロイと構成を行うための所有者ロールを持つユーザーがいるように Azure でユーザー アクセス許可を設定します。
   • Syslog NG Daemon SmartConnector があるサーバーのポートを開き、Azure からアクセスできるようにします。
   • デプロイによって PowerShell スクリプトが実行されるため、コネクタをデプロイするマシン上で PowerShell がスクリプトを実行できるようにする必要があります。

2. ArcSight 構成ガイドの「コネクタのデプロイ」セクションの手順に従ってコネクタをデプロイします。 このセクションでは、コネクタのダウンロードと抽出、アプリケーションのプロパティの構成、および抽出されたフォルダーからのデプロイ スクリプトの実行方法について手順を追って説明します。

3. 「Azure でのデプロイの検証」の手順に従って、コネクタが設定され、正しく機能していることを確認します。 次の前提条件を確認します。

   • Azure サブスクリプションで必要な Azure functions が作成されている。
   • Microsoft Entra ログが正しい送信先にストリーミングされている。
   • デプロイのアプリケーション設定が、Azure Function アプリの [アプリケーション設定] に保持されている。
   • ArcSight コネクタ用の Microsoft Entra アプリケーションと、CEF 形式のマップ ファイルを含むストレージ アカウントを使用して、ArcSight 用の新しいリソース グループが Azure 内に作成されます。

4. ArcSight 構成ガイドの「デプロイ後の構成」に記載されているデプロイ後の手順を完了します。 このセクションには、タイムアウト期間後に関数アプリがアイドルにならないように App Service プランを使用している場合に追加の構成を実行する方法、イベント ハブのリソース ログのストリーミングを構成する方法、および新しく作成したストレージ アカウントと関連付けられるように SysLog NG Daemon SmartConnector キーストア証明書を更新する方法が説明されています。

5. この構成ガイドには、Azure 上でコネクタのプロパティをカスタマイズする方法、およびコネクタをアップグレードおよびアンインストールする方法についても説明されています。 Azure 従量課金プランへのアップグレードや ArcSight Load Balancer の構成 (イベントの負荷が単一の Syslog NG Daemon SmartConnector で処理できる量を超えている場合) など、パフォーマンスの改善に関するセクションもあります。