Habilite auditorias de segurança e DNS para os Serviços de Domínio Microsoft Entra

As auditorias de segurança e DNS dos Serviços de Domínio Microsoft Entra permitem que o Azure transmita eventos para recursos direcionados. Esses recursos incluem o Armazenamento do Azure, espaços de trabalho do Azure Log Analytics ou o Hub de Eventos do Azure. Depois de habilitar os eventos de auditoria de segurança, os Serviços de Domínio enviam todos os eventos auditados da categoria selecionada para o recurso de destino.

Você pode arquivar eventos no armazenamento do Azure e transmitir eventos para o software de gerenciamento de eventos e informações de segurança (SIEM) (ou equivalente) usando Hubs de Eventos do Azure ou fazer sua própria análise e usando espaços de trabalho do Azure Log Analytics no centro de administração do Microsoft Entra.

Destinos da auditoria de segurança

Você pode usar o Armazenamento do Azure, os Hubs de Eventos do Azure ou os espaços de trabalho do Azure Log Analytics como um recurso de destino para auditorias de segurança dos Serviços de Domínio. Estes destinos podem ser combinados. Por exemplo, você pode usar o Armazenamento do Azure para arquivar eventos de auditoria de segurança, mas um espaço de trabalho do Azure Log Analytics para analisar e relatar as informações a curto prazo.

A tabela a seguir descreve cenários para cada tipo de recurso de destino.

Habilitar eventos de auditoria de segurança usando o centro de administração do Microsoft Entra

Para habilitar eventos de auditoria de segurança dos Serviços de Domínio usando o centro de administração do Microsoft Entra, conclua as etapas a seguir.

1. Entre no centro de administração do Microsoft Entra como Administrador Global.

2. Procure e selecione Serviços de Domínio Microsoft Entra. Escolha seu domínio gerenciado, como aaddscontoso.com.

3. Na janela Serviços de Domínio, selecione Configurações de diagnóstico no lado esquerdo.

4. Nenhum diagnóstico é configurado por padrão. Para começar, selecione Adicionar configuração de diagnóstico.

   

5. Insira um nome para a configuração de diagnóstico, como aadds-auditing.

   Marque a caixa para o destino de auditoria de segurança ou DNS desejado. Você pode escolher entre um espaço de trabalho do Log Analytics, uma conta de Armazenamento do Azure, um hub de eventos do Azure ou uma solução de parceiro. Esses recursos de destino já devem existir em sua assinatura do Azure. Não é possível criar os recursos de destino neste assistente.

   • Espaços de trabalho do Azure Log Analytic
     • Selecione Enviar para o Log Analytics e, em seguida, escolha o espaço de trabalho Subscrição e Análise de Registo que pretende utilizar para armazenar eventos de auditoria.
   • Armazenamento do Azure
     • Selecione Arquivar em uma conta de armazenamento e, em seguida, escolha Configurar.
     • Selecione a Subscrição e a conta de Armazenamento que pretende utilizar para arquivar eventos de auditoria.
     • Quando estiver pronto, escolha OK.
   • Hubs de eventos do Azure
     • Selecione Transmitir para um hub de eventos e escolha Configurar.
     • Selecione o namespace Assinatura e Hub de eventos. Se necessário, escolha também um nome do hub de eventos e, em seguida, o nome da política do hub de eventos.
     • Quando estiver pronto, escolha OK.
   • Solução de parceiro
     • Selecione Enviar para solução de parceiro e, em seguida, escolha a Subscrição e o Destino que pretende utilizar para armazenar eventos de auditoria.

6. Selecione as categorias de log que deseja incluir para o recurso de destino específico. Se você enviar os eventos de auditoria para uma conta de Armazenamento do Azure, também poderá configurar uma política de retenção que defina o número de dias para reter dados. Uma configuração padrão de 0 retém todos os dados e não gira eventos após um período de tempo.

   Você pode selecionar diferentes categorias de log para cada recurso de destino em uma única configuração. Essa capacidade permite que você escolha quais categorias de logs deseja manter para o Log Analytics e quais categorias de logs deseja arquivar, por exemplo.

7. Quando terminar, selecione Salvar para confirmar as alterações. Os recursos de destino começam a receber eventos de auditoria dos Serviços de Domínio logo após a configuração ser salva.

Habilitar eventos de auditoria de segurança e DNS usando o Azure PowerShell

Para habilitar a segurança dos Serviços de Domínio e eventos de auditoria de DNS usando o Azure PowerShell, conclua as etapas a seguir. Se necessário, primeiro instale o módulo do Azure PowerShell e conecte-se à sua assinatura do Azure.

1. Autentique-se em sua assinatura do Azure usando o cmdlet Connect-AzAccount . Quando solicitado, insira as credenciais da sua conta.

   Connect-AzAccount
   

2. Crie o recurso de destino para os eventos de auditoria.

   • Espaços de trabalho - do Azure Log Analytic Crie um espaço de trabalho do Log Analytics com o Azure PowerShell.

   • Armazenamento - do Azure Criar uma conta de armazenamento usando o Azure PowerShell

   • Hubs de - eventos do Azure Crie um hub de eventos usando o Azure PowerShell. Também pode ser necessário usar o cmdlet New-AzEventHubAuthorizationRule para criar uma regra de autorização que conceda permissões aos Serviços de Domínio para o namespace do hub de eventos. A regra de autorização deve incluir os direitos Gerenciar, Ouvir e Enviar.

     Importante

     Certifique-se de definir a regra de autorização no namespace do hub de eventos e não no hub de eventos em si.

3. Obtenha a ID do recurso para seu domínio gerenciado dos Serviços de Domínio usando o cmdlet Get-AzResource . Crie uma variável chamada $aadds. ResourceId para manter o valor:

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Configure as configurações de Diagnóstico do Azure usando o cmdlet Set-AzDiagnosticSetting para usar o recurso de destino para eventos de auditoria dos Serviços de Domínio Microsoft Entra. Nos exemplos a seguir, a variável $aadds. ResourceId é usado na etapa anterior.

   • Armazenamento do Azure - Substitua storageAccountId pelo nome da sua conta de armazenamento:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Hubs de eventos do Azure - Substitua eventHubName pelo nome do hub de eventos e eventHubRuleId pela ID da regra de autorização:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Espaços de trabalho do Azure Log Analytic - Substitua workspaceId pela ID do espaço de trabalho do Log Analytics:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Consultar e exibir eventos de auditoria de segurança e DNS usando o Azure Monitor

Os espaços de trabalho do Log Analytic permitem exibir e analisar os eventos de auditoria de segurança e DNS usando o Azure Monitor e a linguagem de consulta Kusto. Essa linguagem de consulta foi projetada para uso somente leitura que possui recursos analíticos de potência com uma sintaxe fácil de ler. Para obter mais informações sobre como começar a usar os idiomas de consulta do Kusto, consulte os seguintes artigos:

• Documentação do Azure Monitor
• Introdução ao Log Analytics no Azure Monitor
• Introdução às consultas de log no Azure Monitor
• Criar e compartilhar painéis de dados do Log Analytics

As consultas de exemplo a seguir podem ser usadas para começar a analisar eventos de auditoria dos Serviços de Domínio.

Exemplo de consulta 1

Veja todos os eventos de bloqueio de conta dos últimos sete dias:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Exemplo de consulta 2

Veja todos os eventos de bloqueio de conta (4740) entre 3 de junho de 2020 às 9h e meia-noite de 10 de junho de 2020, ordenados em ordem crescente pela data e hora:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Exemplo de consulta 3

Ver eventos de início de sessão na conta há sete dias (a partir de agora) para a conta denominada utilizador:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Exemplo de consulta 4

Veja os eventos de início de sessão da conta há sete dias para o utilizador nomeado da conta que tentou iniciar sessão utilizando uma palavra-passe incorreta (0xC0000006a):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exemplo de consulta 5

Veja os eventos de início de sessão da conta há sete dias para o utilizador nomeado da conta que tentou iniciar sessão enquanto a conta estava bloqueada (0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exemplo de consulta 6

Veja o número de eventos de início de sessão na conta há sete dias para todas as tentativas de início de sessão que ocorreram para todos os utilizadores bloqueados:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Segurança de auditoria e categorias de eventos DNS

A segurança dos Serviços de Domínio e as auditorias DNS alinham-se com a auditoria tradicional para controladores de domínio AD DS tradicionais. Em ambientes híbridos, você pode reutilizar padrões de auditoria existentes para que a mesma lógica possa ser usada ao analisar os eventos. Dependendo do cenário que você precisa solucionar problemas ou analisar, as diferentes categorias de eventos de auditoria precisam ser direcionadas.

Estão disponíveis as seguintes categorias de eventos de auditoria:

IDs de evento por categoria

A segurança dos Serviços de Domínio e as auditorias DNS registram as seguintes IDs de evento quando a ação específica dispara um evento auditável:

Próximos passos

Para obter informações específicas sobre Kusto, consulte os seguintes artigos:

• Visão geral da linguagem de consulta Kusto.
• Kusto tutorial para familiarizá-lo com noções básicas de consulta.
• Exemplos de consultas que o ajudam a aprender novas formas de ver os seus dados.
• Melhores práticas da Kusto para otimizar suas consultas para o sucesso.