Включение аудита безопасности и DNS для доменных служб Microsoft Entra

Безопасность доменных служб Microsoft Entra и аудиты DNS позволяют потоковой передаче событий Azure в целевые ресурсы. К этим ресурсам относятся служба хранилища Azure, рабочие области Azure Log Analytics или Концентратор событий Azure. После включения событий аудита безопасности доменные службы отправляют все проверенные события выбранной категории в целевой ресурс.

Вы можете архивировать события в хранилище Azure и передавать события в программное обеспечение безопасности и управления событиями (SIEM) с помощью Центры событий Azure или выполнять собственный анализ и использовать рабочие области Azure Log Analytics из Центра администрирования Microsoft Entra.

Назначения аудита безопасности

Вы можете использовать рабочие области служба хранилища Azure, Центры событий Azure или Azure Log Analytics в качестве целевого ресурса для аудита безопасности доменных служб. Эти назначения можно объединить. Например, можно использовать служба хранилища Azure для архивации событий аудита безопасности, но рабочую область Azure Log Analytics для анализа и отчета о информации в краткосрочной перспективе.

В следующей таблице описаны сценарии для каждого типа целевого ресурса.

Включение событий аудита безопасности с помощью Центра администрирования Microsoft Entra

Чтобы включить события аудита безопасности доменных служб с помощью Центра администрирования Microsoft Entra, выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra в качестве глобального администратора.

2. Найдите и выберите доменные службы Microsoft Entra. Выберите управляемый домен, например aaddscontoso.com.

3. В окне доменных служб выберите параметры диагностики слева.

4. По умолчанию диагностика не настроено. Чтобы приступить к работе, выберите " Добавить параметр диагностики".

   

5. Введите имя конфигурации диагностики, например аудит aadds.

   Установите флажок для назначения аудита безопасности или DNS. Вы можете выбрать рабочую область Log Analytics, учетную запись служба хранилища Azure, концентратор событий Azure или партнерское решение. Эти целевые ресурсы уже должны существовать в подписке Azure. Вы не можете создать целевые ресурсы в этом мастере.

   • Рабочие области Azure Log Analytic
     • Выберите "Отправить в Log Analytics", а затем выберите подписку и рабочую область Log Analytics, которую вы хотите использовать для хранения событий аудита.
   • Хранилище Azure
     • Выберите "Архив" в учетную запись хранения, а затем нажмите кнопку "Настроить".
     • Выберите подписку и учетную запись хранения, которую вы хотите использовать для архивации событий аудита.
     • Когда все готово, нажмите кнопку "ОК".
   • Центры событий Azure
     • Выберите Stream в концентратор событий, а затем нажмите кнопку "Настроить".
     • Выберите подписку и пространство имен концентратора событий. При необходимости также выберите имя концентратора событий и имя политики концентратора событий.
     • Когда все готово, нажмите кнопку "ОК".
   • Партнерское решение
     • Выберите "Отправить в партнерское решение", а затем выберите подписку и назначение , которые вы хотите использовать для хранения событий аудита.

6. Выберите категории журналов, которые необходимо включить для конкретного целевого ресурса. Если вы отправляете события аудита в учетную запись служба хранилища Azure, можно также настроить политику хранения, которая определяет количество дней для хранения данных. Параметр по умолчанию 0 сохраняет все данные и не поворачивает события через период времени.

   Вы можете выбрать разные категории журналов для каждого целевого ресурса в пределах одной конфигурации. Эта возможность позволяет выбрать категории журналов, которые вы хотите сохранить для Log Analytics и какие категории журналов необходимо архивировать, например.

7. По завершении нажмите кнопку "Сохранить ", чтобы зафиксировать изменения. Целевые ресурсы начинают получать события аудита доменных служб вскоре после сохранения конфигурации.

Включение событий аудита безопасности и DNS с помощью Azure PowerShell

Чтобы включить события безопасности доменных служб и аудита DNS с помощью Azure PowerShell, выполните следующие действия. При необходимости сначала установите модуль Azure PowerShell и подключитесь к подписке Azure.

1. Проверка подлинности в подписке Azure с помощью командлета Connect-AzAccount . При появлении запроса введите учетные данные учетной записи.

   Connect-AzAccount
   

2. Создайте целевой ресурс для событий аудита.

   • Рабочие области Azure Log Analytics - создают рабочую область Log Analytics с помощью Azure PowerShell.

   • Создание учетной записи хранения в службе хранилища - Azure с помощью Azure PowerShell

   • Центры - событий Azure создают концентратор событий с помощью Azure PowerShell. Также может потребоваться использовать командлет New-AzEventHubAuthorizationRule, чтобы создать правило авторизации, которое предоставляет доменным службам разрешения для пространства имен концентратора событий. Правило авторизации должно включать права управления, прослушивания и отправки .

     Важный

     Убедитесь, что правило авторизации задано в пространстве имен концентратора событий, а не самом концентраторе событий.

3. Получите идентификатор ресурса для управляемого домена доменных служб с помощью командлета Get-AzResource . Создайте переменную с именем $aadds. ResourceId для хранения значения:

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Настройте параметры диагностики Azure с помощью командлета Set-AzDiagnosticSetting , чтобы использовать целевой ресурс для событий аудита доменных служб Microsoft Entra. В следующих примерах переменная $aadds. ResourceId используется на предыдущем шаге.

   • Хранилище Azure. Замените storageAccountId именем учетной записи хранения:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Центры событий Azure. Замените eventHubName именем концентратора событий и eventHubRuleId идентификатором правила авторизации:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Рабочие области Azure Log Analytic. Замените workspaceId идентификатором рабочей области Log Analytics:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Запрос и просмотр событий безопасности и аудита DNS с помощью Azure Monitor

Рабочие области Log Analytic позволяют просматривать и анализировать события аудита безопасности и DNS с помощью Azure Monitor и языка запросов Kusto. Этот язык запросов предназначен для использования только для чтения, который может похвастаться возможностями power analytics с простым синтаксисом для чтения. Дополнительные сведения о начале работы с языками запросов Kusto см. в следующих статьях:

• Документация по Azure Monitor
• Начало работы с Log Analytics в Azure Monitor
• Начало работы с запросами журналов в Azure Monitor
• Создание и совместное использование панелей мониторинга данных Log Analytics

Следующие примеры запросов можно использовать для начала анализа событий аудита из доменных служб.

Пример запроса 1

Просмотрите все события блокировки учетной записи за последние семь дней:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Пример запроса 2

Просмотрите все события блокировки учетной записи (4740) между 3 июня 2020 г. в 9:00 и 10 июня 2020 г., отсортированные по дате и времени:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Пример запроса 3

Просмотрите события входа в учетную запись семь дней назад (начиная с этого момента) для учетной записи с именем пользователя:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Пример запроса 4

Просмотр событий входа в учетную запись семь дней назад для учетной записи с именем пользователя, пытающегося войти с использованием неправильного пароля (0xC0000006a):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Пример запроса 5

Просмотр событий входа в учетную запись семь дней назад для учетной записи с именем пользователя, пытающегося войти, пока учетная запись была заблокирована (0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Пример запроса 6

Просмотрите количество событий входа в учетную запись семь дней назад для всех попыток входа, которые произошли для всех заблокированных пользователей:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Аудит категорий событий безопасности и DNS

Безопасность доменных служб и аудит DNS соответствуют традиционному аудиту для традиционных контроллеров домена AD DS. В гибридных средах можно повторно использовать существующие шаблоны аудита, чтобы при анализе событий можно использовать ту же логику. В зависимости от сценария, необходимого для устранения неполадок или анализа, необходимо использовать различные категории событий аудита.

Доступны следующие категории событий аудита:

Идентификаторы событий для каждой категории

Безопасность доменных служб и аудит DNS записывают следующие идентификаторы событий, когда конкретное действие активирует событие аудита:

Дальнейшие действия

Дополнительные сведения о Kusto см. в следующих статьях:

• Обзор языка запросов Kusto.
• Руководство по Kusto для ознакомления с основами запросов.
• Примеры запросов , которые помогут вам узнать новые способы просмотра данных.
• Рекомендации Kusto по оптимизации запросов для успешного выполнения.