Aktivera säkerhets- och DNS-granskningar för Microsoft Entra Domain Services

Med Microsoft Entra Domain Services-säkerhets- och DNS-granskningar kan Azure stream-händelser till målresurser. Dessa resurser omfattar Azure Storage, Azure Log Analytics-arbetsytor eller Azure Event Hub. När du har aktiverat säkerhetsgranskningshändelser skickar Domain Services alla granskade händelser för den valda kategorin till målresursen.

Du kan arkivera händelser i Azure Storage och strömma händelser till programvara för säkerhetsinformation och händelsehantering (SIEM) (eller motsvarande) med Hjälp av Azure Event Hubs, eller göra din egen analys och använda Azure Log Analytics-arbetsytor från administrationscentret för Microsoft Entra.

Mål för säkerhetsgranskning

Du kan använda Azure Storage, Azure Event Hubs eller Azure Log Analytics-arbetsytor som målresurs för Domäntjänsters säkerhetsgranskningar. Dessa mål kan kombineras. Du kan till exempel använda Azure Storage för att arkivera säkerhetsgranskningshändelser, men en Azure Log Analytics-arbetsyta för att analysera och rapportera informationen på kort sikt.

I följande tabell beskrivs scenarier för varje målresurstyp.

Aktivera säkerhetsgranskningshändelser med hjälp av administrationscentret för Microsoft Entra

Utför följande steg för att aktivera domäntjänsters säkerhetsgranskningshändelser med hjälp av administrationscentret för Microsoft Entra.

1. Logga in på administrationscentret för Microsoft Entra som global administratör.

2. Sök efter och välj Microsoft Entra Domain Services. Välj din hanterade domän, till exempel aaddscontoso.com.

3. I fönstret Domain Services väljer du Diagnostikinställningar till vänster.

4. Ingen diagnostik konfigureras som standard. Kom igång genom att välja Lägg till diagnostikinställning.

   

5. Ange ett namn för diagnostikkonfigurationen, till exempel aadds-auditing.

   Markera kryssrutan för det säkerhets- eller DNS-granskningsmål som du vill ha. Du kan välja från en Log Analytics-arbetsyta, ett Azure Storage-konto, en Azure-händelsehubb eller en partnerlösning. Dessa målresurser måste redan finnas i din Azure-prenumeration. Du kan inte skapa målresurserna i den här guiden.

   • Azure Log Analytic-arbetsytor
     • Välj Skicka till Log Analytics och välj sedan den prenumeration och Log Analytics-arbetsyta som du vill använda för att lagra granskningshändelser.
   • Azure Storage
     • Välj Arkivera till ett lagringskonto och välj sedan Konfigurera.
     • Välj prenumerationen och lagringskontot som du vill använda för att arkivera granskningshändelser.
     • När du är klar väljer du OK.
   • Azure-händelsehubbar
     • Välj Strömma till en händelsehubb och välj sedan Konfigurera.
     • Välj namnområdet Prenumeration och Händelsehubb. Om det behövs väljer du även ett namn på händelsehubben och sedan namn på händelsehubbens princip.
     • När du är klar väljer du OK.
   • Partnerlösning
     • Välj Skicka till partnerlösning och välj sedan den prenumeration och det mål som du vill använda för att lagra granskningshändelser.

6. Välj de loggkategorier som du vill inkludera för den specifika målresursen. Om du skickar granskningshändelserna till ett Azure Storage-konto kan du även konfigurera en kvarhållningsprincip som definierar hur många dagar data ska behållas. En standardinställning på 0 behåller alla data och roterar inte händelser efter en viss tidsperiod.

   Du kan välja olika loggkategorier för varje målresurs i en enda konfiguration. Med den här möjligheten kan du välja vilka loggkategorier du vill behålla för Log Analytics och vilka loggkategorier som du till exempel vill arkivera.

7. När du är klar väljer du Spara för att checka in ändringarna. Målresurserna börjar ta emot Domain Services-granskningshändelser strax efter att konfigurationen har sparats.

Aktivera säkerhets- och DNS-granskningshändelser med Azure PowerShell

Utför följande steg för att aktivera Säkerhets- och DNS-granskningshändelser för Domain Services med Hjälp av Azure PowerShell. Om det behövs installerar du först Azure PowerShell-modulen och ansluter till din Azure-prenumeration.

1. Autentisera till din Azure-prenumeration med hjälp av cmdleten Connect-AzAccount . När du uppmanas till det anger du dina autentiseringsuppgifter för kontot.

   Connect-AzAccount
   

2. Skapa målresursen för granskningshändelserna.

   • Azure Log Analytic-arbetsytor - Skapa en Log Analytics-arbetsyta med Azure PowerShell.

   • Azure Storage - Skapa ett lagringskonto med Azure PowerShell

   • Azure Event Hubs - Skapa en händelsehubb med Azure PowerShell. Du kan också behöva använda cmdleten New-AzEventHubAuthorizationRule för att skapa en auktoriseringsregel som beviljar Domain Services-behörigheter till händelsehubbens namnområde. Auktoriseringsregeln måste innehålla behörigheterna Hantera, Lyssna och Skicka .

     Viktig

     Se till att du anger auktoriseringsregeln för händelsehubbens namnområde och inte själva händelsehubben.

3. Hämta resurs-ID:t för din domän som hanteras av Domain Services med hjälp av cmdleten Get-AzResource . Skapa en variabel med namnet $aadds. ResourceId för att lagra värdet:

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Konfigurera Azure Diagnostic-inställningarna med hjälp av cmdleten Set-AzDiagnosticSetting för att använda målresursen för Microsoft Entra Domain Services-granskningshändelser. I följande exempel $aadds variabeln . ResourceId används från föregående steg.

   • Azure Storage – Ersätt storageAccountId med namnet på ditt lagringskonto:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Azure-händelsehubbar – Ersätt eventHubName med namnet på din händelsehubb och eventHubRuleId med ditt auktoriseringsregel-ID:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Azure Log Analytic-arbetsytor – Ersätt workspaceId med ID:t för Log Analytics-arbetsytan:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Fråga och visa säkerhets- och DNS-granskningshändelser med Azure Monitor

Med Log Analytic-arbetsytor kan du visa och analysera säkerhets- och DNS-granskningshändelser med hjälp av Azure Monitor och Kusto-frågespråket. Det här frågespråket är utformat för skrivskyddad användning som har analysfunktioner med en lättläst syntax. Mer information om hur du kommer igång med Kusto-frågespråk finns i följande artiklar:

• Dokumentation om Azure Monitor
• Kom igång med Log Analytics i Azure Monitor
• Kom igång med loggfrågor i Azure Monitor
• Skapa och dela instrumentpaneler med Log Analytics-data

Följande exempelfrågor kan användas för att börja analysera granskningshändelser från Domain Services.

Exempelfråga 1

Visa alla kontoutelåsningshändelser för de senaste sju dagarna:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Exempelfråga 2

Visa alla kontoutelåsningshändelser (4740) mellan den 3 juni 2020 kl. 09.00 och 10 juni 2020, sorterat stigande efter datum och tid:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Exempelfråga 3

Visa kontoinloggningshändelser för sju dagar sedan (från och med nu) för kontot med namnet användare:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Exempelfråga 4

Visa kontoinloggningshändelser för sju dagar sedan för kontot med namnet användare som försökte logga in med ett felaktigt lösenord (0xC0000006a):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exempelfråga 5

Visa kontoinloggningshändelser för sju dagar sedan för kontot med namnet användare som försökte logga in medan kontot var utelåst (0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Exempelfråga 6

Visa antalet kontoinloggningshändelser för sju dagar sedan för alla inloggningsförsök som har inträffat för alla utestängda användare:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Granska säkerhets- och DNS-händelsekategorier

Domäntjänsters säkerhet och DNS-granskningar överensstämmer med traditionell granskning för traditionella AD DS-domänkontrollanter. I hybridmiljöer kan du återanvända befintliga granskningsmönster så att samma logik kan användas när du analyserar händelserna. Beroende på vilket scenario du behöver felsöka eller analysera måste de olika granskningshändelsekategorierna vara riktade.

Följande granskningshändelsekategorier är tillgängliga:

Händelse-ID:t per kategori

Domain Services-säkerhet och DNS-granskningar registrerar följande händelse-ID när den specifika åtgärden utlöser en granskningsbar händelse:

Nästa steg

Specifik information om Kusto finns i följande artiklar:

• Översikt över Kusto-frågespråket.
• Kusto-självstudie för att bekanta dig med grunderna i frågor.
• Exempelfrågor som hjälper dig att lära dig nya sätt att se dina data.
• Kusto metodtips för att optimera dina frågor för att lyckas.