Microsoft Entra Domain Services için güvenlik ve DNS denetimlerini etkinleştirme

Microsoft Entra Domain Services güvenlik ve DNS denetimleri, Azure'ın olayları hedeflenen kaynaklara aktarmasına olanak tanır. Bu kaynaklar Azure Depolama, Azure Log Analytics çalışma alanları veya Azure Olay Hub'ıdır. Güvenlik denetimi olaylarını etkinleştirdikten sonra, Etki Alanı Hizmetleri seçilen kategori için tüm denetlenen olayları hedeflenen kaynağa gönderir.

Azure Event Hubs'ı kullanarak olayları Azure depolamaya arşivleyebilir ve olayları güvenlik bilgilerine ve olay yönetimi (SIEM) yazılımına (veya eşdeğerine) aktarabilir veya Kendi çözümlemenizi yapabilir ve Microsoft Entra yönetim merkezinden Azure Log Analytics çalışma alanlarını kullanabilirsiniz.

Güvenlik denetimi hedefleri

Domain Services güvenlik denetimleri için hedef kaynak olarak Azure Depolama, Azure Event Hubs veya Azure Log Analytics çalışma alanlarını kullanabilirsiniz. Bu hedefler birleştirilebilir. Örneğin, güvenlik denetimi olaylarını arşivleme amacıyla Azure Depolama'yı kullanabilirsiniz, ancak kısa vadede bilgileri analiz etmek ve raporlamak için bir Azure Log Analytics çalışma alanı kullanabilirsiniz.

Aşağıdaki tabloda her hedef kaynak türü için senaryolar özetlenmiştir.

Microsoft Entra yönetim merkezini kullanarak güvenlik denetimi olaylarını etkinleştirme

Microsoft Entra yönetim merkezini kullanarak Domain Services güvenlik denetimi olaylarını etkinleştirmek için aşağıdaki adımları tamamlayın.

1. Microsoft Entra yönetim merkezinde Genel Yönetici olarak oturum açın.

2. Microsoft Entra Domain Services'ı arayın ve seçin. aaddscontoso.com gibi yönetilen etki alanınızı seçin.

3. Etki Alanı Hizmetleri penceresinde sol taraftaki Tanılama ayarları'nı seçin.

4. Varsayılan olarak hiçbir tanılama yapılandırılmaz. Başlamak için Tanılama ayarı ekle'yi seçin.

   

5. Tanılama yapılandırması için aadds-auditing gibi bir ad girin.

   İstediğiniz güvenlik veya DNS denetim hedefi kutusunu işaretleyin. Log Analytics çalışma alanı, Azure Depolama hesabı, Azure olay hub'ı veya iş ortağı çözümü arasından seçim yapabilirsiniz. Bu hedef kaynaklar Azure aboneliğinizde zaten mevcut olmalıdır. Bu sihirbazda hedef kaynakları oluşturamazsınız.

   • Azure Log Analytic çalışma alanları
     • Log Analytics'e Gönder'i ve ardından denetim olaylarını depolamak için kullanmak istediğiniz Aboneliği ve Log Analytics Çalışma Alanını seçin.
   • Azure depolama
     • Depolama hesabında arşivle'yi ve ardından Yapılandır'ı seçin.
     • Denetim olaylarını arşivlerken kullanmak istediğiniz Aboneliği ve Depolama hesabını seçin.
     • Hazır olduğunuzda Tamam'ı seçin.
   • Azure olay hub'ları
     • Bir olay hub'ına akışla aktar'ı ve ardından Yapılandır'ı seçin.
     • Abonelik ve Olay hub'ı ad alanını seçin. Gerekirse bir Olay hub'ı adı ve ardından Olay hub'ı ilke adı da seçin.
     • Hazır olduğunuzda Tamam'ı seçin.
   • İş ortağı çözümü
     • İş ortağı çözümüne gönder'i ve ardından denetim olaylarını depolamak için kullanmak istediğiniz Abonelik ve Hedef'i seçin.

6. Belirli bir hedef kaynak için eklenmesini istediğiniz günlük kategorilerini seçin. Denetim olaylarını bir Azure Depolama hesabına gönderirseniz, verilerin tutulacak gün sayısını tanımlayan bir bekletme ilkesi de yapılandırabilirsiniz. Varsayılan 0 ayarı tüm verileri korur ve belirli bir süre sonra olayları döndürmez.

   Tek bir yapılandırmada hedeflenen her kaynak için farklı günlük kategorileri seçebilirsiniz. Bu özellik, Log Analytics için saklamak istediğiniz günlük kategorilerini ve örneğin arşivlediğiniz günlük kategorilerini seçmenize olanak tanır.

7. İşiniz bittiğinde, değişikliklerinizi kaydetmek için Kaydet'i seçin. Hedef kaynaklar, yapılandırma kaydedildikten kısa süre sonra Domain Services denetim olaylarını almaya başlar.

Azure PowerShell kullanarak güvenlik ve DNS denetim olaylarını etkinleştirme

Azure PowerShell kullanarak Domain Services güvenlik ve DNS denetim olaylarını etkinleştirmek için aşağıdaki adımları tamamlayın. Gerekirse, önce Azure PowerShell modülünü yükleyin ve Azure aboneliğinize bağlanın.

1. Connect-AzAccount cmdlet'ini kullanarak Azure aboneliğinizde kimlik doğrulamasından geçin. İstendiğinde hesap kimlik bilgilerinizi girin.

   Connect-AzAccount
   

2. Denetim olayları için hedef kaynağı oluşturun.

   • Azure Log Analytic çalışma alanları - Azure PowerShell ile Log Analytics çalışma alanı oluşturun.

   • Azure depolama - Azure PowerShell kullanarak depolama hesabı oluşturma

   • Azure olay hub'ları - Azure PowerShell kullanarak bir olay hub'ı oluşturun. Olay hub'ı ad alanına Etki Alanı Hizmetleri izinleri veren bir yetkilendirme kuralı oluşturmak için New-AzEventHubAuthorizationRule cmdlet'ini de kullanmanız gerekebilir. Yetkilendirme kuralı Yönet, Dinle ve Gönder haklarını içermelidir.

     Önemli

     Yetkilendirme kuralını olay hub'ını değil olay hub'ı ad alanında ayarladığınızdan emin olun.

3. Get-AzResource cmdlet'ini kullanarak Etki Alanı Hizmetleri tarafından yönetilen etki alanınızın kaynak kimliğini alın. $aadds adlı bir değişken oluşturun. Değeri tutmak için ResourceId :

   $aadds = Get-AzResource -name aaddsDomainName
   

4. Microsoft Entra Domain Services denetim olayları için hedef kaynağı kullanmak üzere Set-AzDiagnosticSetting cmdlet'ini kullanarak Azure Tanılama ayarlarını yapılandırın. Aşağıdaki örneklerde değişkeni $aadds. ResourceId önceki adımda kullanılmıştır.

   • Azure depolama - storageAccountId değerini depolama hesabınızın adıyla değiştirin:

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Azure event hubs - eventHubName değerini olay hub'ınızın adıyla ve eventHubRuleId değerini yetkilendirme kuralı kimliğiniz ile değiştirin:

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Azure Log Analytic çalışma alanları - workspaceId değerini Log Analytics çalışma alanının kimliğiyle değiştirin:

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

Azure İzleyici'yi kullanarak güvenlik ve DNS denetim olaylarını sorgulama ve görüntüleme

Log Analytic çalışma alanları, Azure İzleyici ve Kusto sorgu dilini kullanarak güvenlik ve DNS denetim olaylarını görüntülemenize ve çözümlemenize olanak sağlar. Bu sorgu dili, okuması kolay söz dizimi ile power analytic özelliklerine sahip salt okunur kullanım için tasarlanmıştır. Kusto sorgu dillerini kullanmaya başlamak için aşağıdaki makalelere bakın:

• Azure İzleyici belgeleri
• Azure İzleyici'de Log Analytics'i kullanmaya başlama
• Azure İzleyici'de günlük sorgularını kullanmaya başlama
• Log Analytics verilerinin panolarını oluşturma ve paylaşma

Aşağıdaki örnek sorgular, Etki Alanı Hizmetleri'nden denetim olaylarını analiz etmeye başlamak için kullanılabilir.

Örnek sorgu 1

Son yedi güne ilişkin tüm hesap kilitleme olaylarını görüntüleyin:

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

Örnek sorgu 2

3 Haziran 2020 saat 09:00 ile 10 Haziran 2020 gece yarısı arasındaki tüm hesap kilitleme olaylarını (4740) tarih ve saate göre artan düzende görüntüleyin:

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

Örnek sorgu 3

Kullanıcı adlı hesap için yedi gün önce (bundan sonra) hesap oturum açma olaylarını görüntüleyin:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

Örnek sorgu 4

Kötü bir parola (0xC0000006a) kullanarak oturum açmaya kalkışan kullanıcı adlı hesap için yedi gün önce hesap oturum açma olaylarını görüntüleyin:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Örnek sorgu 5

Hesap kilitliyken oturum açmaya çalışılan kullanıcı adlı hesap için yedi gün önce hesap oturum açma olaylarını görüntüleyin (0xC0000234):

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

Örnek sorgu 6

Kilitlenen tüm kullanıcılar için gerçekleştirilen tüm oturum açma girişimleri için yedi gün önce gerçekleşen hesap oturum açma olaylarının sayısını görüntüleyin:

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

Güvenlik ve DNS olay kategorilerini denetleme

Etki Alanı Hizmetleri güvenlik ve DNS denetimleri, geleneksel AD DS etki alanı denetleyicileri için geleneksel denetimle uyumlu hale getirir. Karma ortamlarda, olayları analiz ederken aynı mantığın kullanılabilmesi için mevcut denetim desenlerini yeniden kullanabilirsiniz. Sorun gidermeniz veya analiz etmeniz gereken senaryoya bağlı olarak, farklı denetim olayı kategorilerinin hedeflenmiş olması gerekir.

Aşağıdaki denetim olayı kategorileri kullanılabilir:

Kategori başına olay kimlikleri

Etki Alanı Hizmetleri güvenlik ve DNS denetimleri, belirli bir eylem denetlenebilir bir olayı tetiklediğinde aşağıdaki olay kimliklerini kaydeder:

Sonraki adımlar

Kusto hakkında belirli bilgiler için aşağıdaki makalelere bakın:

• Kusto sorgu diline genel bakış .
• Sorgu temelleri hakkında bilgi edinmek için Kusto öğreticisi .
• Verilerinizi görmenin yeni yollarını öğrenmenize yardımcı olan örnek sorgular .
• Sorgularınızı başarı için iyileştirmeye yönelik en iyi Kusto yöntemleri .