Analise os logs de atividade do Microsoft Entra com o Log Analytics
Depois de integrar os logs de atividade do Microsoft Entra com os logs do Azure Monitor, você pode usar o poder do Log Analytics e dos logs do Azure Monitor para obter informações sobre seu ambiente.
Compare seus logs de entrada do Microsoft Entra com os logs de segurança publicados pelo Microsoft Defender for Cloud.
Solucione problemas de gargalos de desempenho na página de entrada do seu aplicativo correlacionando dados de desempenho do aplicativo do Azure Application Insights.
Analise os logs de usuários arriscados e deteções de risco do Identity Protection para detetar ameaças em seu ambiente.
Este artigo descreve como analisar os logs de atividade do Microsoft Entra no espaço de trabalho do Log Analytics.
Pré-requisitos
Para analisar os registros de atividades com o Log Analytics, você precisa:
- Um locatário do Microsoft Entra em funcionamento com uma licença do Microsoft Entra ID P1 ou P2 associada a ele.
- Um espaço de trabalho do Log Analytics e acesso a esse espaço de trabalho
- As funções apropriadas para o Azure Monitor e o Microsoft Entra ID
Área de trabalho do Log Analytics
Você deve criar um espaço de trabalho do Log Analytics. Há vários fatores que determinam o acesso aos espaços de trabalho do Log Analytics. Você precisa das funções certas para o espaço de trabalho e os recursos que enviam os dados.
Para obter mais informações, consulte Gerenciar o acesso a espaços de trabalho do Log Analytics.
Funções do Azure Monitor
O Azure Monitor fornece duas funções internas para exibir dados de monitoramento e editar configurações de monitoramento. O RBAC (controle de acesso baseado em função) do Azure também fornece duas funções internas do Log Analytics que concedem acesso semelhante.
Visão:
- Leitor de Monitorização
- Leitor do Log Analytics
Visualize e modifique as configurações:
- Contribuidor de Monitorização
- Contribuidor do Log Analytics
Para obter mais informações sobre as funções internas do Azure Monitor, consulte Funções, permissões e segurança no Azure Monitor.
Para obter mais informações sobre as funções do Log Analytics, consulte Funções internas do Azure
Funções do Microsoft Entra
O acesso somente leitura permite visualizar dados de log do Microsoft Entra ID dentro de uma pasta de trabalho, consultar dados do Log Analytics ou ler logs no centro de administração do Microsoft Entra. O acesso à atualização adiciona a capacidade de criar e editar configurações de diagnóstico para enviar dados do Microsoft Entra para um espaço de trabalho do Log Analytics.
Read (Ler):
- Leitor de Relatórios
- Leitor de Segurança
- Leitor Global
Atualização:
- Administrador de Segurança
Para obter mais informações sobre as funções internas do Microsoft Entra, consulte Funções internas do Microsoft Entra.
Acessar o Log Analytics
Para exibir o Microsoft Entra ID Log Analytics, você já deve estar enviando seus logs de atividades do Microsoft Entra ID para um espaço de trabalho do Log Analytics. Esse processo é abordado no artigo Como integrar logs de atividade com o Azure Monitor .
Gorjeta
As etapas neste artigo podem variar ligeiramente com base no portal a partir do qual você começou.
Entre no centro de administração do Microsoft Entra como pelo menos um Leitor de Relatórios.
Navegue até Monitoramento de identidades>& análise de log de integridade.> Uma consulta de pesquisa padrão é executada.
Expanda a categoria LogManagement para exibir a lista de consultas relacionadas ao log.
Selecione ou passe o mouse sobre o nome de uma consulta para exibir uma descrição e outros detalhes úteis.
Expanda uma consulta da lista para exibir o esquema.
Consultar registos de atividades
Você pode executar consultas nos logs de atividades que estão sendo roteados para um espaço de trabalho do Log Analytics. Por exemplo, para obter uma lista de aplicativos com mais entradas da semana passada, digite a seguinte consulta e selecione o botão Executar .
SigninLogs
| where CreatedDateTime >= ago(7d)
| summarize signInCount = count() by AppDisplayName
| sort by signInCount desc
Para encontrar eventos de entrada arriscados, use a seguinte consulta:
SigninLogs
| where RiskState contains "atRisk"
Para obter os principais eventos de auditoria da última semana, use a seguinte consulta:
AuditLogs
| where TimeGenerated >= ago(7d)
| summarize auditCount = count() by OperationName
| sort by auditCount desc
Para resumir a contagem de eventos de provisionamento por dia, por ação:
AADProvisioningLogs
| where TimeGenerated > ago(7d)
| summarize count() by Action, bin(TimeGenerated, 1d)
Considere 100 eventos de provisionamento e projete as propriedades principais.
AADProvisioningLogs
| extend SourceIdentity = parse_json(SourceIdentity)
| extend TargetIdentity = parse_json(TargetIdentity)
| extend ServicePrincipal = parse_json(ServicePrincipal)
| where tostring(SourceIdentity.identityType) == "Group"
| project tostring(ServicePrincipal.Id), tostring(ServicePrincipal.Name), ModifiedProperties, JobId, Id, CycleId, ChangeId, Action, SourceIdentity.identityType, SourceIdentity.details, TargetIdentity.identityType, TargetIdentity.details, ProvisioningSteps
| take 100