Создание потоковой передачи данных аудита

Azure DevOps Services

Узнайте, как создать поток аудита, который отправляет данные в другие места для дальнейшей обработки. Отправьте данные аудита в другие средства управления инцидентами безопасности и событиями (SIEM) и откройте новые возможности, такие как возможность активировать оповещения для определенных событий, создавать представления об аудите данных и выполнять обнаружение аномалий. Настройка потока также позволяет хранить более чем 90-дневный объем данных аудита, что является максимальным объемом данных, которые Azure DevOps хранит для вашей организации.

Потоки аудита представляют конвейер, который передает события аудита из организации Azure DevOps в целевой объект потока. Новые события аудита упаковываются и передаются в целевые точки каждые полчаса или чаще. Для настройки доступны следующие целевые объекты потока.

• Splunk — Подключитесь к локальному или облачному Splunk.
• Azure Monitor Logs — отправьте журналы аудита в Azure Monitor Logs. Журналы, хранящиеся в журналах Azure Monitor, можно запрашивать и настраивать оповещения. Найдите таблицу с именем AzureDevOpsAuditing. Вы также можете подключить Microsoft Sentinel к рабочей области.
• Azure Event Grid — в сценариях, когда необходимо отправить журналы аудита в другое место, будь то внутри или вне Azure, можно настроить подключение с помощью Azure Event Grid.

Сегодня частные связанные рабочие области не поддерживаются.

Предварительные требования

Аудит отключен по умолчанию для всех организаций Azure DevOps Services. Убедитесь, что только авторизованный персонал имеет доступ к конфиденциальным сведениям аудита.

Создание потока

1. Войдите в свою организацию (https://dev.azure.com/{Your_Organization}).

2. Выберите Настройки организации.

   

3. Выберите "Аудит".

   

4. Перейдите на вкладку Streams и выберите "Создать поток".

   

5. Выберите целевой объект потока, который требуется настроить, и выберите из следующих инструкций, чтобы настроить тип целевого объекта потока.

   • Splunk
   • Сетка событий
   • Azure Monitor log

Настройка потока Splunk

Потоки отправляют данные в Splunk через конечную точку сборщика событий HTTP.

1. Включите эту функцию в Splunk. Дополнительные сведения см. в этой документации по Splunk.

   После включения у вас должен быть токен сборщика событий HTTP и URL-адрес экземпляра Splunk. Чтобы создать поток Splunk, вам нужен как токен, так и URL-адрес.

   Примечание.

   При создании нового токена сборщика событий в Splunk, не отмечайте "Включить подтверждение индексатора". Если установлен флажок, события не передаются в Splunk. Вы можете изменить маркер в Splunk, чтобы удалить этот параметр.

2. Введите URL-адрес Splunk, который является ссылкой на ваш экземпляр Splunk. Убедитесь, что в конце URL-адреса указан порт. По умолчанию используется 8088порт, поэтому URL-адрес будет похож на https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 или https://prd-p-2k3mp2xhznbs.splunkcloud.com.

3. Введите созданный вами маркер сборщика событий в поле ввода маркера. Маркер хранится безопасно в Azure DevOps и никогда не отображается в пользовательском интерфейсе. Мы рекомендуем регулярно обновлять токен, что можно сделать, получив новый токен из Splunk и редактируя поток.

   

4. Выберите Настроить.

Поток настраивается, и в течение получаса или даже раньше события начинают поступать в Splunk.

Настройка потока сетки событий

1. Создайте раздел сетки событий в Azure.

2. Запишите конечную точку раздела и один из двух ключей доступа. Используйте эти сведения для создания подключения сетки событий.

   

3. Введите конечную точку раздела и один из ключей доступа. Ключ доступа хранится безопасно в Azure DevOps и никогда не отображается снова в пользовательском интерфейсе. Регулярно поворачивайте ключ доступа, который можно сделать, получив новый ключ из Azure Event Grid и изменив поток.

   

После настройки потока сетки событий вы можете настроить подписки в сетке событий, чтобы отправлять данные практически в любом месте Azure.

Настройте поток журналов Azure Monitor

1. Создайте рабочую область Log Analytics.
2. Откройте рабочую область и выберите "Обзор".
3. Запишите идентификатор рабочей области, группу ресурсов и имя рабочей области.
4. Получите общий ключ с помощью одного из следующих методов:

• Использование PowerShell и модуля Az.OperationalInsights:

  Get-AzOperationalInsightsWorkspaceSharedKey -ResourceGroupName <Resource group> -Name <Workspace name>
  

• Использование Azure CLI:

  az monitor log-analytics workspace get-shared-keys --resource-group <Resource group> --workspace-name <Workspace name>
  

• Использование REST API: Вызов API получения общих ключей

5. Настройте поток журналов Azure Monitor, выполнив те же начальные шаги, чтобы создать поток.

6. Для целевых параметров выберите Azure Monitor Logs.

7. Введите идентификатор рабочей области и первичный ключ, а затем нажмите кнопку "Настройка". Первичный ключ хранится безопасно в Azure DevOps и никогда не отображается снова в пользовательском интерфейсе. Регулярно поворачивайте ключ, что можно сделать путем получения нового ключа из журнала Azure Monitor, а затем редактирования потока.

   

Поток включен, и новые события начинают поступать в течение получаса или раньше. Вы можете ссылаться на таблицу AzureDevOpsAuditing.

Редактировать поток

Сведения о целевом объекте потока могут меняться с течением времени. Чтобы отразить эти изменения в потоках, их можно изменить. Чтобы изменить поток, убедитесь, что у вас есть разрешение на "Управление потоками аудита".

1. Рядом с потоком, который требуется изменить, выберите вертикальные три точки в правом верхнем углу, а затем нажмите кнопку "Изменить поток".

   

2. Выберите Сохранить.

Параметры, доступные для редактирования, отличаются в зависимости от типа потока.

Отключение потока

1. Рядом с потоком, который требуется отключить, переместите переключатель "Включено" с "Вкл" на "Выкл".
   При возникновении сбоя потоки могут быть отключены. Вы можете получить сведения о сбое из состояния, отображаемого рядом с потоком, или выбрав "Изменить поток". Вы также можете отключить поток вручную, а затем повторно включить его позже.

   

2. Выберите Сохранить.

Вы можете повторно включить отключенный поток. Он восполняет все события аудита, которые были пропущены за предыдущие семь дней. Таким образом, вы не пропустите никакие события, произошедшие во время отключения потока.

Удалите поток

Чтобы удалить поток, убедитесь, что у вас есть разрешение на "Удаление потоков аудита".

1. Наведите указатель мыши на поток, который нужно удалить, и выберите вертикальные три точки в правом углу.

2. Выберите "Удалить поток".

   

3. Выберите Подтвердить.

Система удаляет поток данных. Любые неотправленные события перед удалением не отправляются.

Связанный контент

• Просмотр журнала аудита
• Экспорт событий аудита
• Просмотр списка событий аудита
• Читайте о главных потоке аудита Azure DevOps в блоге Azure DevOps