Logs d'activité de Microsoft Graphe

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l’accès, contactez votre équipe chargée de votre compte Databricks.

Présentation

Les Logs d’activité Microsoft Graphe enregistrent chaque requête HTTP effectuée vers Microsoft Graphe dans votre tenant, avec la méthode et l’URI de la requête, le statut de la réponse et l’application ou l’utilisateur appelant. Lakewatch ingère la catégorie de diagnostic MicrosoftGraphActivityLogs depuis le stockage cloud à l’aide d’Auto Loader et la schématise avec le parser intégré azure_graph_activity. Il s’agit d’une source de stockage cloud, pas d’un connecteur API.

Intégrer les Logs d'activité Microsoft Graphe

Pour ingérer des Logs d’activité Microsoft Graphe, créez une source de données de stockage cloud pour ceux-ci et attachez l’analyseur azure_graph_activity intégré afin que les événements soient écrits dans une table analysée schématisée. Pour les prérequis, l’accès au Unity Catalog et les étapes complètes de configuration de la source de données, voir Stockage cloud.

Le parser ne revendique que les événements dont le category est MicrosoftGraphActivityLogs. Si un emplacement de stockage mélange plusieurs catégories de logs Azure, attachez chaque parser Azure correspondant à la même source de données, avec le parser générique azure_monitor_activity en dernier. Voir Ingérer plusieurs catégories de logs Azure à partir d'un emplacement.

Schéma analysé et observables

Le parser azure_graph_activity intégré schématise les Logs d'activité Microsoft Graphe dans une table analysée. Chaque table analysée porte également les colonnes gérées par Lakewatch :

• lw_id: Une chaîne non nulle que Lakewatch utilise comme clé primaire, prenant en charge la déduplication dans les lectures incrémentielles.
• time: un timestamp d’événement non nul attribué par l’analyseur syntaxique.
• lw_meta: Métadonnées de traitement standard Lakewatch.
• lw_observables: valeurs extraites des champs marqués comme observables de sécurité dans le parseur.

La charge utile complète de l’événement est conservée dans la colonne properties en tant que VARIANT, de sorte que les champs que l’analyseur ne promeut pas vers leurs propres colonnes restent interrogeables. Pour plus d’informations, consultez la Référence de l’analyseur.

Schéma de table analysé

Le parseur azure_graph_activity écrit les colonnes suivantes (générées à partir de la définition du parseur) :

Colonne	Type de données
time	TIMESTAMP
resourceId	STRING
operationName	STRING
operationVersion	STRING
category	STRING
tenantId	STRING
resultSignature	STRING
durationMs	STRING
callerIpAddress	STRING
correlationId	STRING
level	STRING
location	STRING
requestMethod	STRING
requestUri	STRING
responseStatusCode	BIGINT
responseSizeBytes	BIGINT
apiVersion	STRING
roles	STRING
scopes	STRING
signInActivityId	STRING
requestId	STRING
appId	STRING
servicePrincipalId	STRING
userId	STRING
userPrincipalObjectId	STRING
identityProvider	STRING
ipAddress	STRING
userAgent	STRING
properties	VARIANT

Colonne	Type de données
time	TIMESTAMP
resourceId	STRING
operationName	STRING
operationVersion	STRING
category	STRING
tenantId	STRING
resultSignature	STRING
durationMs	STRING
callerIpAddress	STRING
correlationId	STRING
level	STRING
location	STRING
requestMethod	STRING
requestUri	STRING
responseStatusCode	BIGINT
responseSizeBytes	BIGINT
apiVersion	STRING
roles	STRING
scopes	STRING
signInActivityId	STRING
requestId	STRING
appId	STRING
servicePrincipalId	STRING
userId	STRING
userPrincipalObjectId	STRING
identityProvider	STRING
ipAddress	STRING
userAgent	STRING
properties	VARIANT

Observables de l’analyseur

L’analyseur extrait les champs suivants dans lw_observables (générés à partir de la définition de l’analyseur) :

Champ	Observable
callerIpAddress	ip
correlationId	trace_id
requestUri	url
signInActivityId	trace_id
requestId	trace_id
appId	actor_id
servicePrincipalId	actor_id
userId	actor_id
userPrincipalObjectId	actor_id
ipAddress	ip

Champ	Observable
callerIpAddress	ip
correlationId	trace_id
requestUri	url
signInActivityId	trace_id
requestId	trace_id
appId	actor_id
servicePrincipalId	actor_id
userId	actor_id
userPrincipalObjectId	actor_id
ipAddress	ip

Les VARIANT champs suivants sont analysés à la recherche d’observables par correspondance avec les noms de clés imbriquées ; les types d’observables extraits de chacun :

Champ	Types observables scannés
properties	trace_id

Champ	Types observables scannés
properties	trace_id