Logs de protection Microsoft Entra ID
Aperçu
Lakewatch est en version d’aperçu privé. Pour demander l'accès, contactez votre équipe de compte Databricks.
Présentation
Les logs de protection Microsoft Entra ID enregistrent le risque utilisateur. Lakewatch ingère deux catégories de diagnostic à partir du stockage cloud à l’aide d’Auto Loader et les schématise avec l’analyseur azure_identity_protection intégré :
RiskyUsers: État de risque actuel de chaque utilisateur signalé comme risqué.UserRiskEvents: Détections de risques individuelles, avec l’adresse IP source, l’emplacement et la technique MITRE ATT&CK.
Les événements de risque utilisateur stockent un contexte supplémentaire, comme les raisons du risque et l’agent utilisateur, sous forme de chaîne encodée JSON dans la colonne additionalInfo. Analysez-le avec from_json pour query des valeurs individuelles. Il s’agit d’une source de stockage cloud, pas d’un connecteur API.
Intégrer les logs de Protection Microsoft Entra ID
Pour ingérer des logs de protection Microsoft Entra ID, créez une source de données de stockage cloud pour ceux-ci et attachez l'analyseur azure_identity_protection intégré afin que les événements soient écrits dans une table schématisée analysée. Pour les prérequis, l'accès au Unity Catalog et les étapes complètes de configuration de la source de données, voir Stockage cloud.
L’analyseur ne revendique que les événements dont category est RiskyUsers ou UserRiskEvents. Si un emplacement de stockage regroupe plusieurs catégories de logs Azure, associez chaque analyseur Azure correspondant à la même source de données, en plaçant l’analyseur générique azure_monitor_activity en dernier. Consultez Ingérer plusieurs catégories de logs Azure depuis un seul emplacement.
Schéma analysé et observables
L’analyseur azure_identity_protection intégré schématise les logs de protection Microsoft Entra ID dans une table analysée. Chaque table analysée comporte également les colonnes gérées par Lakewatch :
lw_id: Chaîne non nulle que Lakewatch utilise comme clé primaire, prenant en charge la déduplication lors des lectures incrémentielles.time: un timestamp d’événement non nul attribué par l’analyseur.lw_meta: métadonnées de traitement Lakewatch standard.lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.
La charge utile complète de l’événement est conservée dans la colonne properties sous forme de VARIANT, de sorte que les champs que l’analyseur ne promeut pas dans des colonnes qui leur sont propres restent interrogeables. Pour plus d’information, consultez la référence de l’analyseur.
Schéma de table analysée
Le parser azure_identity_protection écrit les colonnes suivantes (générées à partir de la définition du parser) :
Colonne | Type de données |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observables de l’analyseur
L’analyseur extrait les champs suivants dans lw_observables (générés à partir de la définition de l’analyseur) :
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Les VARIANT champs suivants sont analysés pour rechercher des observables en faisant correspondre les noms de clés imbriquées ; les types d’observables extraits de chacun :
Champ | Types observables analysés |
|---|---|
|
|