Microsoft Entra ID Protection Logs

備考

プレビュー

Lakewatchはプライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

概要

Microsoft Entra ID Protection logsはユーザーのリスクを記録します。Lakewatchは、Auto Loaderを使用してクラウドストレージから2つの診断カテゴリを取り込み、組み込みの azure_identity_protection パーサーでスキーマ化します。

RiskyUsers：リスクありとフラグが立てられた各ユーザーの現在のリスク状態。
UserRiskEvents：ソースIPアドレス、場所、およびMITRE ATT&CKテクニックを含む、個別のリスク検出。

ユーザーリスクイベントは、リスクの理由やユーザーエージェントなどの追加のコンテキストを、 additionalInfo カラムに JSON エンコードされた文字列として格納します。個々の値をクエリーするには、 from_json でパースします。これはクラウドストレージソースであり、 API コネクタではありません。

Microsoft Entra ID Protection logs のオンボード

Microsoft Entra ID Protection logs を取り込むには、そのクラウドストレージのデータソースを作成し、組み込みの azure_identity_protection パーサーをアタッチして、イベントがスキーマ化されたパース済みテーブルに書き込まれるようにします。前提条件、 Unity Catalog アクセス、および完全なデータソース設定ステップについては、クラウドストレージを参照してください。

パーサーは、 category が RiskyUsers または UserRiskEvents のイベントのみを要求します。1 つのクラウドストレージの場所に複数の Azure log カテゴリが混在している場合は、すべての対応する Azure パーサーを同じデータソースにアタッチし、汎用の azure_monitor_activity パーサーを最後にアタッチします。1 つの場所から複数の Azure log カテゴリを取り込むを参照してください。

パースされたスキーマと観測可能量

組み込みの azure_identity_protection パーサーは、Microsoft Entra ID Protection Logs をスキーマ化してパース済みテーブルに変換します。すべてのパース済みテーブルには、Lakewatch管理列も含まれています。

lw_id: Lakewatch が主キーとして使用する NULL でない文字列。増分読み取り全体で重複除外をサポートします。
time: パーサーによって割り当てられた null 以外のイベントTimestamp。
lw_meta：標準のLakewatch処理メタデータ。
lw_observables: パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。

完全なイベントペイロードは VARIANT として properties 列に保持されるため、パーサーが独自の列に昇格させないフィールドもクエリ可能です。情報については、パーサーリファレンスを参照してください。

解析済みテーブルスキーマ

azure_identity_protection パーサーは、次の列を書き込みます（パーサー定義から生成されます）。

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultSignature`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`userId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`riskType`	`STRING`
`riskEventType`	`STRING`
`riskLevel`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`detectionSource`	`STRING`
`detectionTimingType`	`STRING`
`activity`	`STRING`
`mitreTechniqueId`	`STRING`
`additionalInfo`	`STRING`
`ipAddress`	`STRING`
`locationCity`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`properties`	`VARIANT`

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultSignature`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`userId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`riskType`	`STRING`
`riskEventType`	`STRING`
`riskLevel`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`detectionSource`	`STRING`
`detectionTimingType`	`STRING`
`activity`	`STRING`
`mitreTechniqueId`	`STRING`
`additionalInfo`	`STRING`
`ipAddress`	`STRING`
`locationCity`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`properties`	`VARIANT`

パーサーの監視対象

パーサーは、以下のフィールドをlw_observablesに抽出します(パーサー定義から生成)。

フィールド	可観測項目
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userId`	`actor_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`mitreTechniqueId`	`mitre_attack_technique`
`additionalInfo`	`mitre_attack_technique`
`ipAddress`	`ip`

フィールド	可観測項目
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userId`	`actor_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`mitreTechniqueId`	`mitre_attack_technique`
`additionalInfo`	`mitre_attack_technique`
`ipAddress`	`ip`

以下の VARIANT フィールドは、ネストされたキー名を照合することで観測可能なものとしてスキャンされます。それぞれのフィールドから抽出された観測可能なタイプは次のとおりです。

フィールド	スキャンされた観測可能なタイプ
`properties`	`trace_id`

概要​

Microsoft Entra ID Protection logs のオンボード​

パースされたスキーマと観測可能量​

概要

Microsoft Entra ID Protection logs のオンボード

パースされたスキーマと観測可能量