Logs do Microsoft Entra ID Protection
Visualização
O Lakewatch está em Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.
Visão geral
Os logs do Microsoft Entra ID Protection registram o risco do usuário. O Lakewatch ingere duas categorias de diagnóstico do cloud storage usando o Auto Loader e as esquematiza com o parser azure_identity_protection integrado:
RiskyUsers: O estado de risco atual de cada usuário sinalizado como de risco.UserRiskEvents: Detecções de risco individuais, com o endereço IP de origem, local e técnica MITRE ATT&CK.
Os eventos de risco do usuário armazenam contexto extra, como os motivos do risco e o agente do usuário, como strings codificadas em JSON na coluna additionalInfo. Analise-o com from_json para query valores individuais. Esta é uma fonte de armazenamento em cloud, não um conector de API.
Integrar logs do Microsoft Entra ID Protection
Para ingerir logs de proteção de ID do Microsoft Entra, crie uma fonte de dados de armazenamento em cloud para eles e anexe o parser azure_identity_protection integrado para que os eventos sejam gravados em uma tabela analisada esquematizada. Para pré-requisitos, acesso ao Unity Catalog e os passos completos de configuração da fonte de dados, consulte Armazenamento em cloud.
O analisador reivindica apenas eventos cujo category é RiskyUsers ou UserRiskEvents. Se um local de armazenamento mistura várias categorias de log do Azure, anexe todos os analisadores do Azure correspondentes à mesma fonte de dados, com o analisador genérico azure_monitor_activity por último. Veja Ingerir várias categorias de log do Azure de um local.
Esquema analisado e observáveis
O parser azure_identity_protection integrado esquematiza os logs do Microsoft Entra ID Protection em uma tabela analisada. Cada tabela analisada também carrega as colunas gerenciadas pelo Lakewatch:
lw_id: Uma strings não nula que o Lakewatch usa como key primária, suportando a desduplicação em leituras incrementais.time: Um timestamp de evento não nulo atribuído pelo parser.lw_meta: Metadados de processamento padrão do Lakewatch.lw_observables: valores extraídos de campos marcados como observáveis de segurança no parser.
O payload do evento completo é mantido na coluna properties como um VARIANT, portanto, os campos que o parser não promove para suas próprias colunas permanecem consultáveis. Para obter mais informações, consulte a Referência do parser.
Esquema da tabela analisada
O parser azure_identity_protection grava as seguintes colunas (geradas a partir da definição do parser):
Coluna | Tipo de dados |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observáveis do parser
O parser extrai os seguintes campos para lw_observables (gerados a partir da definição do parser):
campo | Observável |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Os seguintes VARIANT campos são verificados em busca de observáveis por meio da correspondência de nomes de key aninhados; os tipos de observáveis extraídos de cada um:
campo | Tipos observáveis verificados |
|---|---|
|
|