アクティビティ ログをイベント ハブにストリーミングする方法

この機能を使用するには、 Microsoft Cloud Services 用の Splunk アドオンが必要です。

Microsoft Entra ログを Splunk と統合する

1. Splunk インスタンスを開き、[ データの概要] を選択します。

   

2. [Sourcetypes] タブを選択し、mscs:azure:eventhub を選択します

   

body.records.category=AuditLogs を検索に追加します。 次の図のような Microsoft Entra アクティビティ ログが表示されます。

アドオンを Splunk インスタンスにインストールできない場合 (たとえば、プロキシを使用している場合、Splunk Cloud で実行している場合など)、Splunk HTTP Event Collector にこれらのイベントを転送できます。 これを行うには、イベント ハブ内の新しいメッセージによってトリガーされるこの Azure 関数を使用します。

この機能を使用するには、SumoLogic のシングル サインオンが有効なサブスクリプションが必要です。

Microsoft Entra ログを SumoLogic と統合する

1. Microsoft Entra ID のログを収集するように SumoLogic インスタンスを構成します。

2. 環境のリアルタイム分析を提供する構成済みのダッシュボードを使用するには、Microsoft Entra SumoLogic アプリをインストールします。

   

この機能を使用するには、ArcSight Syslog NG Daemon SmartConnector (SmartConnector) または ArcSight Load Balancer の構成済みインスタンスが必要です。 イベントが ArcSight Load Balancer に送信されると、その結果、Load Balancer によって SmartConnector に送信されます。

Azure Monitor Event Hubs 用 ArcSight SmartConnector の構成ガイドをダウンロードして開きます。 このガイドには、ArcSight SmartConnector for Azure Monitor のインストールと構成に必要な手順が記載されています。

Microsoft Entra ログを ArcSight と統合する

1. ArcSight 構成ガイドの 「前提条件」 セクションの手順を完了します。 このセクションには、次の手順が記載されています。

   • Azure でユーザーのアクセス許可を設定して、コネクタをデプロイして構成する 所有者 ロールを持つユーザーが存在することを確認します。
   • Syslog NG Daemon SmartConnector があるサーバーのポートを開き、Azure からアクセスできるようにします。
   • デプロイによって PowerShell スクリプトが実行されるため、コネクタをデプロイするマシン上で PowerShell がスクリプトを実行できるようにする必要があります。

2. ArcSight 構成ガイドの「 コネクタのデプロイ 」セクションの手順に従って、コネクタをデプロイします。 このセクションでは、コネクタのダウンロードと抽出、アプリケーションのプロパティの構成、および抽出されたフォルダーからのデプロイ スクリプトの実行方法について手順を追って説明されています。

3. Azure でのデプロイの確認に関するページの手順を使用して、コネクタが設定され、正しく機能することを確認します。 次の前提条件を確認します。

   • Azure サブスクリプションで必要な Azure 関数が作成されている。
   • Microsoft Entra ログが正しい送信先にストリーミングされています。
   • デプロイのアプリケーション設定が、Azure Function Apps の [アプリケーション設定] に保持されている。
   • ArcSight コネクタ用の Microsoft Entra アプリケーションと、CEF 形式のマップ ファイルを含むストレージ アカウントを使用して、ArcSight 用の新しいリソース グループが Azure 内に作成されます。

4. ArcSight 構成ガイドの デプロイ後の構成でデプロイ後 の手順を完了します。 このセクションには、タイムアウト期間後に関数アプリがアイドルにならないように App Service プランを使用している場合に追加の構成を実行する方法、イベント ハブのリソース ログのストリーミングを構成する方法、および新しく作成したストレージ アカウントと関連付けられるように SysLog NG Daemon SmartConnector キーストア証明書を更新する方法が説明されています。

5. この構成ガイドには、Azure 上でコネクタのプロパティをカスタマイズする方法、およびコネクタをアップグレードおよびアンインストールする方法についても説明されています。 また、 Azure 従量課金プラン へのアップグレードや、イベントの負荷が単一の Syslog NG デーモン SmartConnector で処理できる負荷よりも大きい場合の ArcSight Load Balancer の構成など、パフォーマンスの向上に関するセクションもあります。