Erstellen von Überwachungsstreaming

Azure DevOps Services

Erfahren Sie, wie Sie eine Prüfung Stream, der Daten an andere Stellen zur weiteren Verarbeitung sendet. Senden Sie Prüfen-Daten an andere Werkzeuge für das Sicherheit Incident und Event Management (SIEM) und eröffnen Sie sich damit neue Möglichkeiten, z. B. die Möglichkeit, Alarme für bestimmte Ereignisse auszulösen, visions auf Prüfen-Daten zu erstellen und Anomalie-Erkennung durchzuführen. Durch das Einrichten eines Datenstroms können Sie auch Auditing-Daten für über 90 Tage speichern, was die maximale Datenmenge ist, die Azure DevOps für Ihre Organisationen aufbewahrt.

Audit-Streams stellen eine Pipeline dar, durch die Audit-Ereignisse von Ihrer Azure DevOps-Organisation zu einem Streamziel geleitet werden. Alle halbe Stunde oder weniger werden neue Prüfungsereignisse gebündelt und an Ihre Ziele gestreamt. Die folgenden Stream-Ziele sind für die Konfiguration verfügbar.

• Splunk - Verbindung zu lokalem oder Cloud-basiertem Splunk.
• Azure Monitor Logs – Überwachungsprotokolle an Azure Monitor Logs senden. Protokolle, die in Azure Monitor gespeicherten Protokollen gespeichert sind, können abgefragt und Benachrichtigungen konfiguriert werden. Suchen Sie nach der Tabelle namens AzureDevOpsAuditing. Sie können auch Microsoft Sentinel mit Ihrem Arbeitsbereich verbinden.
• Azure Event Grid – Für Szenarien, in denen Ihre Überwachungsprotokolle an eine andere Stelle gesendet werden sollen, ob innerhalb oder außerhalb Azure, können Sie eine Azure Event Gridverbindung einrichten.

Private verknüpfte Workspaces werden derzeit nicht unterstützt.

Voraussetzungen

Die Überwachung ist für alle Azure DevOps Services-Organisationen standardmäßig deaktiviert. Stellen Sie sicher, dass nur autorisiertes Personal Zugang zu sensiblen Prüfungsinformationen hat.

Einen Stream erstellen

1. Melden Sie sich bei Ihrem organization (https://dev.azure.com/{Your_Organization}) an.

2. Wählen Sie Organisationseinstellungen aus.

   

3. Wählen Sie Überwachung aus.

   

4. Gehen Sie zum Streams und wählen Sie dann Neuer Strom.

   

5. Wählen Sie das Stream-Ziel aus, das Sie konfigurieren möchten, und wählen Sie dann aus den folgenden Anweisungen, um Ihren Stream-Ziel-Typ zu aktivieren.

   • Splunk
   • Ereignisraster
   • Azure Monitor Log

Aktivieren eines Splunk-Streams

Streams senden Daten an Splunk über den HTTP Event Collector Endpunkt.

1. Aktivieren Sie diese Funktion in Splunk. Weitere Informationen finden Sie hier Splunk-Dokumentation.

   Nach der Aktivierung sollten Sie ein HTTP Event Collector-Token und die URL zu Ihrer Splunk-Instanz haben. Sie benötigen sowohl das Token als auch die URL, um einen Splunk-Stream zu erstellen.

   Hinweis

   Wenn Sie ein neues Ereignissammlertoken in Splunk erstellen, setzen Sie kein Häkchen bei „Indizierer-Bestätigung aktivieren“. Wenn das Kontrollkästchen aktiviert ist, fließen keine Ereignisse in Splunk ein. Sie können das Token in Splunk bearbeiten, um diese Einstellung zu entfernen.

2. Geben Sie Ihre Splunk-URL ein, die den Zeiger auf Ihre Splunk-Instanz darstellt. Stellen Sie sicher, dass Sie einen Port am Ende der URL angeben. Der Standardanschluss ist 8088Ihre URL würde also ähnlich lauten https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 oder https://prd-p-2k3mp2xhznbs.splunkcloud.com.

3. Geben Sie den Ereignissammler-Token, den Sie erstellt haben, in das Token-Feld ein. Das Token wird sicher in Azure DevOps gespeichert und nie wieder auf der Benutzeroberfläche angezeigt. Wir empfehlen, das Token regelmäßig zu wechseln, was Sie tun können, indem Sie ein neues Token von Splunk erhalten und den Stream bearbeiten.

   

4. Klicken Sie auf Einrichten.

Ihr Stream wird konfiguriert und die ersten Ereignisse werden innerhalb einer halben Stunde oder weniger in Splunk angezeigt.

Aktivieren Sie einen Event Grid-Stream

1. Erstellen Sie ein Event Grid-Thema in Azure.

2. Notieren Sie sich den "Themenendpunkt" und einen der beiden "Zugriffstasten". Verwenden Sie diese Informationen, um die Ereignisrasterverbindung zu erstellen.

   

3. Geben Sie den Themenendpunkt und einen der Zugriffsschlüssel ein. Der Zugriffsschlüssel wird sicher in Azure DevOps gespeichert und nie wieder auf der Benutzeroberfläche angezeigt. Wechseln Sie den Zugriffsschlüssel regelmäßig, indem Sie einen neuen Schlüssel von Azure Event Grid abrufen und die Konfiguration des Datenstroms bearbeiten.

   

Nachdem Sie Ihren Event Grid-Stream konfiguriert haben, können Sie Abonnements im Ereignisraster einrichten, um die Daten fast überall in Azure zu senden.

Einrichten eines Azure Monitor Protokolldatenstroms

1. Erstellen Sie einen Log Analytics-Arbeitsbereich.
2. Öffnen Sie den Arbeitsbereich, und wählen Sie "Übersicht" aus.
3. Notieren Sie sich die Arbeitsbereichs-ID, die Ressourcengruppe und den Arbeitsbereichsnamen.
4. Rufen Sie den freigegebenen Schlüssel mit einer der folgenden Methoden ab:

• Verwenden von PowerShell und dem Az.OperationalInsights-Modul:

  Get-AzOperationalInsightsWorkspaceSharedKey -ResourceGroupName <Resource group> -Name <Workspace name>
  

• Using Azure CLI:

  az monitor log-analytics workspace get-shared-keys --resource-group <Resource group> --workspace-name <Workspace name>
  

• Verwenden der REST-API: Aufrufen der API zum Abrufen freigegebener Schlüssel

5. Richten Sie Ihren Azure Monitor Protokolldatenstrom ein, indem Sie die gleichen ersten Schritte zum Erstellen eines Datenstroms ausführen.

6. Wählen Sie für Zieloptionen Azure Monitor Protokolle aus.

7. Geben Sie die Arbeitsbereichs-ID und den Primärschlüssel ein, und wählen Sie dann Aktivieren Sie. Der Primärschlüssel wird sicher in Azure DevOps gespeichert und nie wieder auf der Benutzeroberfläche angezeigt. Drehen Sie den Schlüssel regelmäßig, indem Sie einen neuen Schlüssel aus Azure Monitor Log abrufen und den Stream bearbeiten.

   

Der Stream ist aktiviert und neue Ereignisse werden innerhalb einer halben Stunde oder weniger übertragen. Sie können auf die Tabelle AzureDevOpsAuditing verweisen.

Einen Stream bearbeiten

Einzelheiten zu Ihrem Stream-Ziel können sich im Laufe der Zeit ändern. Um diese Änderungen in Ihren Streams zu berücksichtigen, können Sie sie bearbeiten. Um einen Stream zu bearbeiten, stellen Sie sicher, dass Sie über die Verwalten von Prüfung-Streams Erlaubnis.

1. Wählen Sie neben dem Stream, den Sie bearbeiten möchten, die drei vertikalen Punkte ganz rechts aus und wählen Sie dann Stream bearbeiten.

   

2. Wählen Sie Speichern aus.

Die für die Bearbeitung verfügbaren Parameter unterscheiden sich je nach Stream-Typ.

Deaktivieren eines Streams

1. Bewegen Sie das Symbol neben dem Stream, den Sie deaktivieren möchten. Aktiviert umschalten von On auf Off.
   Wenn Streams einen Fehler aufweisen, werden sie möglicherweise deaktiviert. Sie können Einzelheiten über den Fehler aus dem neben dem Stream angezeigten Status ablesen oder durch Auswahl von Stream bearbeiten. Sie können einen Stream auch manuell deaktivieren und ihn später wieder aktivieren.

   

2. Wählen Sie Speichern aus.

Sie können einen deaktivierten Stream wieder aktivieren. Es holt alle Prüfungsereignisse nach, die in den letzten sieben Tagen verpasst wurden. Auf diese Weise verpassen Sie keine Ereignisse aus der Zeit, in der der Stream deaktiviert war.

Löschen Sie einen Stream

Um einen Stream zu löschen, stellen Sie sicher, dass Sie über die Prüfung-Streams löschen Erlaubnis.

1. Bewegen Sie den Mauszeiger über den Stream, den Sie löschen möchten, und wählen Sie die drei vertikalen Punkte ganz rechts.

2. Wählen Sie Stream löschen.

   

3. Klicken Sie auf Bestätigen.

Das System entfernt Ihren Stream. Alle nicht gesendeten Ereignisse vor der Löschung werden nicht gesendet.

Verwandte Inhalte

• Überprüfen Sie das Prüfung-Protokoll
• Exportieren von Überwachungsereignissen
• Anzeigen der Liste der Prüfung-Ereignisse
• Lesen Sie im Azure DevOps-Blog über den Azure DevOps Audit Stream