Was sind Remotenetzwerk-Integritätsprotokolle?

Remote-Netzwerke wie z. B. eine Filiale, verlassen sich auf lokale Kundengeräte (Customer Premises Equipment, CPE), um Benutzer an diesen Standorten mit den benötigten Onlineressourcen und -diensten zu verbinden. Benutzer erwarten, dass CPE funktioniert, damit sie ihre Arbeit erledigen können. Damit jeder verbunden bleibt, müssen Sie die Integrität des IPSec-Tunnels und der BGP (Border Gateway Protocol)-Routenankündigung sicherstellen. Diese lang andauernden Tunnel- und Routinginformationen sind die Schlüssel zu Ihrer Remote-Netzwerk-Integrität.

In diesem Artikel werden verschiedene Methoden für den Zugriff auf und die Analyse der Remotenetzwerkintegritätsprotokolle beschrieben.

• Zugreifen auf Protokolle im Microsoft Entra Admin Center oder der Microsoft Graph-API
• Exportieren von Protokollen in Log Analytics oder ein SIEM-Tool (Security Information & Events Management)
• Analysieren von Protokollen mithilfe einer Azure-Arbeitsmappe für Microsoft Entra
• Herunterladen von Protokollen für die langfristige Speicherung

Voraussetzungen

Um die Remotenetzwerkintegritätsprotokolle im Microsoft Entra Admin Center anzuzeigen, benötigen Sie Folgendes:

• Eine der folgenden Rollen: Globaler Administrator für den sicheren Zugriff oder Sicherheitsadministrator.
• Für das Produkt ist eine Lizenzierung erforderlich. Ausführliche Informationen finden Sie im Abschnitt "Lizenzierung" des globalen sicheren Zugriffs. Bei Bedarf können Sie Lizenzen erwerben oder Testlizenzen erhalten.
• Für den Zugriff auf die Protokolle mit der Microsoft Graph-API und die Integration mit Log Analytics und Azure-Arbeitsmappen sind separate Rollen erforderlich.

Anzeigen der Protokolle

Um die Remotenetzwerkintegritätsprotokolle anzuzeigen, können Sie entweder das Microsoft Entra Admin Center oder die Microsoft Graph API verwenden.

GET https://graph.microsoft.com/beta/networkAccess/logs/remotenetworks

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#networkAccess/logs/remoteNetworks",
  "@odata.nextLink": "https://graph.microsoft.com/beta/networkAccess/logs/remotenetworks?$skiptoken=a0850fa33aecaf5fc7240fdd13929d25cc2ffbaa9e985c2fd3787a9283ba28c0",
  "@microsoft.graph.tips": "Use $select to choose only the properties your app needs, as this can lead to performance improvements. For example: GET networkAccess/logs/remoteNetworks?$select=bgpRoutesAdvertisedCount,createdDateTime",
  "value": [
    {
     "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "remoteNetworkId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
     "createdDateTime": "2024-05-09T20:53:48.3925141Z",
     "sourceIp": "20.x.x.x",
     "destinationIp": "20.x.x.x",
     "description": null,
     "bgpRoutesAdvertisedCount": 0,
     "status": "remoteNetworkAlive",
     "sentBytes": 74156,
     "receivedBytes": 76554
     },
     {
     "id": "11112222-bbbb-3333-cccc-4444dddd5555",
     "remoteNetworkId": "11bb11bb-cc22-dd33-ee44-55ff55ff55ff",
     "createdDateTime": "2024-05-09T20:54:55.1969876Z",
     "sourceIp": "16.x.x.x",
     "destinationIp": "20.x.x.x",
     "description": null,
     "bgpRoutesAdvertisedCount": 25,
     "status": "remoteNetworkAlive",
     "sentBytes": 573962,
     "receivedBytes": 365794
     }
  ]
}

Konfigurieren von Diagnoseeinstellungen zum Generieren von Exportprotokollen

Das Integrieren von Protokollen in ein SIEM-Tool wie Log Analytics wird über Diagnoseeinstellungen in Microsoft Entra ID konfiguriert. Dieser Prozess wird im Artikel "Konfigurieren von Microsoft Entra-Diagnoseeinstellungen für Aktivitätsprotokolle" ausführlich behandelt.

Zum Konfigurieren von Diagnoseeinstellungen benötigen Sie Folgendes:

• Sicherheitsadministratorzugriff .
• Ein Log Analytics-Arbeitsbereich.

Die grundlegenden Schritte zum Konfigurieren von Diagnoseeinstellungen lauten wie folgt:

1. Melden Sie sich mindestens als Sicherheitsadministrator beim Microsoft Entra Admin Center an.

2. Navigieren Sie zu Entra IDÜberwachung & GesundheitDiagnostikeinstellungen.

3. Alle vorhandenen Diagnoseeinstellungen werden in der Tabelle angezeigt. Wählen Sie "Bearbeitungseinstellungen" aus, um eine vorhandene Einstellung zu ändern, oder wählen Sie " Diagnoseeinstellung hinzufügen " aus, um eine neue Einstellung zu erstellen.

4. Geben Sie einen Namen ein.

5. Wählen Sie die RemoteNetworkHealthLogs (und alle anderen Protokolle) aus, die Sie einbeziehen möchten.

   

6. Wählen Sie die Ziele aus, an die Sie die Protokolle senden möchten.

7. Wählen Sie das Abonnement und das Ziel aus den angezeigten Dropdownmenüs aus.

8. Wählen Sie die Schaltfläche " Speichern" aus .

Sobald Ihre Protokolle an Log Analytics weitergeleitet wurden, können Sie die folgenden Features nutzen:

• Erstellen Sie Warnungsregeln, um Benachrichtigungen für Elemente wie einen BGP-Tunnelfehler zu erhalten.
  • Weitere Informationen finden Sie unter Erstellen einer Warnungsregel.
• Visualisieren Sie die Daten mit einer Azure-Arbeitsmappe für Microsoft Entra (im nächsten Abschnitt behandelt).
• Integrieren Sie Protokolle mit Microsoft Sentinel für Sicherheitsanalysen und Bedrohungserkennungen.
  • Weitere Informationen finden Sie im Schnellstart zur Einrichtung von Microsoft Sentinel.

Analysieren von Protokollen mit einer Arbeitsmappe

Azure-Arbeitsmappen für Microsoft Entra stellen eine visuelle Darstellung Ihrer Daten bereit. Nachdem Sie einen Log Analytics-Arbeitsbereich und Diagnoseeinstellungen konfiguriert haben, um Ihre Protokolle mit Log Analytics zu integrieren, können Sie eine Arbeitsmappe verwenden, um die Daten über diese leistungsstarken Tools zu analysieren.

Sehen Sie sich diese hilfreichen Ressourcen für Arbeitsmappen an:

• Erstellen einer Azure-Arbeitsmappe
• Verwenden von Identitätsarbeitsmappen
• Erstellen einer Arbeitsmappenbenachrichtigung

Herunterladen von Protokollen

Eine Schaltfläche " Herunterladen " ist in allen Protokollen verfügbar, sowohl innerhalb des globalen sicheren Zugriffs als auch der Integrität von Microsoft Entra Monitoring. Sie können Protokolle als JSON- oder CSV-Datei herunterladen. Weitere Informationen finden Sie unter Herunterladen von Protokollen.

Wenn Sie die Ergebnisse der Protokolle eingrenzen möchten, wählen Sie "Filter hinzufügen" aus. Sie können nach folgenden Kriterien filtern:

• Beschreibung
• Remote-Netzwerk-ID
• Quell-IP
• Ziel-IP
• Anzahl angekündigter BGP-Routen

In der folgenden Tabelle werden die einzelnen Felder in den Remote-Netzwerk-Gesundheitsprotokollen beschrieben.

Nächste Schritte

• Aktivieren von erweiterten Microsoft 365-Protokollen
• Erkunden Sie die Protokolle des Datenverkehrs von Global Secure Access (Vorschau)