Criar streaming de auditoria

Azure DevOps Services

Saiba como criar um fluxo de auditoria, que envia dados para outros locais para processamento adicional. Envie dados de auditoria para outras ferramentas de SIEM (Gerenciamento de Evento e Incidentes de Segurança) e abra novas possibilidades, como a possibilidade de acionar alertas para eventos específicos, criar exibições sobre os dados de auditoria e executar a detecção de anomalias. A configuração de um fluxo também permite que você armazene mais de 90 dias de dados de auditoria, que é a quantidade máxima de dados que o Azure DevOps mantém para suas organizações.

Os fluxos de auditoria representam um pipeline que flui eventos de auditoria da sua organização do Azure DevOps para um destino de fluxo. A cada meia hora ou menos, novos eventos de auditoria são agrupados e transmitidos para seus destinos. Os destinos de fluxo a seguir estão disponíveis para configuração.

• Splunk – conecte-se ao Splunk local ou baseado em nuvem.
• Logs do Azure Monitor – envie logs de auditoria para os Logs do Azure Monitor. Os logs armazenados nos Logs do Azure Monitor podem ser consultados e alertas podem ser configurados. Procure a tabela chamada AzureDevOpsAuditing. Você também pode conectar o Microsoft Sentinel ao seu workspace.
• Grade de Eventos do Azure – para cenários em que você deseja que seus logs de auditoria sejam enviados para outro lugar, seja dentro ou fora do Azure, você pode configurar uma conexão da Grade de Eventos do Azure.

No momento, não há suporte a workspaces vinculados privados.

Pré-requisitos

A auditoria é desativada por padrão para todas as organizações do Azure DevOps Services. Certifique-se de que somente pessoal autorizado tenha acesso a informações confidenciais de auditoria.

Criar um fluxo

1. Entre em sua organização (https://dev.azure.com/{Your_Organization}).

2. Selecione Configurações da organização.

   

3. Selecione Auditoria.

   

4. Acesse a guia Fluxos e selecione Novo fluxo.

   

5. Selecione o destino de fluxo que deseja configurar e, em seguida, selecione as instruções a seguir para configurar o tipo de destino de fluxo.

   • Splunk
   • Grade de Eventos
   • Azure Monitor Log

Configurar um fluxo do Splunk

Os fluxos enviam dados para o Splunk por meio do ponto de extremidade do Coletor de Eventos HTTP.

1. Habilite esse recurso no Splunk. Para obter mais informações, consulte esta documentação do Splunk.

   Depois de habilitado, você deve ter um token do Coletor de Eventos HTTP e a URL para sua instância do Splunk. Você precisa do token e da URL para criar um fluxo do Splunk.

   Observação

   Ao criar um token do Coletor de Eventos no Splunk, não marque "Habilitar a confirmação do indexador". Se estiver marcada, nenhum evento fluirá para o Splunk. Você pode editar o token no Splunk para remover essa configuração.

2. Insira a URL do Splunk, que é o ponteiro para sua instância do Splunk. Certifique-se de especificar uma porta no final da URL. A porta padrão é 8088, portanto, a URL deve ser semelhante a https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 ou a https://prd-p-2k3mp2xhznbs.splunkcloud.com.

3. Insira o token do coletor de eventos que você criou no campo de token. O token é armazenado com segurança no Azure DevOps e nunca mais é exibido na interface do usuário. É recomendável fazer a rotação do token regularmente, que pode ser feita obtendo um novo token do Splunk e editando o fluxo.

   

4. Selecione Configurar.

Seu fluxo é configurado e os eventos começam a chegar ao Splunk dentro de meia hora ou menos.

Configurar um fluxo da Grade de Eventos

1. Crie um tópico da Grade de Eventos no Azure.

2. Anote o "Ponto de extremidade do tópico" e uma das duas "Chaves de acesso". Use essas informações para criar a conexão da Grade de Eventos.

   

3. Insira o ponto de extremidade do tópico e uma das chaves de acesso. A chave de acesso é armazenada com segurança no Azure DevOps e nunca mais é exibida na interface do usuário. Faça a rotação da chave de acesso regularmente, que pode ser feita obtendo uma nova chave da Grade de Eventos do Azure e editando o fluxo

   

Depois de configurar o fluxo da Grade de Eventos, você pode configurar assinaturas na Grade de Eventos para enviar os dados para praticamente qualquer lugar no Azure.

Configurar um fluxo de logs do Azure Monitor

1. Crie um workspace do Log Analytics.

2. Abra o workspace e selecione Agentes.

3. Selecione Instruções do agente do Log Analytics para exibir a ID do workspace e a chave primária.

4. Anote a ID do workspace e a chave primária.

   

5. Configure o fluxo de logs do Azure Monitor seguindo as mesmas etapas iniciais para criar um fluxo.

6. Para as opções de destino, selecione Logs do Azure Monitor.

7. Insira a ID do workspace e a chave primária e selecione Configurar. A chave primária é armazenada com segurança no Azure DevOps e nunca mais é exibida na interface do usuário. Faça a rotação da chave regularmente, que pode ser feita obtendo uma nova chave do Log do Azure Monitor e editando o fluxo.

   

O fluxo é habilitado e novos eventos começam a fluir dentro de meia hora ou menos. É possível referenciar a tabela AzureDevOpsAuditing.

Editar um fluxo

Os detalhes sobre o destino do fluxo podem mudar com o tempo. Para refletir essas alterações em seus fluxos, você pode editá-los. Para editar um fluxo, certifique-se de ter a permissão Gerenciar fluxos de auditoria.

1. Ao lado do fluxo que você deseja editar, selecione os três pontos verticais mais à direita e, em seguida, selecione Editar fluxo.

   

2. Clique em Salvar.

Os parâmetros disponíveis para edição diferem por tipo de fluxo.

Desabilitar um fluxo

1. Ao lado do fluxo que você deseja desabilitar, mova o botão de alternância de Habilitado de Ativado para Desativado.
   Quando houver uma falha nos fluxos, eles poderão ser desabilitados. Você pode obter detalhes sobre a falha no status mostrado ao lado do fluxo ou selecionando Editar fluxo. Você também pode desabilitar um fluxo manualmente e reabilitá-lo posteriormente.

   

2. Clique em Salvar.

Você pode reabilitar um fluxo desabilitado. Ele atualiza todos os eventos de auditoria que foram perdidos nos sete dias anteriores. Dessa forma, você não perde nenhum evento da duração pela qual o fluxo ficou desabilitado.

Excluir um fluxo

Para excluir um fluxo, certifique-se de ter a permissão Excluir fluxos de auditoria.

1. Passe o mouse sobre o fluxo que deseja excluir e selecione os três pontos verticais mais à direita.

2. Selecione Excluir fluxo.

   

3. Selecione Confirmar.

O sistema remove seu fluxo. Quaisquer eventos não enviados antes da exclusão não serão enviados.

Conteúdo relacionado

• Revisar o log de auditoria
• Exportar eventos de auditoria
• Exibir a lista de eventos de auditoria
• Leia sobre o fluxo de auditoria do Azure DevOps no blog do Azure DevOps