Azure AD sensor-ийг хэрхэн тохируулах вэ?

Azure AD нь Microsoft Entra ID (өмнө нь Azure AD гэж нэрлэгддэг байсан)-ийн хэрэглэгч болон бүлгүүдийн өгөгдлийг цуглуулж урьдчилан боловсруулдаг XDR sensor юм. Өгөгдөл нь тэдгээрийн нэвтрэлтийн үйл ажиллагаа болон тохиргооны өөрчлөлтийг хамарна.

Entra ID-г GravityZone XDR-тай холбохдоо Microsoft Graph API-г ашиглах бөгөөд Azure Event Hubs-ийг сонголтоор нэмж болно.

Энэ хэсэгт GravityZone Control Center дээр Azure AD sensor нэмэх алхмыг тайлбарлана.

Урьдчилсан нөхцөл

Microsoft Entra ID-г холбохоор Azure AD sensor тохируулахын өмнө дараахыг хийнэ:

• Microsoft Entra ID application-д шаардлагатай эрхийг олгох
• Зөвлөмж: Azure event hub тохируулах

Microsoft Entra ID application тохируулах

1. 1Microsoft Entra admin center-ээс application байхгүй бол бүртгэнэ. Дэлгэрэнгүйг Register an application with the Microsoft identity platform хуудаснаас үзнэ үү.

Application (client) ID болон Directory (tenant) ID-г тэмдэглэж авна.

2. 2Sensor-ийг хэрхэн тохируулахаас хамааран application-даа Microsoft Graph-д хандах дараах Application permissions-ыг нэмнэ. Application permissions to Microsoft Graph хуудсыг үзнэ үү.

1. Microsoft Entra ID-аас үйл явдал хүлээн авах, мөн incident-д хариу арга хэмжээг GravityZone-оос шууд авахын тулд дараах эрх шаардлагатай:

- AuditLog.Read.All
- Directory.Read.All
- Mail.ReadWrite: и-мэйл устгахад
- User.ReadWrite.All, User.EnableDisableAccount.All: аюулгүй байдлын шинжээчид XDR incident-д оролцсон хэрэглэгчийн акаунтыг идэвхгүй болгох боломж олгоно.
- User.ReadWrite.All, User.RevokeSessions.All, User-PasswordProfile.ReadWrite.All: аюулгүй байдлын шинжээчид XDR incident-д оролцсон хэрэглэгчийн акаунтын нууц үгийг албадан сэргээлгэх боломж олгоно.
- IdentityRiskyUser.Read.All: XDR incident-ийн графикийн дэлгэрэнгүй самбарт Microsoft Entra ID-ийн эрсдэлтэй хэрэглэгчийн мэдээллийг харуулахад
- IdentityRiskyUser.ReadWrite.All: хэрэглэгчийн акаунтыг эвдэрсэн (compromised) гэж тэмдэглэхэд
- IdentityRiskEvent.Read.All: Entra ID-ийн эрсдэлийн төлвийг үнэн зөв илрүүлэхэд

2. Хэрэв зөвхөн Microsoft Entra ID-аас үйл явдал хүлээн авах бол дараах эрх хангалттай:

- AuditLog.Read.All
- Directory.Read.All
- IdentityRiskyUser.Read.All
- IdentityRiskEvent.Read.All

> Чухал:
> - IdentityRiskyUser.ReadWrite.All, IdentityRiskEvent.Read.All, IdentityRiskyUser.Read.All нь Microsoft Entra ID P2 лиценз шаарддаг. Бусад эрх Microsoft Entra ID P1 лиценз шаарддаг.
> - Microsoft Entra ID Free-г Azure AD sensor-д ашиглаж болно. Гэхдээ илрүүлэлт нь Entra ID Free лицензэд багтсан directory audit log-ийн мэдээллээр хязгаарлагдана.
> - Олгосон Application permissions-д Admin consent (администраторын зөвшөөрөл) өгөх шаардлагатай.

3. 3Microsoft 365 акаунтын нууц үгийг XDR incident-оос GravityZone-оор дамжуулан албадан сэргээлгэхийг хүсвэл өмнө нь үүсгэсэн app-д [User Administrator](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference#user-administrator) role-ийг оноох ёстой. Дараах алхмыг гүйцэтгэнэ:

1. Microsoft Entra admin center дээр зүүн талын цэснээс Identity > Roles & admins > Roles & admins руу очно.
2. User Administrator role-ийг хайж сонгоно.
3. Add assignments сонгоно.
4. No member selected дарж Select a member цонхыг нээнэ.
5. Өөрийн app-ыг хайж сонгоно.
6. Select, дараа нь Next дарна.
7. Оноолтын шалтгааныг бичнэ.
8. Assign дарна.

4. 4Администратор хэрэглэгчдэд хариу арга хэмжээ авах боломжтой болгохын тулд application-д [Global Administrator](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference#global-administrator) role-ийг оноо. Үүний тулд 3-р алхмын үйлдлийг Global Administrator role-д давтана.

5. 5Application-д client secret байхгүй бол үүсгэнэ. Дэлгэрэнгүйг Add credentials нийтлэлийн Add a client secret хэсгээс үзнэ үү.

Нэмсэн client secret-ийн Value-г тэмдэглэж авна.

Azure event hub тохируулах

Azure Event Hubs ашиглан үйл явдал хүргэх хурдыг сайжруулахыг хүсвэл дараах алхмуудыг мөн гүйцэтгэнэ:

1. 1Azure portal-д resource group байхгүй бол үүсгэнэ. Дэлгэрэнгүйг Create a resource group хуудаснаас үзнэ үү.

2. 2Resource group дотроо Event Hubs namespace үүсгэнэ. Дэлгэрэнгүйг Create an Event Hubs namespace хуудаснаас үзнэ үү.

> Анхааруулга: Basic pricing tier-ийг сонгоно. Илүү өндөр түвшин шаардлагагүй бөгөөд Azure-ийн зардал мэдэгдэхүйц нэмэгдэж болзошгүй.

3. 3Namespace дотор event hub үүсгэнэ. Дэлгэрэнгүйг Create an event hub хуудаснаас үзнэ үү.

> Чухал:
> - Partition count болон Retention time (hrs) нь таны компанийн хэмжээ, үйл ажиллагааны түвшингээс хамаарна. Томоохон байгууллагад retention хугацаа богино байвал GravityZone бүх үйл явдлын өгөгдлийг цагт нь боловсруулж амжихгүй тохиолдолд аюулгүй байдлын үйл явдал алдагдаж болно. Partition олон байх тусам GravityZone аюулгүй байдлын үйл явдлыг илүү үр дүнтэй боловсруулна.
>
> Яг тодорхой утга өгөх боломжгүй ч 4-8 partition, 12 цагийн retention хугацааг зөвлөж байна. Эдгээр тохиргоо нь гүйцэтгэл, найдвартай байдал, зардлын хоорондын тэнцвэрийг хангана.
>
> Өгөгдлийн хэмжээ болон үйл явдал хэрэглэх хэв маягаас хамааран эдгээр параметрийг цаг хугацааны явцад тохируулахыг зөвлөж байна.
>
> - Event hub-ын Settings хэсгээс event hub-ын нэр болон түүнд хамаарах consumer group-уудыг харж болно. Sensor-д анхдагчаас өөр consumer group ашиглуулахыг хүсвэл + Consumer group дарж шинийг үүсгэнэ.

4. 4Event hub-д SAS policy үүсгээд connection string-ийг авна. Connection string for a specific event hub in a namespace хуудсыг үзнэ үү.

> Тэмдэглэл: SAS policy-г бүх namespace-д бус тухайн event hub-д зориулан үүсгэхийг зөвлөж байна.

5. 5Microsoft Entra admin center-ээс Stream logs to an event hub сэдвийн эхний долоон алхмыг дагаж, log-ийг өмнө үүсгэсэн event hub руу чиглүүлнэ.

Тав дахь алхамд дараах log ангиллыг сонгоно:

- AuditLogs
- SignInLogs
- RiskyUsers

> Чухал: Долоо дахь алхамд өмнө үүсгэсэн event hub-ынхаа нэрийг заавал сонгоно.

Azure AD sensor тохируулах

GravityZone Control Center дээр Azure AD sensor-ийг тохируулахын тулд дараах алхмыг гүйцэтгэнэ:

1. 1Зүүн талын цэснээс Configuration (Тохиргоо) > Sensors Management (Sensor-ийн удирдлага) хуудас руу очно.

2. 2Шинэ sensor холбохын тулд Add new (Шинээр нэмэх) сонгоно.

3. 3Azure AD sensor-ийг сонгоод Integrate (Холбох) дарна.

4. 4Check Requirements (Шаардлага шалгах) хуудсанд урьдчилсан алхмууд хийгдсэнийг баталгаажуулахын тулд Confirm (Баталгаажуулах) дарна.

5. 5Холболтод нэр өгч, урьдчилсан алхмуудад авсан Application ID, Client secret, Tenant ID-г оруулна.

6. 6Урьдчилсан алхмуудад Azure Event Hubs ашиглахаар сонгосон бол авсан Event hub connection string болон Event hub name-г оруулна.

Хүсвэл анхдагчаас өөр consumer group-г оруулж болно.

7. 7Урьдчилсан алхмуудад Azure Event Hubs ашиглахгүй гэж сонгосон бол Do not use Azure Event Hubs for security events retrieval сонголтыг тэмдэглэнэ.

8. 8Test connectivity (Холболт шалгах) дарна.

9. 9Add sensor (Sensor нэмэх) дарна.

10. 10Done (Дууссан) дарна.

Шинэ холболт Sensors Management хүснэгтэд харагдана.