Création d’un flux d’audit

Azure DevOps Services

Découvrez comment créer un flux d’audit, qui envoie des données à d’autres emplacements pour un traitement ultérieur. Envoyez les données d’audit à d’autres outils SIEM (Security Incident and Event Management) et élargissez vos possibilités, telles que le déclenchement d’alertes pour des événements spécifiques, la création de vues sur les données d’audit et la détection des anomalies. La configuration d’un flux vous permet également de stocker plus de 90 jours de données d’audit, ce qui correspond à la quantité maximale de données conservées par Azure DevOps pour vos organisations.

Les flux d’audit représentent un pipeline qui transfère les événements d’audit de votre organisation Azure DevOps vers une cible de flux. Chaque demi-heure ou moins, les nouveaux événements d’audit sont regroupés et diffusés en continu vers vos cibles. Voici les cibles de flux disponibles pour la configuration :

• Splunk : connectez-vous à Splunk sur site ou dans le cloud.
• Journaux Azure Monitor : envoyez des journaux d’audit aux journaux Azure Monitor. Les journaux stockés dans les journaux Azure Monitor peuvent être interrogés, et des alertes peuvent aussi être configurées. Recherchez la table intitulée AzureDevOpsAuditing. Vous pouvez également connecter Microsoft Sentinel à votre espace de travail.
• Azure Event Grid : pour les scénarios où vous souhaitez que vos journaux d’audit soient envoyés ailleurs, que ce soit dans Azure ou en dehors d’Azure, vous pouvez configurer une connexion Azure Event Grid.

À ce jour, les espaces de travail liés privés ne sont pas pris en charge.

Prerequisites

L’audit est désactivé par défaut pour toutes les organisations Azure DevOps Services. Assurez-vous que seul le personnel autorisé a accès aux informations d’audit sensibles.

Créer un flux

1. Connectez-vous à votre organisation (https://dev.azure.com/{Your_Organization}).

2. Sélectionnez Paramètres de l’organisation.

   

3. Sélectionnez Audit.

   

4. Accédez à l’onglet Flux et sélectionnez Nouveau flux.

   

5. Sélectionnez la cible de flux que vous souhaitez configurer, puis sélectionnez les instructions ci-dessous qui vous conviennent pour configurer votre type de cible de flux.

   • Splunk
   • Event Grid
   • Journal Azure Monitor

Configurer un flux Splunk

Les flux envoient des données à Splunk via le point de terminaison du collecteur d’événements HTTP.

1. Activez cette fonctionnalité dans Splunk. Pour plus d’informations, consultez cette documentation de Splunk.

   Une fois activé, vous devez disposer d’un jeton de collecteur d’événements HTTP et de l’URL de l’instance Splunk. Vous aurez besoin de ce jeton et de cette URL pour créer un flux Splunk.

   Note

   Lorsque vous créez un jeton d'Event Collector dans Splunk, ne cochez pas « Activer l’accusé de réception de l’indexeur ». Si elle est cochée, aucun événement ne sera acheminé vers Splunk. Vous pouvez modifier le jeton dans Splunk pour supprimer ce paramètre.

2. Entrez l’URL Splunk, qui pointe vers votre instance Splunk. Vérifiez que vous avez bien spécifié un port à la fin de l’URL. Le port par défaut étant 8088, votre URL devrait être similaire à https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 ou https://prd-p-2k3mp2xhznbs.splunkcloud.com.

3. Entrez le jeton de collecteur d’événements que vous avez créé dans le champ Jeton. Ce jeton sera stocké en toute sécurité dans Azure DevOps et ne s’affichera plus jamais dans l’interface utilisateur. Nous vous recommandons de changer régulièrement de jeton, ce que vous pouvez faire en obtenant un nouveau jeton à partir de Splunk et en modifiant le flux.

   

4. Sélectionnez Configurer.

Votre flux est configuré, et les événements commencent à arriver sur Splunk dans un délai d’une demi-heure ou moins.

Configurer un flux Event Grid

1. Créez une rubrique Event Grid sur Azure.

2. Notez le « point de terminaison de rubrique » et l’une des deux « clés d’accès ». Utilisez ces informations pour créer la connexion Event Grid.

   

3. Entrez le point de terminaison de la rubrique et l’une des clés d’accès. La clé d’accès sera stockée en toute sécurité dans Azure DevOps et ne s’affichera plus jamais dans l’interface utilisateur. Changez régulièrement la clé d’accès, ce que vous pouvez faire en obtenant une nouvelle clé à partir d’Azure Event Grid et en modifiant le flux.

   

Une fois que le flux Event Grid est configuré, vous pouvez configurer des abonnements sur Event Grid pour envoyer les données presque n’importe où dans Azure.

Configurer un flux de journal Azure Monitor

1. Créer un espace de travail Log Analytics.
2. Ouvrez l’espace de travail et sélectionnez Vue d’ensemble.
3. Notez l’ID de l’espace de travail, le groupe de ressources et le nom de l’espace de travail.
4. Obtenez la clé partagée à l’aide de l’une des méthodes suivantes :

• Utilisation de PowerShell et du module Az.OperationalInsights :

  Get-AzOperationalInsightsWorkspaceSharedKey -ResourceGroupName <Resource group> -Name <Workspace name>
  

• En utilisant Azure CLI :

  az monitor log-analytics workspace get-shared-keys --resource-group <Resource group> --workspace-name <Workspace name>
  

• Utilisation de l’API REST : Appeler l’API Obtenir des clés partagées

5. Configurez votre flux de journal Azure Monitor en suivant les mêmes étapes initiales de création d’un flux.

6. Pour les options cibles, sélectionnez Journaux Azure Monitor.

7. Entrez l’ID de l’espace de travail et la clé primaire, puis sélectionnez Configurer. La clé primaire sera stockée en toute sécurité dans Azure DevOps et ne s’affichera plus jamais dans l’interface utilisateur. Changer régulièrement cette clé, ce que vous pouvez faire en obtenant une nouvelle clé à partir du journal Azure Monitor et en modifiant le flux.

   

Le flux est activé, et les nouveaux événements commenceront à circuler dans un délai d’une demi-heure ou moins. Vous pouvez référencer la table AzureDevOpsAuditing.

Modifier un flux

Les détails de la cible de flux peuvent changer au fil du temps. Pour refléter ces modifications dans vos flux, vous pouvez les modifier. Pour modifier un flux, vérifiez que vous disposez de l’autorisation Gérer les flux d’audit.

1. En regard du flux que vous souhaitez modifier, sélectionnez les trois points verticaux à l’extrême droite, puis sélectionnez Modifier le flux.

   

2. Sélectionnez Enregistrer.

Les paramètres disponibles pour la modification diffèrent par type de flux.

Désactiver un flux

1. En regard du flux que vous souhaitez désactiver, faites passer le bouton bascule Activé sur Désactivé.
   En cas d’échec des flux, ils peuvent être désactivés. Pour plus d’informations sur l’échec, consultez l’état affiché en regard du flux ou sélectionnez Modifier le flux. Vous pouvez également désactiver un flux manuellement, puis le réactiver ultérieurement.

   

2. Sélectionnez Enregistrer.

Vous pouvez réactiver un flux désactivé. Cette opération récupère les événements d’audit qui ont été manqués en remontant jusqu’aux sept derniers jours. De cette façon, vous ne manquez aucun événement pour la durée pendant laquelle le flux a été désactivé.

Supprimer un flux

Pour supprimer un flux, vérifiez que vous disposez de l’autorisation Supprimer les flux d’audit.

1. Survolez le flux que vous souhaitez supprimer et sélectionnez les trois points verticaux à droite.

2. Sélectionnez Supprimer le flux.

   

3. Sélectionnez Confirmer.

Le système supprimera le flux. Les événements non envoyés avant la suppression ne sont pas envoyés.

Contenu connexe

• Vérifier le journal d’audit
• Exporter les événements d'audit
• Afficher la liste des événements d’audit
• En savoir plus sur les flux d’audit Azure DevOps sur le blog Azure DevOps