監査ストリーミングの作成

Azure DevOps サービス

さらに処理するためにデータを他の場所に送信する 監査 ストリームを作成する方法について説明します。 監査データを他のセキュリティ インシデントおよびイベント管理 (SIEM) ツールに送信し、特定のイベントのアラートをトリガーする機能、監査データに関するビューを作成する機能、異常検出を実行する機能など、新しい可能性を開きます。 ストリームを設定すると、90 日を超える監査データを格納することもできます。これは、Azure DevOps が組織のために保持する最大データ量です。

監査ストリームは、Azure DevOps 組織からストリーム ターゲットに監査イベントをフローするパイプラインを表します。 30 分以下ごとに、新しい監査イベントがバンドルされ、ターゲットにストリーミングされます。 構成には、次のストリーム ターゲットを使用できます。

• Splunk – オンプレミスまたはクラウドベースの Splunk に接続します。
• Azure Monitor ログ - 監査ログを Azure Monitor ログに送信します。 Azure Monitor ログに格納されているログはクエリを実行でき、アラートを構成できます。 AzureDevOpsAuditing という名前のテーブルを探します。 Microsoft Sentinel ワークスペースに接続することもできます。
• Azure Event Grid – Azure の内外を問わず、監査ログを別の場所に送信するシナリオでは、 Azure Event Grid 接続を設定できます。

プライベートのリンクされたワークスペースは、現在サポートされていません。

前提条件

監査は、すべての Azure DevOps Services 組織で既定で無効になっています。 承認された担当者のみが機密性の高い監査情報にアクセスできることを確認します。

ストリームの作成

1. 組織にサインインします (https://dev.azure.com/{Your_Organization})。

2. [組織の設定] を選択します。

   

3. [監査] を選択します。

   

4. ストリーム タブに移動し、 新しいストリームを選択します。

   

5. 構成するストリーム ターゲットを選択し、次の手順から選択してストリーム ターゲットの種類を設定します。

   • Splunk
   • Event Grid
   • Azure Monitor ログ

Splunk ストリームを設定する

ストリームは、HTTP イベント コレクター エンドポイントを介して Splunk にデータを送信します。

1. Splunk でこの機能を有効にします。 詳細については、この Splunk のドキュメントを参照してください。

   有効にすると、HTTP イベント コレクター トークンと Splunk インスタンスへの URL が必要になります。 Splunk ストリームを作成するには、トークンと URL の両方が必要です。

   Note

   Splunk で新しいイベント コレクター トークンを作成するときは、[インデクサーの受信確認を有効にする] をオンにしないでください。 チェックが入っている場合、Splunk にイベントは流れ込まない。 Splunk でトークンを編集して、その設定を削除できます。

2. Splunk インスタンスへのポインターである Splunk URL を入力します。 URL の末尾にポートを指定してください。 既定のポートは 8088であるため、URL は https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 または https://prd-p-2k3mp2xhznbs.splunkcloud.com のようになります。

3. 作成したイベント コレクター トークンをトークン フィールドに入力します。 トークンは Azure DevOps 内に安全に格納され、UI に再び表示されることはありません。 定期的にトークンをローテーションすることをお勧めします。これを行うには、Splunk から新しいトークンを取得し、ストリームを編集します。

   

4. [セットアップ] を選択します。

ストリームが構成され、イベントは 30 分以内に Splunk に到着し始めます。

イベント グリッド ストリームをセットアップする

1. Azure で Event Grid トピックを作成する。

2. "トピック エンドポイント" と 2 つの "アクセス キー" のいずれかをメモしておきます。この情報を使用して、Event Grid 接続を作成します。

   

3. トピック エンドポイントといずれかのアクセス キーを入力します。 アクセス キーは Azure DevOps 内に安全に格納され、UI に再び表示されることはありません。 アクセス キーを定期的にローテーションします。これを行うには、Azure Event Grid から新しいキーを取得し、ストリームを編集します。

   

Event Grid ストリームを構成したら、Event Grid でサブスクリプションを設定して、Azure のほぼすべての場所にデータを送信できます。

Azure Monitor ログ ストリームを設定する

1. ログ分析ワークスペースを作成します。
2. ワークスペースを開き、[ 概要] を選択します。
3. ワークスペース ID、リソース グループ、ワークスペース名を書き留めます。
4. 次のいずれかの方法を使用して共有キーを取得します。

• PowerShell と Az.OperationalInsights モジュールの使用:

  Get-AzOperationalInsightsWorkspaceSharedKey -ResourceGroupName <Resource group> -Name <Workspace name>
  

• Azure CLI を使用する場合:

  az monitor log-analytics workspace get-shared-keys --resource-group <Resource group> --workspace-name <Workspace name>
  

• REST API の使用:共有キーの取得 API を呼び出す

5. 同じ初期手順に進み、ストリームを作成して Azure Monitor ログ ストリームを設定します。

6. ターゲット オプションとして、 Azure Monitor ログを選択します。

7. ワークスペース ID と主キーを入力し、 設定を選択します。 主キーは Azure DevOps 内に安全に格納され、UI に再び表示されることはありません。 キーを定期的にローテーションします。そのためには、Azure Monitor ログから新しいキーを取得し、ストリームを編集します。

   

ストリームが有効になり、30 分以内に新しいイベントのフローが開始されます。 AzureDevOpsAuditing テーブルを参照することができます。

ストリームの編集

ストリーム ターゲットに関する詳細は、時間の経過と同時に変化する可能性があります。 これらの変更をストリームに反映するには、それらを編集します。 ストリームを編集するには、 監査ストリームの管理 アクセス許可があることを確認します。

1. 編集するストリームの横にある右端にある縦 3 つのドットを選択し、 編集ストリームを選択します。

   

2. 保存を選択します。

編集に使用できるパラメーターは、ストリームの種類によって異なります。

ストリームを無効にする

1. 無効にするストリームの横にある 有効化 トグルを オン から オフ にします。
   ストリームで障害が発生すると、ストリームが無効になる可能性があります。 エラーの詳細は、ストリームの横に表示される状態から取得することも、 ストリームの編集 を選択して取得することもできます。 ストリームを手動で無効にしてから、後で再度有効にすることもできます。

   

2. 保存を選択します。

無効になっているストリームを再度有効にすることができます。 これは、過去 7 日間に見逃された監査イベントに追いつきます。 そうすることで、ストリームが無効にされた期間のイベントを見逃すことはありません。

ストリームを削除する

ストリームを削除するには、 監査ストリームの削除 アクセス許可があることを確認します。

1. 削除するストリームにカーソルを合わせ、右端にある垂直の 3 つのドットを選択します。

2. [ストリームの削除] を選択します。

   

3. 確認 を選択します。

システムによってストリームが削除されます。 削除前の未送信のイベントは送信されません。

関連コンテンツ

• 監査ログを確認する
• 監査イベントをエクスポートする
• 監査イベントの一覧を表示する
• Azure DevOps のブログで Azure DevOps 監査ストリームについて読む