为 Microsoft Entra 域服务启用安全性和 DNS 审核

Microsoft Entra 域服务安全和 DNS 审核允许 Azure 将事件流式传输到目标资源。 这些资源包括 Azure 存储、Azure Log Analytics 工作区或 Azure 事件中心。 启用安全审核事件后，域服务会将所选类别的所有已审核事件发送到目标资源。

可以使用 Azure 事件中心将事件存档到 Azure 存储中，并将事件流式传输到安全信息和事件管理 (SIEM) 软件（或等效软件），也可以在 Microsoft Entra 中心使用 Azure Log Analytics 工作区执行自己的分析。

安全审核目标

可以使用 Azure 存储、Azure 事件中心或 Azure Log Analytics 工作区作为域服务安全审核的目标资源。 这些目标可以组合在一起。 例如，可以使用 Azure 存储来存档安全审核事件，而使用 Azure Log Analytics 工作区来分析和报告短期内的信息。

下表概述了每种目标资源类型的场景。

使用 Microsoft Entra 管理中心启用安全审核事件

要使用 Microsoft Entra 管理中心启用域服务安全审核事件，请完成以下步骤。

1. 以全局管理员身份登录到 Microsoft Entra 管理中心。

2. 搜索“Microsoft Entra 域服务”并将其选中。 选择你的托管域，例如 aaddscontoso.com。

3. 在域服务窗口中，选择左侧的“诊断设置”。

4. 默认情况下未配置任何诊断。 若要开始，请选择“添加诊断设置”。

   

5. 输入诊断配置的名称，如 aadds-auditing。

   选中所需的安全性或 DNS 审核目标框。 你可以从 Log Analytics 工作区、Azure 存储帐户、Azure 事件中心或合作伙伴解决方案中进行选择。 这些目标资源必须已存在于你的 Azure 订阅中。 不能在此向导中创建目标资源。

   • Azure Log Analytic 工作区
     • 选择“发送到 Log Analytics”，然后选择要用于存储审核事件的订阅和 Log Analytics 工作区。
   • Azure 存储
     • 选择“存档到存储帐户”，然后选择“配置” 。
     • 选择要用于存档审核事件的订阅和存储帐户。
     • 准备就绪后，选择“确定”。
   • Azure 事件中心
     • 选择“流式传输到事件中心”，然后选择“配置” 。
     • 选择“订阅”和“事件中心命名空间” 。 如果需要，还可以选择“事件中心名称”和“事件中心策略名称” 。
     • 准备就绪后，选择“确定”。
   • 合作伙伴解决方案
     • 选择“发送到合作伙伴解决方案”，然后选择要用于存储审核事件的订阅和目标。

6. 选择要为特定目标资源包含的日志类别。 如果将审核事件发送到 Azure 存储帐户，还可以配置保留策略来定义保留数据的天数。 默认设置为 0，指示保留所有数据，并且不会在一段时间后轮替事件。

   可以在单个配置中为每个目标资源选择不同的日志类别。 例如，通过此功能可选择要为 Log Analytics 保留的日志类别以及要存档的日志类别。

7. 完成后，选择“保存”以提交更改。 在保存配置不久后，目标资源会开始接收域服务安全审核事件。

使用 Azure PowerShell 启用安全性和 DNS 审核事件

要使用 Azure PowerShell 启用域服务安全和 DNS 审核事件，请完成以下步骤。 如果需要，请先安装 Azure PowerShell 模块并连接到 Azure 订阅。

1. 使用 Connect-AzAccount cmdlet 对 Azure 订阅进行身份验证。 在系统提示时输入帐户凭据。

   Connect-AzAccount -Environment AzureChinaCloud
   

2. 创建审核事件的目标资源。

   • Azure Log Analytics 工作区 - 使用 Azure PowerShell 创建 Log Analytics 工作区。

   • Azure 存储 - 使用 Azure PowerShell 创建存储帐户

   • Azure 事件中心 - 使用 Azure PowerShell 创建事件中心。 你可能还需要使用 New-AzEventHubAuthorizationRule cmdlet 来创建授权规则，该规则会向事件中心命名空间授予域服务权限。 授权规则必须包括管理、侦听和发送权限 。

     重要

     请确保对事件中心命名空间而不是对事件中心本身设置授权规则。

3. 使用 Get-AzResource cmdlet 获取域服务托管域的资源 ID。 创建名为 $aadds.ResourceId 的变量来保存值：

   $aadds = Get-AzResource -name aaddsDomainName
   

4. 使用 Set-AzDiagnosticSetting cmdlet 配置 Azure 诊断设置，从而使用 Microsoft Entra 域服务审核事件的目标资源。 在下面的示例中，变量 $aadds.ResourceId 从上一步开始使用。

   • Azure 存储 - 将 storageAccountId 替换为你的存储帐户名称：

     Set-AzDiagnosticSetting `
         -ResourceId $aadds.ResourceId `
         -StorageAccountId storageAccountId `
         -Enabled $true
     

   • Azure 事件中心 - 将 eventHubName 替换为事件中心的名称，并将 eventHubRuleId 替换为授权规则 ID ：

     Set-AzDiagnosticSetting -ResourceId $aadds.ResourceId `
         -EventHubName eventHubName `
         -EventHubAuthorizationRuleId eventHubRuleId `
         -Enabled $true
     

   • Azure Log Analytics 工作区 - 将 workspaceId 替换为 Log Analytics 工作区的 ID：

     Set-AzureRmDiagnosticSetting -ResourceId $aadds.ResourceId `
         -WorkspaceID workspaceId `
         -Enabled $true
     

使用 Azure Monitor 查询和查看安全性和 DNS 审核事件

通过 Log Analytic 工作区，可使用 Azure Monitor 和 Kusto 查询语言来查看和分析安全性和 DNS 审核事件。 此查询语言专为只读使用而设计，它具有强大的分析功能和易于阅读的语法。 有关 Kusto 查询语言入门的详细信息，请参阅以下文章：

• Azure Monitor 文档
• Azure Monitor 中的 Log Analytics 入门
• Azure Monitor 中的日志查询入门
• 创建和共享 Log Analytics 数据的仪表板

下面的示例查询可用于通过域服务开始分析审核事件。

示例查询 1

查看过去 7 天的所有帐户锁定事件：

AADDomainServicesAccountManagement
| where TimeGenerated >= ago(7d)
| where OperationName has "4740"

示例查询 2

查看 2020 年 6 月 3 日上午 9 点至 2020 年 6 月 10 日午夜的所有帐户锁定事件 (4740)，按日期和时间升序排列：

AADDomainServicesAccountManagement
| where TimeGenerated >= datetime(2020-06-03 09:00) and TimeGenerated <= datetime(2020-06-10)
| where OperationName has "4740"
| sort by TimeGenerated asc

示例查询 3

查看名为 user 的帐户七天前（从现在算起）的登录事件：

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))

示例查询 4

查看尝试使用错误的密码登录的名为 user 的帐户七天前（从现在算起）的登录事件 (0xC0000006a)：

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc000006a" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

示例查询 5

查看在帐户锁定时尝试登录的名为 user 的帐户七天前（从现在算起）的登录事件 (0xC0000234)：

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "user" == tolower(extract("Logon Account:\t(.+[0-9A-Za-z])",1,tostring(ResultDescription)))
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))

示例查询 6

查看所有锁定用户七天前（从现在算起）发生的所有登录尝试的帐户登录事件数：

AADDomainServicesAccountLogon
| where TimeGenerated >= ago(7d)
| where "0xc0000234" == tolower(extract("Error Code:\t(.+[0-9A-Fa-f])",1,tostring(ResultDescription)))
| summarize count()

审核安全性和 DNS 事件类别

域服务安全和 DNS 审核与传统 AD DS 域控制器的传统审核一致。 在混合环境中，你可以重复使用现有审核模式，以便在分析事件时可以使用相同的逻辑。 根据要进行故障排除或分析的场景，需要定向不同的审核事件类别。

可以使用以下审核事件类别：

每个类别的事件 ID

域服务安全和 DNS 审核在特定操作触发可审核事件时记录以下事件 ID：

后续步骤

有关 Kusto 的特定信息，请参阅以下文章：

• Kusto 查询语言概述。
• 可帮助你熟悉查询基础知识的 Kusto 教程。
• 可帮助你了解查看数据的新方法的示例查询。
• 可帮助你优化查询以获得成功的 Kusto 最佳做法。