감사 이벤트를 SIEM으로 스트리밍

수신 대상 연결

소유자 또는 관리자로 조직 → 연결된 서비스 → SIEM을 엽니다. 이름, 공개 HTTPS 수신 URL, 토큰을 추가합니다. 일반 HTTPS에는 JSON 배열 또는 NDJSON을 선택합니다. Splunk에는 HEC 토큰과 /services/collector/event로 끝나는 이벤트 엔드포인트를 사용합니다. 대상을 저장하고 전달을 테스트한 후, 테스트가 수락되면 스트리밍을 활성화합니다.

이벤트 이해하기

스트림은 테넌트 거버넌스 감사 저널에 커밋된 각 이벤트를 보냅니다. 여기에는 저널에 기록된 판단, 실행 결과, 관리 이벤트가 포함됩니다. 식별자와 감사 메타데이터를 포함하며 수집된 메시지, 원시 인수, 자격 증명은 포함하지 않습니다. 권한이 철회된 사용자의 이력도 계속 표시됩니다. 별도의 제공업체 및 컨트롤 플레인 감사 저널은 자동으로 포함되지 않습니다.

전달 모니터링

대기, 수락, 실패, 만료 건수와 할당된 가장 오래된 대기 이벤트, 마지막 수락 시점을 확인합니다. 일시적인 실패는 이벤트 발생 시점부터 7일간 재시도됩니다. 자격 증명이 유효하지 않으면 전달이 일시 중지됩니다. 누락을 조사할 수 있도록 최종 상태의 전달 기록과 건수는 할당 또는 재전송 시점부터 30일간 보존됩니다. 원본 감사 저널에는 별도의 보존 정책이 적용됩니다.

일시 중지, 자격 증명 교체, 재전송

일시 중지해도 복구 기간 내 작업은 보존됩니다. 자격 증명을 교체하면 새 토큰이 테스트를 통과할 때까지 스트리밍이 중지됩니다. '복구 및 자격 증명'에서 UTC 구간을 지정해 보존된 감사 이벤트의 재전송을 요청하세요. 재전송은 원본 이벤트 ID를 유지하므로 이미 수신한 이벤트가 중복될 수 있습니다. 일시 중지 전에 보낸 요청은 이후에 완료될 수 있습니다.