Потоковая передача событий аудита в SIEM
Настройте получатель HTTPS или Splunk HEC и проверьте доставку и восстановление.
Подключите получатель
Откройте «Организация → Подключенные услуги → SIEM» с правами владельца или администратора. Добавьте имя, публичный HTTPS URL получателя и токен. Для обычного HTTPS выберите массив JSON или NDJSON. Для Splunk используйте токен HEC и конечную точку событий с окончанием /services/collector/event. Сохраните назначение, проверьте доставку и включите потоковую передачу после принятия теста.
Разберитесь в составе событий
Поток отправляет каждое зафиксированное событие журнала аудита управления арендатора, включая записанные там решения, результаты выполнения и административные события. Он содержит идентификаторы и метаданные аудита, без перехваченных сообщений, исходных аргументов или учётных данных. История пользователей с отозванными правами остаётся видимой. Отдельные журналы аудита провайдеров и плоскости управления автоматически не включаются.
Следите за доставкой
Проверяйте количество ожидающих, принятых, неудачных и просроченных событий, самое старое назначенное ожидающее событие и последнее принятие. При временных сбоях попытки повторяются семь дней с момента события. Недействительные учётные данные приостанавливают доставку. Записи и счётчики доставок в конечных состояниях хранятся тридцать дней с назначения или повтора для расследования пропусков. У исходного журнала аудита отдельная политика хранения.
Приостановка, смена учётных данных и повторная отправка
Приостановка сохраняет работу в пределах окна восстановления. Смена учётных данных приостанавливает поток, пока новый токен не пройдёт тест. В разделе «Восстановление и учётные данные» запросите повторную отправку сохранённых событий за интервал UTC. Исходные ID событий сохраняются, поэтому возможны дубликаты уже полученных событий. Отправленные ранее запросы могут завершиться после приостановки.
Устранение неполадок
Доставка приостановлена или не продвигается
Проверьте количество ошибок и ожидающих событий назначения. Если учётные данные недействительны, смените токен, проверьте его и снова включите потоковую передачу. При временных сбоях проверьте доступность получателя. Повторите отправку сохранённых событий для восстановления неудачных или просроченных доставок.
Часто задаваемые вопросы
Включает ли поток события, возникшие до его включения?
При первом включении передача начинается с новых событий аудита. Для отправки старых событий запросите повтор за сохранённый интервал UTC. ID событий сохраняются, поэтому получатели должны обрабатывать дубликаты.