Přehled
kolik přihlášení, jaká úspěšnost, kolik účtů bez MFA.
Proč vznikla
Logy v Entra ID se drží jen omezenou dobu, a když se auditor zeptá, co se dělo před půl rokem, portál na to neodpoví. Logy se proto sbírají do Log Analytics s vlastní retencí a nad nimi běží aplikace, ve které se dá hledat bez psaní dotazů v KQL.
Co v ní je
osm sekcí, každá odpovídá na jinou otázku:
Přihlášení
detail interaktivních přihlášení podle filtru.
Bezpečnost
opakovaná neúspěšná přihlášení podle účtu a IP.
Převzetí účtu
signály, že se někdo přihlásil úspěšně, a nemělo se to stát.
Audit změn
kdo změnil oprávnění, role a nastavení.
Hygiena účtů
podklad pro kvartální přezkum — neaktivní účty, privilegované účty.
Servisní účty
aplikace a service principals, na které se při přezkumu zapomíná.
Provoz
zdraví sběru, objem dat a odhad nákladu.
Proč je to udělané takhle
Prázdná tabulka není totéž co žádný problém
Aplikace u každého pohledu říká, jestli prázdno znamená žádaný stav, nebo chybějící důkaz. Dokud sběr neběží dost dlouho, pohledy počítající proti třicetidennímu prahu otevřeně hlásí, že zatím nemohou nic vrátit — místo aby vrátily prázdnou tabulku, která vypadá jako dobrá zpráva.
Převzatý účet se v logu neprojeví jako chyba
Útočník s ukradeným tokenem žádné selhání nevyrobí; v logu vypadá jako běžný pracovní den. Pohledy v této sekci proto neměří shodu s pevnou hodnotou, ale odchylku od vlastní historie účtu — třeba jednu session, která se přihlašuje z několika sítí a zemí zároveň.
Přístup k datům řídí bezpečnostní skupina, ne aplikace
Kdo v ní není, dostane místo dat vysvětlení, že jde o oprávnění, ne o chybu, a pokyn napsat IT — účet si nikdo nepřidává sám.
Logy nejsou nástroj kontroly lidí
Aplikace to má napsané na prvním místě, kam se uživatel podívá: záznamy slouží k bezpečnostnímu monitoringu a auditnímu důkazu, ne ke kontrole pracovní výkonnosti ani docházky.
K čemu je to dobré
auditní stopa pro ISO/IEC 27001 a ISO 9001, podklad pro kvartální přezkum přístupů, a odpověď na otázku „kdo, kdy, odkud a čím" dřív, než se na ni někdo zeptá.
Klepnutím se snímek zvětší. Údaje na snímcích jsou anonymizované.