Microsoft Entra ID — User Guide

Overview

Pack cung cấp giám sát bảo mật Microsoft Entra ID (Azure Active Directory) trên SecOps platform, bao gồm:

• 2 pull connector qua Microsoft Graph API
  • entraid-log — thu thập sign-in logs + directory audit logs (collection)
  • entraid-entity — đồng bộ user & device làm dữ liệu enrichment
• Transformation — chuẩn hóa 2 luồng log (sign-in + directory audit) sang ECS, kèm block #enrichment bổ sung thông tin user từ entity store
• 8 streaming rules — sign-in failure, tạo/xóa user, thao tác directory thất bại, thay đổi admin role, thêm credential cho service principal, sửa Conditional Access policy, thêm federated domain
• 5 correlation rules — brute force, password spray, impossible travel, bulk user deletion, brute force rồi đăng nhập thành công
• 1 dashboard — 12 chart giám sát SOC authentication và directory operations

Yêu cầu trước khi cài đặt

Connector dùng OAuth2 client credentials flow tới https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token với scope https://graph.microsoft.com/.default. Không cần Event Hub, Log Analytics hay log shipper ngoài.

Cài đặt

1. Vào Marketplace → tìm "Microsoft Entra ID" → Install
2. Vào Data Collection → Data Connectors → Add Connection → chọn connector type entraid-log → điền cấu hình → Test Connection → Save
3. (Tùy chọn, khuyến nghị) Thêm log source thứ hai với connector type entraid-entity để bật enrichment user/device
4. Kiểm tra Transformations → entra-id-parser đang active
5. Kiểm tra Detection Rules → filter tag entra_id → 13 rules đang enabled
6. Mở Dashboards → Entra ID Security Overview

Cấu hình entraid-log (collection)

Cấu hình entraid-entity (enrichment)

Khi đẩy cấu hình qua API, kiểu dữ liệu phải khớp chính xác: tenant_id / client_id / client_secret là chuỗi có nháy, time_interval / lookback_hours là số không nháy.

Cách connector hoạt động

entraid-log — sign-in & directory audit

• Phân trang theo @odata.nextLink cho tới hết
• idem_key = {instance_id}:signin:{id} / {instance_id}:directoryaudit:{id} → không nhân bản event
• Watermark chỉ được đẩy sau khi yield hết cả 2 luồng, lấy giá trị timestamp lớn nhất quan sát được

entraid-entity — user & device

Header ConsistencyLevel: eventual được set sẵn để hỗ trợ advanced query của Graph. Đây là connector data_kind = enrichment → đồng bộ lại toàn bộ mỗi chu kỳ, không dùng watermark.

Field user đồng bộ: id, displayName, givenName, surname, userPrincipalName, userType, mail, otherMails, mailNickname, businessPhones, mobilePhone, jobTitle, department, officeLocation, accountEnabled, usageLocation, passwordPolicies, signInSessionsValidFromDateTime, createdDateTime, lastPasswordChangeDateTime.

Field device đồng bộ: id, deviceId, displayName, operatingSystem, operatingSystemVersion, deviceVersion, trustType, profileType, accountEnabled, approximateLastSignInDateTime, registrationDateTime.

Định dạng log

Pack có 2 transformation cho 2 con đường thu thập khác nhau — chọn nhầm sẽ khiến toàn bộ field trống.

Ví dụ log hợp lệ (đường shipper ngoài — dùng _source)

Sign-in thành công:

{"_source":"entra_id_signin","id":"a1b2c3d4-0000-1111-2222-333344445555","timestamp":"2026-01-15T07:20:01.305Z","isInteractive":true,"conditionalAccessStatus":"success","userPrincipalName":"user@example.com","userDisplayName":"Nguyen Van A","userId":"aaaabbbb-cccc-dddd-eeee-ffffgggghhhh","ipAddress":"203.0.113.42","appDisplayName":"Microsoft Azure Portal","clientAppUsed":"Browser","resourceDisplayName":"Windows Azure Service Management API","riskState":"none","location":{"countryOrRegion":"VN","city":"Hanoi"},"deviceDetail":{"operatingSystem":"Windows 10","browser":"Edge 120.0","isCompliant":true,"isManaged":true},"status":{"errorCode":0}}

Sign-in thất bại:

{"_source":"entra_id_signin","id":"b2c3d4e5-1111-2222-3333-444455556666","timestamp":"2026-01-15T07:21:00.000Z","isInteractive":true,"conditionalAccessStatus":"failure","userPrincipalName":"admin@example.com","ipAddress":"198.51.100.22","appDisplayName":"Microsoft Azure Portal","location":{"countryOrRegion":"RU"},"status":{"errorCode":50126,"failureReason":"Invalid username or password"}}

Directory audit — xóa user:

{"_source":"entra_id_directoryaudit","id":"Directory_ABCD1234","timestamp":"2026-01-15T07:30:00.000Z","activityDateTime":"2026-01-15T07:30:00.123456Z","activityDisplayName":"Delete user","category":"UserManagement","operationType":"Delete","loggedByService":"Core Directory","correlationId":"corr-uuid-1234","result":"success","initiatedBy":{"user":{"id":"admin-uuid","userPrincipalName":"admin@example.com"}},"targetResources":[{"id":"victim-uuid","userPrincipalName":"victim@example.com","type":"User"}]}

⚠️ Cả 2 transformation đều lấy timestamp cuối cùng từ field .timestamp ở cấp gốc với format cố định %Y-%m-%dT%H:%M:%S.%3fZ (đúng 3 chữ số millisecond). Log thiếu field này hoặc sai độ chính xác sẽ bị drop toàn bộ event.

Transformation — Các trường ECS chính

Context bổ sung trong labels (hiển thị/triage, không dùng để viết rule): log_type (transformation connector) / log_source (transformation root), correlation_id, conditional_access_status, is_interactive, client_app_used, resource_name, risk_state, risk_level, device_id, device_is_compliant, device_is_managed, geo_city, geo_state, geo_lat, geo_lon, mfa_detail, initiator_type, initiator_id, initiator_name, target_id, target_upn, target_type, operation_type, logged_by_service, audit_category.

Enrichment tự động (chỉ transformation của connector entraid-log)

Transformation đi kèm connector có thêm block #enrichment — tra cứu entity store bằng user.email rồi bổ sung:

Vì user.name đến từ enrichment, nếu chưa cấu hình connector entraid-entity thì field này sẽ trống trên đường connector. Ở transformation root (shipper ngoài), user.name được gán bằng chính UPN.

Detection Rules

Streaming Rules (8 rules — real-time)

Rule 8 là kịch bản Golden SAML / domain federation backdoor — kẻ tấn công thêm federated domain để tự phát hành token hợp lệ. Ưu tiên xử lý cao nhất trong pack.

Correlation Rules (5 rules — pattern)

Rule 9 và 10 khác nhau ở chiều rộng: rule 9 bắt tấn công dồn vào ít tài khoản, rule 10 bắt tấn công rải mỏng trên nhiều tài khoản để né lockout. Rule 13 là tín hiệu mạnh nhất — có dấu hiệu đã chiếm được tài khoản.

Dashboard — Entra ID Security Overview

SOC Triage nhanh:

1. Metric 3 tăng đột biến → so với Chart 8: một IP chiếm đa số = brute force; rải đều nhiều IP = password spray phân tán
2. Alert rule 13 → coi như tài khoản đã bị chiếm: reset credential, thu hồi refresh token, kiểm tra rule 5–7 trong cùng khung giờ
3. Alert rule 7 hoặc 8 → xử lý ngay bất kể giờ: kẻ tấn công đang gỡ hàng rào xác thực
4. Chart 10 + Table 12 → xác nhận thao tác directory bất thường (tạo app, gán role, xóa user)
5. Chart 4 so với Chart 2 → tỷ lệ user thành công thấp bất thường = dấu hiệu chiến dịch credential stuffing đang chạy

Troubleshooting

Checklist sau khi cài:

• App Registration có AuditLog.Read.All + Directory.Read.All (và User.Read.All + Device.Read.All nếu dùng entity), đã grant admin consent
• Log source entraid-log Test Connection thành công
• Log source entraid-entity đã tạo (nếu cần enrichment user)
• entra-id-parser.yaml đang active trong Transformations
• 13 rules hiển thị trong Detection Rules với tag entra_id
• Dashboard Entra ID Security Overview có dữ liệu sau 1–2 chu kỳ poll

Hỗ trợ

• Lỗi platform/Góp ý pack: Dùng tính năng feedback trên trang Marketplace

Last updated: 2026-10-16 · Vendor: Microsoft · Author: secops-team