Conceito e funcionamento
Eventos de auditoria do Entra podem registrar alterações de propriedades, concessão de papéis e modificações de aplicações. A semântica depende do tipo de operação; actor, target e resultados precisam ser diferenciados. Alguns eventos são assíncronos, e os registros disponíveis dependem da retenção e configuração de acesso.
Como investigar e correlacionar
Correlacione atividade, alvo, ator, horário, tenant, correlation ID e justificativa operacional. Em mudanças de privilégios, verifique estado anterior e posterior quando disponível. Cruze com sign-ins e alterações de app registrations para identificar se a permissão foi utilizada e por qual contexto.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma aplicação recebe privilégio adicional pouco antes de um login de serviço, sem indicação inicial de aprovação.
Procedimento orientado
Correlacione ator da concessão, alvo, tenant, permission scope e atividade posterior no mesmo período com logs de autenticação.
Resultado esperado
O parecer indica alteração confirmada, nível de privilégio e quem deve autorizar eventual revogação, incluindo dependências do serviço.
Cuidados adicionais
A concessão de permissão não demonstra seu uso; muitas ações posteriores ocorrem em fontes separadas.
Limitações e interpretações incorretas
Uma concessão de papel não demonstra abuso. Contas de sincronização e administradores delegados podem efetuar mudanças esperadas. A ausência de log não elimina ação quando a fonte está fora do escopo de retenção ou auditoria.
Checklist de validação
- Identificar ator e target distintos
- Confirmar alteração efetiva
- Relacionar change request
- Revisar atividade subsequente
Referências técnicas
Guias para aprofundar
- auditoria identidades cloud — aguardando publicação editorial