Azure Activity Log Forensics

Définition

La forensique Azure Activity Log analyse les journaux d'activité de la plateforme cloud Microsoft Azure pour les investigations d'incidents dans les environnements cloud hybrides. Azure Activity Log (anciennement Azure Audit Log) est le journal de contrôle de plan de gestion Azure : il enregistre toutes les opérations effectuées sur les ressources Azure (création, modification, suppression), les changements de configuration, les authentifications, et les événements de sécurité au niveau abonnement. Azure Activity Log enregistre les opérations Azure Resource Manager (ARM) : CreateOrUpdate (création ou modification de ressource), Delete (suppression), Action (action spécifique sur une ressource), et ListKeys (listage des clés d'accès d'un service comme un Storage Account). Chaque entrée de log inclut : l'horodatage, l'opération effectuée (resourceProviderName, operationName), l'identité de l'acteur (principal name, object ID, type : user, service principal, managed identity), le scope (abonnement, groupe de ressources, ressource), et le résultat (Success, Failed). Les scénarios forensiques Azure Activity Log incluent : la détection de modifications non autorisées de ressources (un Storage Account rendu public, un Network Security Group avec règle ouverte ajoutée), l'identification d'une élévation de privilèges (ajout d'un utilisateur au rôle Owner ou Contributor), la détection d'une exfiltration via Azure Storage (ListKeys suivi d'un téléchargement massif depuis un compte de stockage), et l'analyse de la persistance (création d'un nouveau Service Principal avec des permissions élevées). Les diagnostics avancés d'Azure incluent Microsoft Entra ID (anciennement Azure AD) Sign-in Logs et Audit Logs pour les authentifications et modifications de l'annuaire, Azure Resource Graph pour les requêtes multi-ressources, et Microsoft Defender for Cloud pour les alertes de sécurité. La convergence de ces sources dans Microsoft Sentinel (SIEM natif Azure) permet des investigations forensiques cloud complètes. La rétention par défaut des Activity Logs est de 90 jours, configurables jusqu'à 2 ans avec une politique de diagnostic redirigée vers un Log Analytics Workspace ou un Azure Storage Account.