Azure Monitor

Définition

Azure Monitor est la plateforme centralisée de monitoring et d'observabilité de Microsoft Azure, collectant et analysant les métriques, les logs, et les traces des ressources Azure, des applications et des infrastructures on-premises. Pour la sécurité, Azure Monitor est le socle sur lequel reposent la détection d'anomalies, les alertes de sécurité, et la forensique dans les environnements Azure. Azure Monitor collecte des données via plusieurs sources : les métriques de plateforme (automatiquement collectées pour toutes les ressources Azure), les journaux de ressources (Diagnostic Logs nécessitant une configuration), les journaux d'activité Azure (Activity Log - opérations sur les ressources Azure, équivalent de CloudTrail AWS), les journaux Azure AD (connexions, audits), et les données des agents sur les VMs (Azure Monitor Agent remplace le Log Analytics Agent). Le composant central d'Azure Monitor pour la sécurité est Log Analytics Workspace : une base de données de logs hébergée dans Azure, interrogeable via le langage KQL (Kusto Query Language). Toutes les sources de logs (Activity Log, Diagnostic Logs, VMs, Microsoft Defender for Cloud, Microsoft Sentinel) peuvent converger vers un ou plusieurs workspaces Log Analytics pour une analyse centralisée. KQL (Kusto Query Language) est le langage de requête de Log Analytics, conçu pour analyser de grands volumes de logs avec des opérateurs comme where, summarize, join, project, extend, and render. Sa maîtrise est essentielle pour les analystes sécurité travaillant dans des environnements Azure : création de requêtes de hunting, développement de règles de détection Sentinel, et investigation forensique. Les Workbooks Azure Monitor permettent de créer des tableaux de bord interactifs de sécurité (disponibilité, tendances d'alertes, posture de conformité) partageables avec les équipes. Microsoft propose des Workbooks prédéfinis pour les cas d'usage sécurité communs.