Le problème.
Sentinel coûte cher à l'ingestion. Je voulais une alternative pour la recherche et les tableaux de bord SOC sur les journaux Entra ID, et des détections Microsoft 365 réutilisables dans un SIEM open source.
Ce que j'ai construit.
01
Splunk
- Paramètres de diagnostic Entra ID vers Event Hub, ingestion par l'add-on Microsoft Cloud Services, index dédié, tableaux de bord SOC.
- Collecteurs d'inventaire Microsoft Graph et import des alertes et incidents Defender.
02
Wazuh
- Tableaux de bord et détections Microsoft 365 : connexions, MFA, accès privilégiés, transferts de mails, DLP, partages Teams et OneDrive, invités, activité SharePoint et OneDrive admin.
L' architecture.
Entra IDdiagnostic settings
Event HubAzure
Splunkindex entra
Wazuhdétections M365
Tableaux de bord SOC
Sécurité & garde-fous.
- Stack locale en conteneurs, secrets hors du dépôt.
Les résultats.
- Deux chaînes de collecte fonctionnelles et des détections prêtes à importer.
