Ingestion des logs Microsoft 365 dans DataDog

Introduction

Aujourd’hui nous allons parler de DataDog et des logs Microsoft 365 !
DataDog est une plateforme SaaS. Plus qu’un outil de monitoring, Datadog permet d’avoir une corrélation entre métriques, traces et logs : c’est l’observabilité.

La plateforme DataDog permet “d’ingérer” des informations venant d’une multitude de ressources :

• D’applications
• De serveurs, de conteneurs, de fonctions
• De bases de données
• De services (Plus de 450, dont Microsoft 365)
• …

Une chose est évidente depuis quelques années : la prolifération d’outils et de services !

Nous avons besoin de « surveiller » pléthore de ses outils et services, pour diverses raisons : Performance, Sécurité, Conformité…

C’est là que DataDog entre en jeu. Il va rationnaliser et fournir une plateforme centralisée.

Intégration du service Microsoft 365 dans DataDog

Pour rappel, les logs Microsoft 365 forment une source d’informations capitales permettant de vérifier l’état de conformité des services, surveiller les applications, les fichiers, les connexions… Tout ce qui peut se passer sur nos tenants pour faire court.

Comme je le disais plus haut, DataDog peut « ingérer » les logs Microsoft 365. Et cela en quelques étapes seulement (Cela prend moins de 5 minutes). Nous pouvons ingérer des logs provenant de différents tenants.

Les tableaux de bords

Ingérer des logs c’est bien, les comprendre, c’est mieux.

Pour cela rien de plus adapté qu’un ou des tableaux de bords. Ils sont évidemment personnalisables dans DataDog,

Ici, un exemple d’informations intéressantes et facilement visualisables comme les fichiers qui sont le plus lus, les pays depuis lesquels nos utilisateurs se connectent ou encore le nombre de tentative de connexion qui ont échouées (un trop grand nombre est souvent synonyme d’attaque brute force).

C’est un bon point de départ pour identifier une anomalie.

Les Logs

Beaucoup plus « brut ». Ils permettent une analyse plus approfondie de ce qu’il se passe sur nos tenants Microsoft 365. Très pratique pour investiguer, aller vérifier une information dans une multitude de logs manuellement n’est évidemment pas pratique du tout et très chronophage. Donc nous procédons à l’activité préférée dans notre cœur de métier : L’automatisation. Et dans DataDog, cela s’appelle un « Monitor ».

Les Monitors

Lorsque nous identifions des anomalies, il est toujours intéressant d’être alerter en cas de récidive.

Les Monitors sont là pour ça. Ils nous permettent d’automatiser et déclencher une alerte lorsque qu’un log correspond à certaines conditions que nous décrivons.

Dans cet exemple, je suis assez radical, je définis une alerte dès qu’une action de ma part est référencée dans les logs.

Et devinez quoi ?

Les alertes et leurs résolutions peuvent être reçues directement dans Microsoft Teams !

Conclusion

C’est grâce à notre nouveau partenariat que j’ai eu la chance de tester cette solution. Ce n’est clairement pas le premier service de ce type que j’ai l’occasion de manipuler. J’ai trouvé l’intégration des logs extrêmement simple. Le filtrage des logs également avec les « facets ». L’intégration avec Microsoft Teams est un plus indéniable (c’est également faisable avec Slack).

Evidement l’intégration des logs Microsoft 365 est une infime partie de ce que nous pouvons adresser avec cet outil. Applications, Serveurs, Conteneurs, Fonctions sans serveurs, bases de données, les possibilités d’intégration sont assez impressionnantes.