Sdílet prostřednictvím

Správa předávání syslogu pro místní Azure

  • Článek

Platí pro: Azure Local, verze 23H2

Tento článek popisuje, jak nakonfigurovat události zabezpečení tak, aby se předávaly do systému siEM (Security Information and Event Management) spravovaného zákazníkem pomocí protokolu syslog pro Místní Azure verze 23H2.

Předávání syslog můžete použít k integraci s řešeními pro monitorování zabezpečení a k načtení relevantních protokolů událostí zabezpečení pro jejich uložení na vlastní platformě SIEM. Další informace o funkcích zabezpečení v této verzi najdete v tématu Funkce zabezpečení pro místní Azure verze 23H2.

Konfigurace předávání syslogu

Agenti předávání Syslog se ve výchozím nastavení nasazují na každého místního hostitele Azure, který je připravený ke konfiguraci. Každý z agentů bude předávat události zabezpečení ve formátu syslog z hostitele na server syslog nakonfigurovaný zákazníkem.

Agenti předávání Syslog pracují nezávisle na sobě, ale dají se spravovat společně na každém z hostitelů. K řízení chování všech agentů předávání použijte rutiny PowerShellu s oprávněními správce na jakémkoli hostiteli.

Služba předávání syslog v Azure Local podporuje následující konfigurace:

  • Předávání syslogu pomocí protokolu TCP, vzájemného ověřování (klienta a serveru) a šifrování TLS: V této konfiguraci server syslog i klient syslog ověřují identitu sebe navzájem prostřednictvím certifikátů. Zprávy se posílají přes šifrovaný kanál TLS. Další informace najdete v tématu Předávání syslog s protokolem TCP, vzájemné ověřování (klient a server) a šifrování TLS.

  • Předávání syslogu pomocí protokolu TCP, ověřování serveru a šifrování TLS: V této konfiguraci klient syslog ověřuje identitu serveru syslog prostřednictvím certifikátu. Zprávy se posílají přes šifrovaný kanál TLS. Další informace najdete v tématu Předávání Syslog s protokolem TCP, ověřováním serveru a šifrováním TLS.

  • Předávání Syslog s protokolem TCP a bez šifrování: V této konfiguraci se neověřují identity klienta syslogu a serveru syslog. Zprávy se posílají ve formátu prostého textu přes protokol TCP. Další informace naleznete v tématu Předávání syslog s protokolem TCP a bez šifrování.

  • Syslog s protokolem UDP a bez šifrování: V této konfiguraci se neověří identity klienta syslogu a serveru syslog. Zprávy se posílají ve formátu prostého textu přes UDP. Další informace najdete v tématu Předávání syslogu s protokolem UDP a bez šifrování.

    Důležité

    Microsoft důrazně doporučuje používat protokol TCP s ověřováním a šifrováním v produkčních prostředích, aby se chránily před útoky man-in-the-middle a odposloucháváním zpráv. Verze šifrování TLS závisí na metodě handshake mezi koncovými body. Protokoly TLS 1.2 i TLS 1.3 jsou ve výchozím nastavení podporované.

Rutiny pro konfiguraci předávání syslogu

Konfigurace služby předávání syslog vyžaduje přístup k fyzickému hostiteli pomocí účtu správce domény. Do všech místních hostitelů Azure byla přidána sada rutin PowerShellu pro řízení chování předávání syslogu.

Rutina Set-AzSSyslogForwarder slouží k nastavení konfigurace služby předávání syslog pro všechny hostitele. V případě úspěchu bude instance akčního plánu spuštěna, aby na všech hostitelích našly agenty služby předávání syslog. Vrátí se ID instance akčního plánu.

Pomocí následující rutiny předejte předávacímu serveru syslog informace a ke konfiguraci přenosového protokolu, šifrování, ověřování a volitelného certifikátu použitého mezi klientem a serverem:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Parametry rutiny

Následující tabulka obsahuje parametry pro rutinu Set-AzSSyslogForwarder :

Parametr Popis Typ Požaduje se
ServerName Plně kvalifikovaný název domény nebo IP adresa serveru syslog. String Ano
ServerPort Číslo portu, na které server syslog naslouchá. UInt16 Ano
NoEncryption Vynuťte, aby klient odesílal zprávy syslogu ve formátu prostého textu. Příznak No
SkipServerCertificateCheck Během počátečního handshake protokolu TLS přeskočte ověření certifikátu poskytovaného serverem syslog. Příznak No
SkipServerCNCheck Během počátečního metody handshake protokolu TLS přeskočte ověření hodnoty běžného názvu certifikátu poskytovaného serverem syslog. Příznak No
UseUDP Jako přenosový protokol použijte syslog s protokolem UDP. Příznak No
ClientCertificateThumbprint Kryptografický otisk klientského certifikátu používaného ke komunikaci se serverem syslog. Řetězcové No
OutputSeverity Úroveň protokolování výstupu Hodnoty jsou výchozí nebo podrobné. Výchozí hodnota zahrnuje úrovně závažnosti: upozornění, kritické nebo chybové. Podrobné zahrnuje všechny úrovně závažnosti: podrobné, informativní, upozornění, kritické nebo chybové. Řetězcové No
Odebrat Odeberte aktuální konfiguraci služby předávání syslog a zastavte nástroj pro předávání syslog. Příznak No

Předávání syslogu s protokolem TCP, vzájemným ověřováním (klientem a serverem) a šifrováním TLS

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes protokol TCP s šifrováním TLS. Během počáteční metody handshake klient ověří, že server poskytuje platný důvěryhodný certifikát. Klient také poskytuje serveru certifikát jako doklad o jeho identitě.

Tato konfigurace je nejbezpečnější, protože poskytuje úplné ověření identity klienta i serveru a odesílá zprávy přes šifrovaný kanál.

Důležité

Společnost Microsoft doporučuje použít tuto konfiguraci pro produkční prostředí.

Chcete-li nakonfigurovat předávání syslog pomocí protokolu TCP, vzájemného ověřování a šifrování TLS, nakonfigurujte server a poskytněte klientovi certifikát pro ověření na serveru.

Spusťte na fyzickém hostiteli následující rutinu:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Důležité

Klientský certifikát musí obsahovat privátní klíč. Pokud je klientský certifikát podepsaný pomocí kořenového certifikátu podepsaného svým držitelem, musíte také importovat kořenový certifikát.

Předávání syslogu s využitím protokolu TCP, ověřování serveru a šifrování TLS

V této konfiguraci přeposílání syslogu v Azure Local předává zprávy na server syslog přes protokol TCP s šifrováním TLS. Během počáteční metody handshake klient také ověří, že server poskytuje platný důvěryhodný certifikát.

Tato konfigurace brání klientovi v odesílání zpráv do nedůvěryhodných cílů. Protokol TCP využívající ověřování a šifrování je výchozí konfigurace a představuje minimální úroveň zabezpečení, kterou Microsoft doporučuje pro produkční prostředí.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Pokud chcete otestovat integraci serveru syslog s místním předáváním Syslog Azure pomocí certifikátu podepsaného svým držitelem nebo nedůvěryhodným certifikátem, pomocí těchto příznaků přeskočte ověření serveru provedeného klientem během počáteční metody handshake.

  1. Přeskočte ověření hodnoty Common Name v certifikátu serveru. Tento příznak použijte, pokud pro server syslog zadáte IP adresu.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Přeskočte ověření certifikátu serveru.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Důležité

    Microsoft doporučuje, abyste příznak nepoužít -SkipServerCertificateCheck v produkčních prostředích.

Předávání syslogu s protokolem TCP a bez šifrování

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes protokol TCP bez šifrování. Klient neověřuje identitu serveru ani neposkytuje vlastní identitu serveru k ověření.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Důležité

Společnost Microsoft doporučuje, abyste tuto konfiguraci nepoužíli v produkčních prostředích.

Předávání syslogu s protokolem UDP a bez šifrování

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes UDP bez šifrování. Klient neověřuje identitu serveru ani neposkytuje vlastní identitu serveru k ověření.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

I když je nejjednodušší nakonfigurovat udp bez šifrování, neposkytuje žádnou ochranu proti útokům typu man-in-the-middle ani odposlouchávání zpráv.

Důležité

Společnost Microsoft doporučuje, abyste tuto konfiguraci nepoužíli v produkčních prostředích.

Povolení předávání syslogu

Spuštěním následující rutiny povolte předávání syslogu:

Enable-AzSSyslogForwarder [-Force]

Služba předávání Syslog bude povolena s uloženou konfigurací poskytovanou posledním úspěšným Set-AzSSyslogForwarder voláním. Pokud nebyla zadána žádná konfigurace, rutina selže.Set-AzSSyslogForwarder

Zakázání předávání syslogu

Spuštěním následující rutiny zakažte předávání syslogu:

Disable-AzSSyslogForwarder [-Force]

Parametr pro Enable-AzSSyslogForwarder a Disable-AzSSyslogForwarder rutiny:

Parametr Popis Typ Požaduje se
Force Pokud je zadáno, akční plán se vždy aktivuje i v případě, že je cílový stav stejný jako aktuální. To může být užitečné při resetování změn mimo pásmo. Příznak No

Ověření nastavení syslogu

Po úspěšném připojení klienta syslog k serveru syslog začnete dostávat oznámení o událostech. Pokud se vám nezobrazují oznámení, spuštěním následující rutiny ověřte konfiguraci služby předávání syslog vašeho clusteru:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Každý hostitel má vlastního agenta pro předávání syslog, který používá místní kopii konfigurace clusteru. Vždy se očekává, že budou stejné jako konfigurace clusteru. Aktuální konfiguraci na každém hostiteli můžete ověřit pomocí následující rutiny:

Get-AzSSyslogForwarder -PerNode

K ověření konfigurace na hostiteli, ke kterému jste připojení, můžete použít také následující rutinu:

Get-AzSSyslogForwarder -Local

Parametry rutiny pro rutinu Get-AzSSyslogForwarder :

Parametr Popis Typ Požaduje se
Místní Umožňuje zobrazit aktuálně použitou konfiguraci na aktuálním hostiteli. Příznak No
PerNode Zobrazit aktuálně použitou konfiguraci na každém hostiteli Příznak No
Cluster Umožňuje zobrazit aktuální globální konfiguraci v místním prostředí Azure. Toto je výchozí chování, pokud není zadaný žádný parametr. Příznak No

Odebrání předávání syslogu

Spuštěním následujícího příkazu odeberte konfiguraci nástroje předávání syslog a zastavte předávání syslog:

Set-AzSSyslogForwarder -Remove

Referenční informace ke schématu zpráv a protokolu událostí

Následující referenční materiály dokumenty syslog schéma zpráv a definice událostí.

Služba předávání syslog místní infrastruktury Azure odesílá zprávy formátované podle protokolu syslogu BSD definovaného v RFC3164. CEF se také používá k formátování datové části zprávy syslogu.

Každá zpráva syslogu je strukturovaná na základě tohoto schématu: Priorita (PRI) | Čas | Hostitel | Datová část CEF |

Část PRI obsahuje dvě hodnoty: zařízení a závažnost. Oba závisí na typu zprávy, jako je událost systému Windows atd.

Další kroky

Přečtěte si další informace: