Sdílet prostřednictvím

Správa předávání syslogu pro lokální Azure

  • Článek

Platí pro: Azure Local 2311.2 a novější

Tento článek popisuje, jak nakonfigurovat události zabezpečení, které se mají předávat do systému siEM (Security Information and Event Management) spravovaného zákazníkem pomocí protokolu syslog pro Azure Local.

Předávání syslog můžete použít k integraci s řešeními pro monitorování zabezpečení a k načtení relevantních protokolů událostí zabezpečení pro jejich uložení na vlastní platformě SIEM. Další informace o funkcích zabezpečení v této verzi najdete v tématu Funkce zabezpečení promístní Azure.

Nakonfigurujte předávání syslogu

Agenti předávání Syslog se ve výchozím nastavení nasazují na každého místního hostitele Azure, který je připravený ke konfiguraci. Každý agent předává události zabezpečení ve formátu syslogu z hostitele na server syslog nakonfigurovaný zákazníkem.

Agenti pro předávání Syslog pracují nezávisle na sobě, ale lze je spravovat společně na kterémkoli z hostitelů. K řízení chování všech agentů předávání použijte rutiny PowerShellu s oprávněními správce na jakémkoli hostiteli.

Služba předávání syslog v Azure Local podporuje následující konfigurace:

  • Předávání syslogu pomocí protokolu TCP, vzájemného ověřování (klienta a serveru) a šifrování TLS: V této konfiguraci server syslog i klient syslog ověřují identitu sebe navzájem prostřednictvím certifikátů. Zprávy se posílají přes šifrovaný kanál TLS. Další informace najdete v tématu Předávání syslog s protokolem TCP, vzájemné ověřování (klient a server) a šifrování TLS.

  • Předávání syslogu pomocí protokolu TCP, ověřování serveru a šifrování TLS: V této konfiguraci klient syslog ověřuje identitu serveru syslog prostřednictvím certifikátu. Zprávy se posílají přes šifrovaný kanál TLS. Další informace najdete v tématu Předávání Syslog s protokolem TCP, ověřováním serveru a šifrováním TLS.

  • Předávání Syslog s protokolem TCP a bez šifrování: V této konfiguraci se neověřují identity klienta syslogu a serveru syslog. Zprávy se posílají ve formátu prostého textu přes protokol TCP. Další informace naleznete v tématu Předávání syslog s protokolem TCP a bez šifrování.

  • Syslog s protokolem UDP a bez šifrování: V této konfiguraci se neověří identity klienta syslogu a serveru syslog. Zprávy se posílají ve formátu prostého textu přes UDP. Další informace najdete v tématu Předávání syslogu s protokolem UDP a bez šifrování.

    Důležité

    Microsoft důrazně doporučuje používat protokol TCP s ověřováním a šifrováním v produkčních prostředích, aby se chránily před útoky man-in-the-middle a odposloucháváním zpráv. Verze šifrování TLS závisí na metodě handshake mezi koncovými body. Protokoly TLS 1.2 i TLS 1.3 jsou ve výchozím nastavení podporované.

Rutiny pro konfiguraci předávání syslogu

Konfigurace služby předávání syslog vyžaduje přístup k fyzickému hostiteli pomocí účtu správce domény. Do všech místních hostitelů Azure se přidá sada rutin PowerShellu pro řízení chování služby předávání syslog.

Cmdlet Set-AzSSyslogForwarder slouží k nastavení konfigurace služby předávání syslog pro všechny hostitele. V případě úspěchu se spustí instance akčního plánu pro konfiguraci agentů služby předávání syslog napříč všemi hostiteli. Vrátí se ID instance akčního plánu.

Použijte následující cmdlet k předání informací o syslog serveru předávači a k nastavení přenosového protokolu, šifrování, ověřování a případného certifikátu použitého mezi klientem a serverem:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Parametry cmdletu

Následující tabulka obsahuje parametry pro rutinu Set-AzSSyslogForwarder :

Parametr Popis Typ Požaduje se
NázevServeru Plně kvalifikovaný název domény nebo IP adresa serveru syslog. řetězec Ano
ServerPort Číslo portu, na které server syslog naslouchá. UInt16 Ano
NoEncryption Vynuťte, aby klient odesílal zprávy syslogu ve formátu prostého textu. Vlajka Ne
PřeskočitKontroluCertifikátuServeru Během počátečního handshake protokolu TLS přeskočte ověření certifikátu poskytovaného serverem syslog. Vlajka Ne
SkipServerCNCheck Během počátečního handshake protokolu TLS přeskočte ověření hodnoty Common Name certifikátu poskytovaného serverem syslog. Vlajka Ne
Použijte UDP Jako přenosový protokol použijte syslog s protokolem UDP. Vlajka Ne
Otisk klientského certifikátu Kryptografický otisk klientského certifikátu používaného ke komunikaci se serverem syslog. řetězec Ne
OutputSeverity Úroveň protokolování výstupu Hodnoty jsou výchozí nebo podrobné. Výchozí hodnota zahrnuje úrovně závažnosti: upozornění, kritické nebo chybové. Podrobné zahrnuje všechny úrovně závažnosti: podrobné, informativní, upozornění, kritické nebo chybové. Řetězec Ne
Odebrat Odeberte aktuální konfiguraci nástroje pro předávání syslog a zastavte jeho činnost. Vlajka Ne

Předávání syslogu s protokolem TCP, vzájemným ověřováním (klientem a serverem) a šifrováním TLS

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes protokol TCP s šifrováním TLS. Během počáteční handshake ověří klient, že server poskytuje platný důvěryhodný certifikát. Klient také poskytuje serveru certifikát jako doklad o jeho identitě.

Tato konfigurace je nejbezpečnější, protože poskytuje úplné ověření identity klienta i serveru a odesílá zprávy přes šifrovaný kanál.

Důležité

Společnost Microsoft doporučuje použít tuto konfiguraci pro produkční prostředí.

Chcete-li nakonfigurovat předávání syslog pomocí protokolu TCP, vzájemného ověřování a šifrování TLS, nakonfigurujte server a poskytněte klientovi certifikát pro ověření na serveru.

Spusťte na fyzickém hostiteli následující cmdlet:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Důležité

Klientský certifikát musí obsahovat privátní klíč. Pokud je klientský certifikát podepsaný pomocí kořenového certifikátu podepsaného svým držitelem, musíte také importovat kořenový certifikát.

Předávání syslogu s využitím protokolu TCP, ověřování serveru a šifrování TLS

V této konfiguraci přeposílač syslogu v Azure Local přeposílá syslogové zprávy na server syslog přes TCP s TLS šifrováním. Během počátečního handshake klient také ověří, že server poskytuje platný a důvěryhodný certifikát.

Tato konfigurace brání klientovi v odesílání zpráv do nedůvěryhodných cílů. Protokol TCP využívající ověřování a šifrování je výchozí konfigurace a představuje minimální úroveň zabezpečení, kterou Microsoft doporučuje pro produkční prostředí.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Pokud chcete otestovat integraci serveru syslog s místním předávačem syslogu Azure pomocí samosignedovaného nebo nedůvěryhodného certifikátu, použijte tyto příznaky k přeskočení ověření serveru prováděného klientem během počátečního handshake.

  1. Přeskočte ověření hodnoty Common Name v certifikátu serveru. Tento příznak použijte, pokud pro server syslog zadáte IP adresu.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Přeskočte ověření certifikátu serveru.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Důležité

    Microsoft doporučuje, abyste v produkčních prostředích nepoužívali příznak -SkipServerCertificateCheck.

Předávání syslogu s protokolem TCP a bez šifrování

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes protokol TCP bez šifrování. Klient neověřuje identitu serveru ani neposkytuje vlastní identitu serveru k ověření.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Důležité

Microsoft doporučuje, abyste tuto konfiguraci nepoužívejte v produkčních prostředích.

Předávání syslogu s protokolem UDP a bez šifrování

V této konfiguraci klient syslogu v Azure Local předává zprávy na server syslog přes UDP bez šifrování. Klient neověřuje identitu serveru ani neposkytuje vlastní identitu serveru k ověření.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

I když je nejjednodušší nakonfigurovat udp bez šifrování, neposkytuje žádnou ochranu proti útokům typu man-in-the-middle ani odposlouchávání zpráv.

Důležité

Microsoft doporučuje, abyste tuto konfiguraci nepoužívejte v produkčních prostředích.

Povolení předávání syslogu

Spusťte následující cmdlet pro povolení předávání protokolů syslogu:

Enable-AzSSyslogForwarder [-Force]

Syslog forwarder bude povolen s konfigurací uloženou při posledním úspěšném Set-AzSSyslogForwarder volání. Pokud nebyla zadána žádná konfigurace, cmdlet selže.Set-AzSSyslogForwarder

Zakažte předávání syslogu

Spusťte následující příkaz cmdlet pro zakázání předávání syslogu:

Disable-AzSSyslogForwarder [-Force]

Parametr pro Enable-AzSSyslogForwarder a Disable-AzSSyslogForwarder cmdlets:

Parametr Popis Typ Požaduje se
Force Pokud je zadáno, akční plán se vždy aktivuje i v případě, že je cílový stav stejný jako aktuální. To může být užitečné při resetování změn mimo pásmo. Vlajka Ne

Ověření nastavení syslogu

Po úspěšném připojení klienta syslogu k serveru syslog začnete dostávat oznámení o událostech. Pokud se vám nezobrazují oznámení, spuštěním následující rutiny ověřte konfiguraci služby předávání syslog vašeho clusteru:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Každý hostitel má vlastního agenta pro předávání syslog, který používá místní kopii konfigurace clusteru. Očekává se, že budou vždy stejné jako konfigurace clusteru. Aktuální konfiguraci na každém hostiteli můžete ověřit pomocí následující rutiny:

Get-AzSSyslogForwarder -PerNode

K ověření konfigurace na hostiteli, ke kterému jste připojení, můžete použít také následující rutinu:

Get-AzSSyslogForwarder -Local

Parametry rutiny pro rutinu Get-AzSSyslogForwarder :

Parametr Popis Typ Požaduje se
Místní Umožňuje zobrazit aktuálně použitou konfiguraci na aktuálním hostiteli. Vlajka Ne
PerNode Zobrazit aktuálně použitou konfiguraci na každém hostiteli Vlajka Ne
Klastr Umožňuje zobrazit aktuální globální konfiguraci v místním prostředí Azure. Toto je výchozí chování, pokud není zadaný žádný parametr. Vlajka Ne

Odstranit předávání syslogu

Spuštěním následujícího příkazu odeberte konfiguraci přesměrovávače syslog a zastavte přesměrovávání syslog:

Set-AzSSyslogForwarder -Remove

Referenční informace ke schématu zpráv a protokolu událostí

Následující referenční materiál dokumentuje schéma zpráv syslogu a definice událostí.

Služba předávání syslog místní infrastruktury Azure odesílá zprávy formátované podle protokolu syslogu BSD definovaného v RFC3164. CEF se také používá k formátování datové části zprávy syslogu.

Každá zpráva syslogu je strukturovaná na základě tohoto schématu: Priorita (PRI) | Čas | Hostitel | Datová část CEF |

Část PRI obsahuje dvě hodnoty: zařízení a závažnost. Oba závisí na typu zprávy, jako je událost systému Windows atd.

Další kroky

Přečtěte si další informace: