Freigeben über

Verwalten der Syslogweiterleitung für Azure Local

  • Artikel

Gilt für: Azure Local, Version 23H2

In diesem Artikel wird beschrieben, wie Sie Sicherheitsereignisse so konfigurieren, dass sie mit dem Syslog-Protokoll für Azure Local, Version 23H2, an ein vom Kunden verwaltetes Sicherheitsinformations- und Ereignisverwaltungssystem (SIEM) weitergeleitet werden.

Verwenden Sie die Syslog-Weiterleitung, um in Sicherheitsüberwachungslösungen zu integrieren und relevante Sicherheitsereignisprotokolle abzurufen, um sie für die Aufbewahrung auf Ihrer eigenen SIEM-Plattform zu speichern. Weitere Informationen zu Sicherheitsfeatures in dieser Version finden Sie unter Sicherheitsfeatures für Azure Local, Version 23H2.

Konfigurieren der Syslog-Weiterleitung

Syslog-Weiterleitungs-Agents werden standardmäßig auf jedem lokalen Azure-Host bereitgestellt, der für die Konfiguration bereit ist. Jeder Agent leitet Sicherheitsereignisse im Syslog-Format vom Host an den vom Kunden konfigurierten Syslog-Server weiter.

Syslog-Weiterleitungs-Agents arbeiten unabhängig voneinander, können jedoch alle auf einem der Hosts verwaltet werden. Verwenden Sie PowerShell-Cmdlets mit Administratorrechten auf jedem Host, um das Verhalten aller Weiterleitungs-Agents zu steuern.

Die Syslog-Weiterleitung in Azure Local unterstützt die folgenden Konfigurationen:

  • Syslog forwarding with TCP, mutual authentication (client and server) and TLS encryption: In this configuration, both the syslog server and the syslog client verify the identity of each other via certificates. Nachrichten werden über einen verschlüsselten TLS-Kanal gesendet. Weitere Informationen finden Sie unter Syslog-Weiterleitung mit TCP, gegenseitiger Authentifizierung (Client und Server) und TLS-Verschlüsselung.

  • Syslog-Weiterleitung mit TCP-, Serverauthentifizierungs- und TLS-Verschlüsselung: In dieser Konfiguration überprüft der Syslog-Client die Identität des Syslog-Servers über ein Zertifikat. Nachrichten werden über einen verschlüsselten TLS-Kanal gesendet. Weitere Informationen finden Sie unter Syslog-Weiterleitung mit TCP, Serverauthentifizierung und TLS-Verschlüsselung.

  • Syslog forwarding with TCP and no encryption: In this configuration, the syslog client and syslog server identities aren't verified. Nachrichten werden in Klartext über TCP gesendet. Weitere Informationen finden Sie unter Syslog-Weiterleitung mit TCP und ohne Verschlüsselung.

  • Syslog mit UDP und keine Verschlüsselung: In dieser Konfiguration werden der Syslog-Client und die Syslog-Serveridentitäten nicht überprüft. Nachrichten werden in Klartext über UDP gesendet. Weitere Informationen finden Sie unter Syslog-Weiterleitung mit UDP und ohne Verschlüsselung.

    Wichtig

    Um vor Man-in-the-Middle-Angriffen und Abhörangriffen von Nachrichten zu schützen, empfiehlt Microsoft dringend, TCP mit Authentifizierung und Verschlüsselung in Produktionsumgebungen zu verwenden. Die TLS-Verschlüsselungsversion hängt vom Handshake zwischen den Endpunkten ab. Sowohl TLS 1.2 als auch TLS 1.3 werden standardmäßig unterstützt.

Cmdlets zum Konfigurieren der Syslog-Weiterleitung

Das Konfigurieren der Syslog-Weiterleitung erfordert Zugriff auf den physischen Host mithilfe eines Domänenadministratorkontos. Allen lokalen Azure-Hosts wurde eine Reihe von PowerShell-Cmdlets hinzugefügt, um das Verhalten der Syslog-Weiterleitung zu steuern.

Das Set-AzSSyslogForwarder Cmdlet wird verwendet, um die Syslog-Weiterleitungskonfiguration für alle Hosts festzulegen. Bei erfolgreicher Ausführung wird eine Aktionsplaninstanz gestartet, um die Syslog-Weiterleitungs-Agents auf allen Hosts zu konfigurieren. Die Instanz-ID des Aktionsplans wird zurückgegeben.

Verwenden Sie das folgende Cmdlet, um die Syslog-Serverinformationen an die Weiterleitung zu übergeben und das Transportprotokoll, die Verschlüsselung, die Authentifizierung und das optionale Zertifikat zu konfigurieren, das zwischen dem Client und dem Server verwendet wird:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Cmdlet-Parameter

Die folgende Tabelle enthält Parameter für das Set-AzSSyslogForwarder Cmdlet:

Parameter Beschreibung Type Erforderlich
ServerName FQDN oder IP-Adresse des Syslog-Servers String Ja
ServerPort Portnummer, an der der Syslog-Server lauscht UInt16 Ja
NoEncryption Erzwingen, dass der Client Syslog-Meldungen in Klartext sendet Kennzeichnung No
SkipServerCertificateCheck Überspringen der Überprüfung des vom Syslog-Server beim ersten TLS-Handshake bereitgestellten Zertifikats Kennzeichnung No
SkipServerCNCheck Überspringen der Überprüfung des Werts für den allgemeinen Namen des vom Syslog-Server beim ersten TLS-Handshake bereitgestellten Zertifikats Kennzeichnung Nein
UseUDP Verwenden von Syslog mit UDP als Transportprotokoll Kennzeichnung No
ClientCertificateThumbprint Fingerabdruck des Clientzertifikats, das für die Kommunikation mit dem Syslog-Server verwendet wird. String No
OutputSeverity Ebene des Ausgabeprotokollierung. Werte sind Standard oder Ausführlich. „Standard“ umfasst die Schweregrade „Warnung“, „Kritisch“ oder „Fehler“. „Ausführlich“ umfasst alle Schweregrade („Ausführlich“, „Information“, „Warnung“, „Kritisch“ oder „Fehler“). String No
Remove (Entfernen) Entfernen Sie die aktuelle Syslog-Weiterleitungskonfiguration, und beenden Sie die Syslog-Weiterleitung. Kennzeichnung No

Syslog-Weiterleitung mit TCP, gegenseitiger Authentifizierung (Client und Server) und TLS-Verschlüsselung

In dieser Konfiguration leitet der Syslog-Client in Azure Local Nachrichten über TCP mit TLS-Verschlüsselung an den Syslog-Server weiter. Während des anfänglichen Handshakes überprüft der Client, ob der Server ein gültiges und vertrauenswürdiges Zertifikat bereitstellt. Der Client stellt dem Server außerdem ein Zertifikat als Nachweis seiner Identität bereit.

Diese Konfiguration ist die sicherste, da sie die vollständige Überprüfung der Identität des Clients und des Servers bietet und Nachrichten über einen verschlüsselten Kanal sendet.

Wichtig

Microsoft empfiehlt, diese Konfiguration für Produktionsumgebungen zu verwenden.

Um syslog forwarder mit TCP, gegenseitiger Authentifizierung und TLS-Verschlüsselung zu konfigurieren, konfigurieren Sie den Server und stellen das Zertifikat für den Client bereit, um sich gegen den Server zu authentifizieren.

Führen Sie das folgende Cmdlet für einen physischen Host aus:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Wichtig

Das Clientzertifikat muss einen privaten Schlüssel enthalten. Wenn das Clientzertifikat mit einem selbstsignierten Stammzertifikat signiert ist, müssen Sie auch das Stammzertifikat importieren.

Syslog-Weiterleitung mit TCP-, Serverauthentifizierungs- und TLS-Verschlüsselung

In dieser Konfiguration leitet die Syslog-Weiterleitung in Azure Local die Nachrichten über TCP mit TLS-Verschlüsselung an den Syslog-Server weiter. Während des anfänglichen Handshakes überprüft der Client auch, dass der Server ein gültiges und vertrauenswürdiges Zertifikat bereitstellt.

Diese Konfiguration verhindert, dass der Client Meldungen an nicht vertrauenswürdige Ziele sendet. TCP mit Authentifizierung und Verschlüsselung ist die Standardkonfiguration und stellt die minimale Sicherheitsebene dar, die Microsoft für eine Produktionsumgebung empfiehlt.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Wenn Sie die Integration Ihres Syslog-Servers mit der lokalen Azure-Syslog-Weiterleitung mithilfe eines selbstsignierten oder nicht vertrauenswürdigen Zertifikats testen möchten, verwenden Sie diese Flags, um die vom Client während des anfänglichen Handshake durchgeführte Serverüberprüfung zu überspringen.

  1. Überspringen Sie die Überprüfung des Werts "Gemeinsamer Name" im Serverzertifikat. Verwenden Sie dieses Kennzeichen, wenn Sie eine IP-Adresse für Ihren Syslog-Server angeben.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Überspringen Sie die Serverzertifikatüberprüfung.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Wichtig

    Microsoft empfiehlt, das -SkipServerCertificateCheck Flag nicht in Produktionsumgebungen zu verwenden.

Syslog-Weiterleitung mit TCP und keine Verschlüsselung

In dieser Konfiguration leitet der Syslog-Client in Azure Local Nachrichten ohne Verschlüsselung an den Syslog-Server über TCP weiter. Der Client überprüft weder die Identität des Servers noch stellt er eine eigene Identität für den Server zur Überprüfung bereit.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Wichtig

Microsoft empfiehlt, diese Konfiguration nicht in Produktionsumgebungen zu verwenden.

Syslog-Weiterleitung mit UDP und ohne Verschlüsselung

In dieser Konfiguration leitet der Syslog-Client in Azure Local Nachrichten ohne Verschlüsselung an den Syslog-Server über UDP weiter. Der Client überprüft weder die Identität des Servers noch stellt er eine eigene Identität für den Server zur Überprüfung bereit.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Während UDP ohne Verschlüsselung am einfachsten zu konfigurieren ist, bietet es keinen Schutz vor Man-in-the-Middle-Angriffen oder Lauschangriffen von Nachrichten.

Wichtig

Microsoft empfiehlt, diese Konfiguration nicht in Produktionsumgebungen zu verwenden.

Aktivieren der Syslog-Weiterleitung

Führen Sie das folgende Cmdlet aus, um die Syslog-Weiterleitung zu aktivieren:

Enable-AzSSyslogForwarder [-Force]

Syslog-Weiterleitung wird mit der gespeicherten Konfiguration aktiviert, die vom letzten erfolgreichen Set-AzSSyslogForwarder Aufruf bereitgestellt wird. Das Cmdlet schlägt fehl, wenn keine Konfiguration bereitgestellt Set-AzSSyslogForwarderwurde.

Syslog-Weiterleitung deaktivieren

Führen Sie das folgende Cmdlet aus, um die Syslogweiterleitung zu deaktivieren:

Disable-AzSSyslogForwarder [-Force]

Parameter für Enable-AzSSyslogForwarder und Disable-AzSSyslogForwarder Cmdlets:

Parameter Beschreibung Type Erforderlich
Force Wenn angegeben, wird ein Aktionsplan immer ausgelöst, auch wenn der Zielzustand mit dem aktuellen zustand übereinstimmt. Dies kann hilfreich sein, um Out-of-Band-Änderungen zurückzusetzen. Kennzeichnung No

Überprüfen des Syslog-Setups

Nachdem Sie den Syslog-Client erfolgreich mit Ihrem Syslog-Server verbunden haben, beginnen Sie mit dem Empfangen von Ereignisbenachrichtigungen. Wenn keine Benachrichtigungen angezeigt werden, überprüfen Sie die Konfiguration der Cluster-Syslog-Weiterleitung, indem Sie das folgende Cmdlet ausführen:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Jeder Host verfügt über einen eigenen Syslog-Weiterleitungs-Agent, der eine lokale Kopie der Clusterkonfiguration verwendet. Es wird immer erwartet, dass sie mit der Clusterkonfiguration identisch sind. Sie können die aktuelle Konfiguration auf jedem Host mithilfe des folgenden Cmdlets überprüfen:

Get-AzSSyslogForwarder -PerNode

Sie können auch das folgende Cmdlet verwenden, um die Konfiguration auf dem Host zu überprüfen, mit dem Sie verbunden sind:

Get-AzSSyslogForwarder -Local

Cmdlet-Parameter für das Get-AzSSyslogForwarder Cmdlet:

Parameter Beschreibung Type Erforderlich
Lokal Aktuell verwendete Konfiguration auf dem aktuellen Host anzeigen. Kennzeichnung No
PerNode Zeigt die aktuell verwendete Konfiguration auf jedem Host an. Kennzeichnung No
Cluster Aktuelle globale Konfiguration in Azure Local anzeigen. Dies ist das Standardverhalten, wenn kein Parameter angegeben wird. Kennzeichnung No

Syslog-Weiterleitung entfernen

Führen Sie den folgenden Befehl aus, um die Syslog-Weiterleitungskonfiguration zu entfernen und die Syslog-Weiterleitung zu beenden:

Set-AzSSyslogForwarder -Remove

Referenz zu Nachrichtenschema und Ereignisprotokoll

Das folgende Referenzmaterial dokumentiert syslog-Nachrichtenschema und Ereignisdefinitionen.

Die Syslog-Weiterleitung der lokalen Azure-Infrastruktur sendet Nachrichten, die nach dem in RFC3164 definierten BSD Syslog-Protokoll formatiert sind. CEF wird auch verwendet, um die Syslog-Nachrichtennutzlast zu formatieren.

Jede Syslog-Nachricht ist basierend auf diesem Schema strukturiert: Priority (PRI) | Zeit | Gastgeber | CEF Payload |

Der PRI-Teil enthält zwei Werte: Einrichtung und Schweregrad. Beide hängen vom Nachrichtentyp ab, z. B. Windows-Ereignis usw.

Nächste Schritte

Weitere Informationen: