Delen via

Syslog forwarding beheren voor Azure Local

  • Artikel

Van toepassing op: Azure Local 2311.2 en hoger

In dit artikel wordt beschreven hoe u beveiligingsgebeurtenissen configureert die moeten worden doorgestuurd naar een door de klant beheerd SIEM-systeem (Security Information and Event Management) met behulp van het Syslog-protocol voor Azure Local.

Gebruik syslog forwarding om te integreren met beveiligingsbewakingsoplossingen en om relevante beveiligingslogboeken op te halen om ze op te slaan voor retentie op uw eigen SIEM-platform. Raadpleeg voor meer informatie over beveiligingsfuncties in deze release Beveiligingsfuncties voor Azure Local.

Syslog-doorstuurfunctie configureren

Syslog-doorstuuragents worden standaard geïmplementeerd op elke lokale Azure-host, klaar om te worden geconfigureerd. Elke agent stuurt beveiligingsgebeurtenissen in syslog-indeling van de host door naar de door de klant geconfigureerde Syslog-server.

Syslog-doorstuuragents werken onafhankelijk van elkaar, maar kunnen allemaal worden beheerd op een van de hosts. Gebruik PowerShell-cmdlets met beheerdersbevoegdheden op elke host om het gedrag van alle doorstuurserveragents te beheren.

De syslog-doorstuurserver in Azure Local ondersteunt de volgende configuraties:

  • Syslog doorsturen met TCP, wederzijdse verificatie (client en server) en TLS-versleuteling: in deze configuratie verifiëren zowel de syslog-server als de syslog-client de identiteit van elkaar via certificaten. Berichten worden verzonden via een versleuteld TLS-kanaal. Zie Syslog doorsturen met TCP, wederzijdse verificatie (client en server) en TLS-versleuteling voor meer informatie.

  • Syslog forwarding met TCP, serververificatie en TLS-versleuteling: In deze configuratie controleert de Syslog-client de identiteit van de syslog-server via een certificaat. Berichten worden verzonden via een versleuteld TLS-kanaal. Zie Syslog doorsturen met TCP, serververificatie en TLS-versleuteling voor meer informatie.

  • Syslog doorsturen met TCP en geen versleuteling: in deze configuratie worden de syslog-client- en syslog-serveridentiteiten niet geverifieerd. Berichten worden verzonden in duidelijke tekst via TCP. Zie Syslog doorsturen met TCP en geen versleuteling voor meer informatie.

  • Syslog met UDP en geen versleuteling: in deze configuratie worden de identiteiten van de syslog-client en syslog-server niet geverifieerd. Berichten worden verzonden in duidelijke tekst via UDP. Zie Syslog doorsturen met UDP en geen versleuteling voor meer informatie.

    Belangrijk

    Om te beschermen tegen man-in-the-middle-aanvallen en het afluisteren van berichten, raadt Microsoft u ten zeerste aan TCP te gebruiken met verificatie en versleuteling in productieomgevingen. TLS-versleutelingsversie is afhankelijk van de handshake tussen de eindpunten. Zowel TLS 1.2 als TLS 1.3 worden standaard ondersteund.

Cmdlets voor het configureren van syslog forwarding

Voor het configureren van syslog-doorstuurserver is toegang tot de fysieke host vereist met behulp van een domeinbeheerdersaccount. Er wordt een set PowerShell-cmdlets toegevoegd aan alle lokale Azure-hosts om het gedrag van de syslog-doorstuurserver te beheren.

De Set-AzSSyslogForwarder cmdlet wordt gebruikt om de configuratie van de syslog-doorstuurserver in te stellen voor alle hosts. Als dit lukt, wordt een exemplaar van een actieplan gestart om de syslog-doorstuuragents op alle hosts te configureren. De exemplaar-id van het actieplan wordt geretourneerd.

Gebruik de volgende cmdlet om de syslog-servergegevens door te geven aan de doorstuurserver en om het transportprotocol, de versleuteling, de verificatie en het optionele certificaat dat wordt gebruikt tussen de client en de server te configureren:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Cmdlet-parameters

De volgende tabel bevat parameters voor de Set-AzSSyslogForwarder cmdlet:

Parameter Description Type Vereist
ServerName FQDN of IP-adres van de syslog-server. String Ja
ServerPort Poortnummer waarop de syslog-server luistert. UInt16 Ja
NoEncryption Forceer de client om syslog-berichten in duidelijke tekst te verzenden. Vlag Nee
SkipServerCertificateCheck De validatie van het certificaat dat door de syslog-server wordt geleverd tijdens de eerste TLS-handshake overslaan. Vlag Nee
SkipServerCNCheck Sla validatie over van de algemene naamwaarde van het certificaat dat door de syslog-server wordt geleverd tijdens de eerste TLS-handshake. Vlag Nee
UseUDP Syslog gebruiken met UDP als transportprotocol. Vlag Nee
ClientCertificateThumbprint Vingerafdruk van het clientcertificaat dat wordt gebruikt om te communiceren met de Syslog-server. String Nee
OutputSeverity Niveau van uitvoerlogboekregistratie. Waarden zijn standaard of uitgebreid. Standaard bevat ernstniveaus: waarschuwing, kritiek of fout. Uitgebreid omvat alle ernstniveaus: uitgebreid, informatief, waarschuwing, kritiek of fout. String Nee
Verwijderen Verwijder de huidige configuratie van de syslog-doorstuurserver en stop syslog-doorstuurserver. Vlag Nee

Syslog doorsturen met TCP, wederzijdse verificatie (client en server) en TLS-versleuteling

In deze configuratie stuurt de syslog-client in Azure Local berichten door naar de syslog-server via TCP met TLS-versleuteling. Tijdens de eerste handshake controleert de client of de server een geldig, vertrouwd certificaat biedt. De client biedt ook een certificaat aan de server als bewijs van de identiteit.

Deze configuratie is het veiligst omdat deze volledige validatie van de identiteit van zowel de client als de server biedt en berichten verzendt via een versleuteld kanaal.

Belangrijk

Microsoft raadt u aan deze configuratie te gebruiken voor productieomgevingen.

Als u syslog-doorstuurserver wilt configureren met TCP, wederzijdse verificatie en TLS-versleuteling, configureert u de server en geeft u het certificaat aan de client op voor verificatie op basis van de server.

Voer de volgende cmdlet uit op een fysieke host:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Belangrijk

Het clientcertificaat moet een persoonlijke sleutel bevatten. Als het clientcertificaat is ondertekend met een zelfondertekend basiscertificaat, moet u ook het basiscertificaat importeren.

Syslog doorsturen met TCP, serververificatie en TLS-versleuteling

In deze configuratie stuurt de syslog-doorstuurserver in Azure Local de berichten door naar de syslog-server via TCP met TLS-versleuteling. Tijdens de eerste handshake controleert de client ook of de server een geldig, vertrouwd certificaat biedt.

Deze configuratie voorkomt dat de client berichten naar niet-vertrouwde bestemmingen verzendt. TCP met behulp van verificatie en versleuteling is de standaardconfiguratie en vertegenwoordigt het minimale beveiligingsniveau dat Microsoft aanbeveelt voor een productieomgeving.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Als u de integratie van uw syslog-server wilt testen met de Azure Local Syslog-doorstuurserver met behulp van een zelfondertekend of niet-vertrouwd certificaat, gebruikt u deze vlaggen om de servervalidatie die door de client wordt uitgevoerd tijdens de eerste handshake over te slaan.

  1. Validatie van de waarde Algemene naam in het servercertificaat overslaan. Gebruik deze vlag als u een IP-adres opgeeft voor uw syslog-server.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Sla de validatie van het servercertificaat over.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Belangrijk

    Microsoft raadt u aan de vlag -SkipServerCertificateCheck niet te gebruiken in productieomgevingen.

Syslog doorsturen met TCP en geen versleuteling

In deze configuratie stuurt de syslog-client in Azure Local berichten door naar de syslog-server via TCP zonder versleuteling. De client controleert de identiteit van de server niet en biedt ook geen eigen identiteit aan de server voor verificatie.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Belangrijk

Microsoft raadt u aan deze configuratie niet te gebruiken in productieomgevingen.

Syslog doorsturen met UDP en geen versleuteling

In deze configuratie stuurt de syslog-client in Azure Local berichten door naar de syslog-server via UDP, zonder versleuteling. De client controleert de identiteit van de server niet en biedt ook geen eigen identiteit aan de server voor verificatie.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Hoewel UDP zonder versleuteling het eenvoudigst kan worden geconfigureerd, biedt het geen bescherming tegen man-in-the-middle-aanvallen of het afluisteren van berichten.

Belangrijk

Microsoft raadt u aan deze configuratie niet te gebruiken in productieomgevingen.

Syslog-doorstuurfunctie inschakelen

Voer de volgende cmdlet uit om syslog forwarding in te schakelen:

Enable-AzSSyslogForwarder [-Force]

Syslog-doorstuurserver wordt ingeschakeld met de opgeslagen configuratie die wordt geleverd door de laatste geslaagde Set-AzSSyslogForwarder aanroep. De cmdlet mislukt als er geen configuratie is opgegeven met behulp van Set-AzSSyslogForwarder.

Syslog-doorstuurfunctie uitschakelen

Voer de volgende cmdlet uit om syslog forwarding uit te schakelen:

Disable-AzSSyslogForwarder [-Force]

Parameter voor Enable-AzSSyslogForwarder en Disable-AzSSyslogForwarder cmdlets:

Parameter Description Type Vereist
Force Indien opgegeven, wordt er altijd een actieplan geactiveerd, zelfs als de doelstatus gelijk is aan de huidige status. Dit kan handig zijn om out-of-band-wijzigingen opnieuw in te stellen. Vlag Nee

Syslog-installatie controleren

Nadat u de syslog-client hebt verbonden met uw Syslog-server, ontvangt u gebeurtenismeldingen. Als u geen meldingen ziet, controleert u de configuratie van de syslog-doorstuurserver van uw cluster door de volgende cmdlet uit te voeren:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Elke host heeft een eigen syslog-doorstuuragent die gebruikmaakt van een lokale kopie van de clusterconfiguratie. Van hen wordt altijd verwacht dat ze hetzelfde zijn als de clusterconfiguratie. U kunt de huidige configuratie op elke host controleren met behulp van de volgende cmdlet:

Get-AzSSyslogForwarder -PerNode

U kunt ook de volgende cmdlet gebruiken om de configuratie te controleren op de host met wie u bent verbonden:

Get-AzSSyslogForwarder -Local

Cmdlet-parameters voor de Get-AzSSyslogForwarder cmdlet:

Parameter Description Type Vereist
Lokaal Momenteel gebruikte configuratie weergeven op de huidige host. Vlag Nee
PerNode Momenteel gebruikte configuratie weergeven op elke host. Vlag Nee
Cluster Huidige globale configuratie weergeven in Azure Local. Dit is het standaardgedrag als er geen parameter wordt opgegeven. Vlag Nee

Syslog forwarding verwijderen

Voer de volgende opdracht uit om de configuratie van de syslog-doorstuurserver te verwijderen en de syslog-doorstuurserver te stoppen:

Set-AzSSyslogForwarder -Remove

Naslaginformatie over het berichtschema en gebeurtenislogboek

Het volgende referentiemateriaal documenteert syslog-berichtschema en gebeurtenisdefinities.

De syslog-doorstuurserver van de Lokale Azure-infrastructuur verzendt berichten die zijn opgemaakt volgens het syslog-protocol van BSD dat is gedefinieerd in RFC3164. CEF wordt ook gebruikt om de nettolading van het syslog-bericht op te maken.

Elk syslog-bericht is gestructureerd op basis van dit schema: Prioriteit (PRI) | Tijd | Host | CEF-nettolading |

Het PRI-onderdeel bevat twee waarden: faciliteit en ernst. Beide zijn afhankelijk van het type bericht, zoals Windows-gebeurtenis, enzovoort.

Volgende stappen

Meer informatie over: