Partilhar via

Gerir o reencaminhamento do syslog para o Azure Stack HCI

  • Artigo

Aplica-se a: Azure Stack HCI, versão 23H2

Este artigo descreve como configurar eventos de segurança para serem reencaminhados para um sistema de gestão de eventos e informações de segurança gerida pelo cliente (SIEM) com o protocolo syslog para o Azure Stack HCI, versão 23H2 (pré-visualização).

Utilize o reencaminhamento do syslog para integrar com soluções de monitorização de segurança e obter registos de eventos de segurança relevantes para armazená-los para retenção na sua própria plataforma SIEM. Para obter mais informações sobre as funcionalidades de segurança nesta versão, veja Funcionalidades de segurança do Azure Stack HCI, versão 23H2 (pré-visualização).

Configurar o reencaminhamento do syslog

Os agentes de reencaminhamento do Syslog são implementados em todos os anfitriões do Azure Stack HCI por predefinição, prontos para serem configurados. Cada um dos agentes irá reencaminhar eventos de segurança no formato syslog do anfitrião para o servidor syslog configurado pelo cliente.

Os agentes de reencaminhamento do Syslog funcionam independentemente uns dos outros, mas podem ser geridos em conjunto em qualquer um dos anfitriões. Utilize cmdlets do PowerShell com privilégios administrativos em qualquer anfitrião para controlar o comportamento de todos os agentes reencaminhadores.

O reencaminhador do syslog no Azure Stack HCI suporta as seguintes configurações:

  • Reencaminhamento do Syslog com TCP, autenticação mútua (cliente e servidor) e encriptação TLS 1.2: Nesta configuração, tanto o servidor syslog como o cliente syslog verificam a identidade uns dos outros através de certificados. As mensagens são enviadas através de um canal encriptado TLS 1.2. Para obter mais informações, veja Reencaminhamento do Syslog com TCP, autenticação mútua (cliente e servidor) e encriptação TLS 1.2.

  • Reencaminhamento do Syslog com TCP, autenticação do servidor e encriptação TLS 1.2: Nesta configuração, o cliente syslog verifica a identidade do servidor syslog através de um certificado. As mensagens são enviadas através de um canal encriptado TLS 1.2. Para obter mais informações, veja Reencaminhamento do Syslog com TCP, autenticação do servidor e encriptação TLS 1.2.

  • Reencaminhamento do Syslog com TCP e sem encriptação: Nesta configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto claro através de TCP. Para obter mais informações, veja Reencaminhamento do Syslog com TCP e sem encriptação.

  • Syslog com UDP e sem encriptação: Nesta configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto claro através do UDP. Para obter mais informações, veja Reencaminhamento do Syslog com UDP e sem encriptação.

    Importante

    Para proteger contra ataques man-in-the-middle e escutas de mensagens, a Microsoft recomenda vivamente que utilize o TCP com autenticação e encriptação em ambientes de produção.

Cmdlets para configurar o reencaminhamento do syslog

A configuração do reencaminhador do syslog requer acesso ao anfitrião físico com uma conta de administrador de domínio. Foi adicionado um conjunto de cmdlets do PowerShell a todos os anfitriões do Azure Stack HCI para controlar o comportamento do reencaminhador do syslog.

O Set-AzSSyslogForwarder cmdlet é utilizado para definir a configuração do reencaminhador syslog para todos os anfitriões. Se for bem-sucedida, será iniciada uma instância do plano de ação para configurar os agentes do reencaminhador do syslog em todos os anfitriões. O ID da instância do plano de ação será devolvido.

Utilize o seguinte cmdlet para transmitir as informações do servidor syslog ao reencaminhador e para configurar o protocolo de transporte, a encriptação, a autenticação e o certificado opcional utilizado entre o cliente e o servidor:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Parâmetros do cmdlet

A tabela seguinte fornece parâmetros para o Set-AzSSyslogForwarder cmdlet:

Parâmetro Descrição Tipo Necessário
ServerName FQDN ou endereço IP do servidor syslog. String Yes
ServerPort Número da porta em que o servidor syslog está a escutar. UInt16 Yes
NoEncryption Forçar o cliente a enviar mensagens syslog em texto claro. Sinalizador No
SkipServerCertificateCheck Ignore a validação do certificado fornecido pelo servidor syslog durante o handshake TLS inicial. Sinalizador No
SkipServerCNCheck Ignore a validação do valor Nome Comum do certificado fornecido pelo servidor syslog durante o handshake TLS inicial. Sinalizador No
UseUDP Utilize o syslog com uDP como protocolo de transporte. Sinalizador No
ClientCertificateThumbprint Thumbprint do certificado de cliente utilizado para comunicar com o servidor syslog. String No
OutputSeverity Nível de registo de saída. Os valores são Predefinidos ou Verbosos. A predefinição inclui níveis de gravidade: aviso, crítico ou erro. Verboso inclui todos os níveis de gravidade: verboso, informativo, aviso, crítico ou erro. String No
Remover Remova a configuração atual do reencaminhador do syslog e pare o reencaminhador do syslog. Sinalizador No

Reencaminhamento do Syslog com TCP, autenticação mútua (cliente e servidor) e encriptação TLS 1.2

Nesta configuração, o cliente syslog no Azure Stack HCI reencaminha mensagens para o servidor syslog através de TCP com encriptação TLS 1.2. Durante o handshake inicial, o cliente verifica se o servidor fornece um certificado válido e fidedigno. O cliente também fornece um certificado ao servidor como prova da respetiva identidade.

Esta configuração é a mais segura, pois fornece validação completa da identidade do cliente e do servidor e envia mensagens através de um canal encriptado.

Importante

A Microsoft recomenda que utilize esta configuração para ambientes de produção.

Para configurar o reencaminhador do syslog com tCP, autenticação mútua e encriptação TLS 1.2, configure o servidor e forneça um certificado ao cliente para autenticar no servidor.

Execute o seguinte cmdlet num anfitrião físico:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Importante

O certificado de cliente tem de conter uma chave privada. Se o certificado de cliente estiver assinado com um certificado de raiz autoassinado, também tem de importar o certificado de raiz.

Reencaminhamento do Syslog com TCP, autenticação do servidor e encriptação TLS 1.2

Nesta configuração, o reencaminhador do syslog no Azure Stack HCI reencaminha as mensagens para o servidor syslog através de TCP com encriptação TLS 1.2. Durante o handshake inicial, o cliente também verifica se o servidor fornece um certificado válido e fidedigno.

Esta configuração impede o cliente de enviar mensagens para destinos não fidedignos. O TCP que utiliza a autenticação e a encriptação é a configuração predefinida e representa o nível mínimo de segurança que a Microsoft recomenda para um ambiente de produção.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Se quiser testar a integração do servidor syslog com o reencaminhador de syslog do Azure Stack HCI com um certificado autoassinado ou não fidedigno, utilize estes sinalizadores para ignorar a validação do servidor efetuada pelo cliente durante o handshake inicial.

  1. Ignore a validação do valor Nome Comum no certificado de servidor. Utilize este sinalizador se fornecer um endereço IP para o seu servidor syslog.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Ignore a validação do certificado do servidor.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Importante

    A Microsoft recomenda que não utilize o -SkipServerCertificateCheck sinalizador em ambientes de produção.

Reencaminhamento do Syslog com TCP e sem encriptação

Nesta configuração, o cliente syslog no Azure Stack HCI reencaminha mensagens para o servidor syslog através de TCP sem encriptação. O cliente não verifica a identidade do servidor, nem fornece a sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Importante

A Microsoft recomenda que não utilize esta configuração em ambientes de produção.

Reencaminhamento do Syslog com UDP e sem encriptação

Nesta configuração, o cliente syslog no Azure Stack HCI reencaminha mensagens para o servidor syslog através de UDP, sem encriptação. O cliente não verifica a identidade do servidor, nem fornece a sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Embora o UDP sem encriptação seja o mais fácil de configurar, não fornece qualquer proteção contra ataques man-in-the-middle ou escutas de mensagens.

Importante

A Microsoft recomenda que não utilize esta configuração em ambientes de produção.

Ativar o reencaminhamento do syslog

Execute o seguinte cmdlet para ativar o reencaminhamento do syslog:

Enable-AzSSyslogForwarder [-Force]

O reencaminhador do Syslog será ativado com a configuração armazenada fornecida pela última chamada com êxito Set-AzSSyslogForwarder . O cmdlet falhará se não tiver sido fornecida qualquer configuração com Set-AzSSyslogForwarder.

Desativar o reencaminhamento do syslog

Execute o seguinte cmdlet para desativar o reencaminhamento do syslog:

Disable-AzSSyslogForwarder [-Force]

Parâmetro para Enable-AzSSyslogForwarder e Disable-AzSSyslogForwarder cmdlets:

Parâmetro Descrição Tipo Necessário
Force Se especificado, será sempre acionado um plano de ação mesmo que o estado de destino seja igual ao atual. Isto pode ser útil para repor alterações fora de banda. Sinalizador No

Verificar a configuração do syslog

Depois de ligar com êxito o cliente syslog ao seu servidor syslog, começará a receber notificações de eventos. Se não vir notificações, verifique a configuração do reencaminhador do syslog do cluster ao executar o seguinte cmdlet:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Cada anfitrião tem o seu próprio agente de reencaminhador syslog que utiliza uma cópia local da configuração do cluster. Espera-se que sejam sempre iguais à configuração do cluster. Pode verificar a configuração atual em cada anfitrião com o seguinte cmdlet:

Get-AzSSyslogForwarder -PerNode

Também pode utilizar o seguinte cmdlet para verificar a configuração no anfitrião ao qual está ligado:

Get-AzSSyslogForwarder -Local

Parâmetros do cmdlet para o Get-AzSSyslogForwarder cmdlet:

Parâmetro Descrição Tipo Necessário
Local Mostrar a configuração atualmente utilizada no anfitrião atual. Sinalizador No
PerNode Mostrar a configuração atualmente utilizada em cada anfitrião. Sinalizador No
Cluster Mostrar a configuração global atual no Azure Stack HCI. Este é o comportamento predefinido se não for fornecido nenhum parâmetro. Sinalizador No

Remover o reencaminhamento do syslog

Execute o seguinte comando para remover a configuração do reencaminhador do syslog e parar o reencaminhador do syslog:

Set-AzSSyslogForwarder -Remove

Referência do esquema de mensagens e do registo de eventos

Os seguintes documentos materiais de referência syslog message schema and event definitions.

O reencaminhador do syslog da infraestrutura do Azure Stack HCI envia mensagens formatadas após o protocolo Syslog BSD definido em RFC3164. O CEF também é utilizado para formatar o payload da mensagem syslog.

Cada mensagem syslog é estruturada com base neste esquema: Prioridade (PRI) | Hora | Anfitrião | Payload do CEF |

A parte PRI contém dois valores: instalação e gravidade. Ambos dependem do tipo de mensagem, como Evento do Windows, etc.

Passos seguintes

Saiba mais sobre: