Partilhar via

Gerenciar o encaminhamento de syslog para o Azure Local

  • Artigo

Aplica-se a: Azure Local, versão 23H2

Este artigo descreve como configurar eventos de segurança a serem encaminhados para um sistema SIEM (gerenciamento de eventos e informações de segurança) gerenciado pelo cliente usando o protocolo syslog para o Azure Local, versão 23H2.

Use o encaminhamento syslog para integrar com soluções de monitoramento de segurança e recuperar logs de eventos de segurança relevantes para armazená-los para retenção em sua própria plataforma SIEM. Para obter mais informações sobre recursos de segurança nesta versão, consulte Recursos de segurança para o Azure Local, versão 23H2.

Configurar o encaminhamento syslog

Os agentes de encaminhamento Syslog são implantados em cada host Local do Azure por padrão, prontos para serem configurados. Cada um dos agentes encaminhará eventos de segurança no formato syslog do host para o servidor syslog configurado pelo cliente.

Os agentes de encaminhamento Syslog funcionam independentemente uns dos outros, mas podem ser gerenciados todos juntos em qualquer um dos hosts. Use cmdlets do PowerShell com privilégios administrativos em qualquer host para controlar o comportamento de todos os agentes de encaminhamento.

O encaminhador syslog no Azure Local dá suporte às seguintes configurações:

  • Reencaminhamento syslog com TCP, autenticação mútua (cliente e servidor) e encriptação TLS: Nesta configuração, tanto o servidor syslog como o cliente syslog verificam a identidade um do outro através de certificados. As mensagens são enviadas através de um canal criptografado TLS. Para obter mais informações, consulte Encaminhamento Syslog com TCP, autenticação mútua (cliente e servidor) e criptografia TLS.

  • Reencaminhamento syslog com TCP, autenticação de servidor e encriptação TLS: Nesta configuração, o cliente syslog verifica a identidade do servidor syslog através de um certificado. As mensagens são enviadas através de um canal criptografado TLS. Para obter mais informações, consulte Encaminhamento Syslog com TCP, autenticação de servidor e criptografia TLS.

  • Encaminhamento syslog com TCP e sem criptografia: nesta configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto não criptografado por TCP. Para obter mais informações, consulte Encaminhamento Syslog com TCP e sem criptografia.

  • Syslog com UDP e sem criptografia: Nesta configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto não criptografado por UDP. Para obter mais informações, consulte Encaminhamento Syslog com UDP e sem criptografia.

    Importante

    Para proteger contra ataques man-in-the-middle e escutas de mensagens, a Microsoft recomenda vivamente que utilize TCP com autenticação e encriptação em ambientes de produção. A versão de criptografia TLS depende do handshake entre os pontos de extremidade. Ambos, TLS 1.2 e TLS 1.3, são suportados por padrão.

Cmdlets para configurar o encaminhamento syslog

A configuração do encaminhador syslog requer acesso ao host físico usando uma conta de administrador de domínio. Um conjunto de cmdlets do PowerShell foi adicionado a todos os hosts locais do Azure para controlar o comportamento do encaminhador syslog.

O Set-AzSSyslogForwarder cmdlet é usado para definir a configuração do encaminhador syslog para todos os hosts. Se bem-sucedida, uma instância do plano de ação será iniciada para configurar os agentes do encaminhador syslog em todos os hosts. O ID da instância do plano de ação será retornado.

Use o cmdlet a seguir para passar as informações do servidor syslog para o encaminhador e configurar o protocolo de transporte, a criptografia, a autenticação e o certificado opcional usado entre o cliente e o servidor:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Parâmetros do cmdlet

A tabela a seguir fornece parâmetros para o Set-AzSSyslogForwarder cmdlet:

Parâmetro Description Type Necessário
ServerName FQDN ou endereço IP do servidor syslog. Cadeia (de carateres) Sim
Porta do servidor Número da porta em que o servidor syslog está escutando. UInt16 Sim
NoEncriptação Força o cliente a enviar mensagens syslog em texto não criptografado. Sinalizador Não
SkipServerCertificateCheck Ignore a validação do certificado fornecido pelo servidor syslog durante o handshake TLS inicial. Sinalizador Não
SkipServerCNCheck Ignore a validação do valor Common Name do certificado fornecido pelo servidor syslog durante o handshake TLS inicial. Sinalizador Não
UseUDP Use syslog com UDP como protocolo de transporte. Sinalizador Não
ClientCertificateImpressão digital Impressão digital do certificado do cliente usado para se comunicar com o servidor syslog. String Não
OutputSeverity Nível de registro de saída. Os valores são Default ou Verbose. O padrão inclui níveis de gravidade: aviso, crítico ou erro. Detalhado inclui todos os níveis de gravidade: detalhado, informativo, de aviso, crítico ou de erro. String Não
Remover Remova a configuração atual do encaminhador syslog e pare o encaminhador syslog. Sinalizador Não

Reencaminhamento Syslog com TCP, autenticação mútua (cliente e servidor) e encriptação TLS

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog sobre TCP com criptografia TLS. Durante o handshake inicial, o cliente verifica se o servidor fornece um certificado válido e confiável. O cliente também fornece um certificado ao servidor como prova de sua identidade.

Essa configuração é a mais segura, pois fornece validação completa da identidade do cliente e do servidor e envia mensagens por um canal criptografado.

Importante

A Microsoft recomenda que você use essa configuração para ambientes de produção.

Para configurar o encaminhador syslog com TCP, autenticação mútua e criptografia TLS, configure o servidor e forneça certificado ao cliente para autenticação no servidor.

Execute o seguinte cmdlet em um host físico:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Importante

O certificado do cliente deve conter uma chave privada. Se o certificado do cliente for assinado usando um certificado raiz autoassinado, você também deverá importar o certificado raiz.

Reencaminhamento Syslog com TCP, autenticação de servidor e encriptação TLS

Nessa configuração, o encaminhador syslog no Azure Local encaminha as mensagens para o servidor syslog sobre TCP com criptografia TLS. Durante o handshake inicial, o cliente também verifica se o servidor fornece um certificado válido e confiável.

Essa configuração impede que o cliente envie mensagens para destinos não confiáveis. TCP usando autenticação e criptografia é a configuração padrão e representa o nível mínimo de segurança que a Microsoft recomenda para um ambiente de produção.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Se você quiser testar a integração do seu servidor syslog com o encaminhador syslog local do Azure usando um certificado autoassinado ou não confiável, use esses sinalizadores para ignorar a validação do servidor feita pelo cliente durante o handshake inicial.

  1. Ignore a validação do valor Common Name no certificado do servidor. Use esse sinalizador se você fornecer um endereço IP para seu servidor syslog.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Ignore a validação do certificado do servidor.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Importante

    A Microsoft recomenda que você não use o -SkipServerCertificateCheck sinalizador em ambientes de produção.

Reencaminhamento Syslog com TCP e sem encriptação

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog via TCP sem criptografia. O cliente não verifica a identidade do servidor, nem fornece sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Importante

A Microsoft recomenda que você não use essa configuração em ambientes de produção.

Reencaminhamento Syslog com UDP e sem encriptação

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog sobre UDP, sem criptografia. O cliente não verifica a identidade do servidor, nem fornece sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Embora o UDP sem criptografia seja o mais fácil de configurar, ele não fornece nenhuma proteção contra ataques man-in-the-middle ou espionagem de mensagens.

Importante

A Microsoft recomenda que você não use essa configuração em ambientes de produção.

Habilitar o encaminhamento syslog

Execute o seguinte cmdlet para habilitar o encaminhamento syslog:

Enable-AzSSyslogForwarder [-Force]

O encaminhador Syslog será ativado com a configuração armazenada fornecida pela última chamada bem-sucedida Set-AzSSyslogForwarder . O cmdlet falhará se nenhuma configuração tiver sido fornecida usando Set-AzSSyslogForwardero .

Desativar o encaminhamento syslog

Execute o seguinte cmdlet para desabilitar o encaminhamento syslog:

Disable-AzSSyslogForwarder [-Force]

Parâmetro para Enable-AzSSyslogForwarder e Disable-AzSSyslogForwarder cmdlets:

Parâmetro Description Type Necessário
Force Se especificado, um plano de ação sempre será acionado, mesmo que o estado de destino seja o mesmo atual. Isso pode ser útil para redefinir alterações fora da banda. Sinalizador Não

Verificar a configuração do syslog

Depois de conectar com êxito o cliente syslog ao servidor syslog, você começará a receber notificações de eventos. Se você não vir notificações, verifique a configuração do encaminhador syslog do cluster executando o seguinte cmdlet:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Cada host tem seu próprio agente de encaminhador syslog que usa uma cópia local da configuração do cluster. Espera-se que eles sejam sempre os mesmos que a configuração do cluster. Você pode verificar a configuração atual em cada host usando o seguinte cmdlet:

Get-AzSSyslogForwarder -PerNode

Você também pode usar o seguinte cmdlet para verificar a configuração no host ao qual está conectado:

Get-AzSSyslogForwarder -Local

Parâmetros do cmdlet para o Get-AzSSyslogForwarder cmdlet:

Parâmetro Description Type Necessário
Local Mostrar a configuração usada atualmente no host atual. Sinalizador Não
PerNode Mostrar a configuração usada atualmente em cada host. Sinalizador Não
Cluster Mostrar a configuração global atual no Azure Local. Este é o comportamento padrão se nenhum parâmetro for fornecido. Sinalizador Não

Remover o encaminhamento syslog

Execute o seguinte comando para remover a configuração do encaminhador syslog e parar o encaminhador syslog:

Set-AzSSyslogForwarder -Remove

Esquema de mensagens e referência de log de eventos

O material de referência a seguir documenta o esquema de mensagens syslog e as definições de eventos.

O encaminhador syslog da infraestrutura local do Azure envia mensagens formatadas seguindo o protocolo syslog BSD definido em RFC3164. O CEF também é usado para formatar a carga útil da mensagem syslog.

Cada mensagem syslog é estruturada com base neste esquema: Prioridade (PRI) | Horário | Anfitrião | Carga útil do MIE |

A parte PRI contém dois valores: facilidade e gravidade. Ambos dependem do tipo de mensagem, como o Evento do Windows, etc.

Próximos passos

Saiba mais sobre: