Поделиться через

Управление пересылкой системного журнала для локальной службы Azure

  • Статья

Область применения: Локальная версия Azure, версия 23H2

В этой статье описывается, как настроить события безопасности для перенаправления в систему, управляемую клиентом, в систему управления безопасностью и событиями (SIEM) с помощью протокола системного журнала для локальной среды Azure версии 23H2.

Используйте перенаправление системного журнала для интеграции с решениями мониторинга безопасности и получения соответствующих журналов событий безопасности для хранения их на собственной платформе SIEM. Дополнительные сведения о функциях безопасности в этом выпуске см. в разделе "Безопасность" для локальной версии 23H2.

Настройка пересылки системного журнала

Агенты пересылки системных журналов развертываются на каждом локальном узле Azure по умолчанию, готовы к настройке. Каждый из агентов перенаправит события безопасности в формате системного журнала с узла на сервер системного журнала, настроенный клиентом.

Агенты пересылки системного журнала работают независимо друг от друга, но могут управляться вместе на любом из узлов. Используйте командлеты PowerShell с правами администратора на любом узле для управления поведением всех агентов пересылки.

Средство пересылки системных журналов в Azure Local поддерживает следующие конфигурации:

  • Пересылка системного журнала с помощью TCP, взаимной проверки подлинности (клиента и сервера) и шифрования TLS. В этой конфигурации сервер системного журнала и клиент системного журнала проверяют удостоверение друг друга с помощью сертификатов. Сообщения отправляются через зашифрованный канал TLS. Дополнительные сведения см. в разделе "Пересылка системного журнала" с помощью TCP, взаимной проверки подлинности (клиента и сервера) и шифрования TLS.

  • Пересылка системного журнала с помощью протокола TCP, проверки подлинности сервера и шифрования TLS. В этой конфигурации клиент системного журнала проверяет удостоверение сервера системного журнала с помощью сертификата. Сообщения отправляются через зашифрованный канал TLS. Дополнительные сведения см. в разделе "Переадресация системного журнала" с помощью TCP, проверки подлинности сервера и шифрования TLS.

  • Пересылка системного журнала с помощью TCP и шифрования не выполняется. В этой конфигурации не проверяются удостоверения клиента системного журнала и сервера системного журнала. Сообщения отправляются по протоколу TCP. Дополнительные сведения см. в статье "Переадресация системного журнала с помощью TCP и без шифрования".

  • Системный журнал с UDP и без шифрования: в этой конфигурации клиент системного журнала и удостоверения сервера системного журнала не проверяются. Сообщения отправляются по протоколу UDP. Дополнительные сведения см. в разделе "Пересылка системного журнала с помощью UDP" и без шифрования.

    Внимание

    Чтобы защититься от атак злоумышленника и перехвата сообщений, корпорация Майкрософт настоятельно рекомендует использовать TCP с проверкой подлинности и шифрованием в рабочих средах. Версия шифрования TLS зависит от подтверждения между конечными точками. Протокол TLS 1.2 и TLS 1.3 поддерживаются по умолчанию.

Командлеты для настройки перенаправления системного журнала

Для настройки пересылки системного журнала требуется доступ к физическому узлу с помощью учетной записи администратора домена. Набор командлетов PowerShell был добавлен ко всем локальным узлам Azure для управления поведением сервера пересылки системного журнала.

Командлет Set-AzSSyslogForwarder используется для настройки конфигурации пересылки системного журнала для всех узлов. В случае успешного выполнения экземпляр плана действий будет запущен для настройки агентов пересылки системного журнала на всех узлах. Будет возвращен идентификатор экземпляра плана действий.

Используйте следующий командлет, чтобы передать сведения о сервере syslog в сервер пересылки и настроить транспортный протокол, шифрование, проверку подлинности и необязательный сертификат, используемый между клиентом и сервером:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Параметры командлета

В следующей таблице приведены параметры командлета Set-AzSSyslogForwarder :

Параметр Описание Тип Обязательное поле
ServerName Полное доменное имя или IP-адрес сервера системного журнала. Строка Да
ServerPort Номер порта, через который сервер системного журнала ожидает передачи данных. UInt16 Да
NoEncryption Принудительная отправка сообщений из клиента системного журнала в формате открытого текста. Флаг No
SkipServerCertificateCheck Отмена проверки сертификата, который предоставляется сервером системного журнала во время первоначального подтверждения TLS. Флаг No
SkipServerCNCheck Отмена проверки общего имени сертификата, который предоставляется сервером системного журнала во время первоначального подтверждения TLS. Флаг No
UseUDP Использование UDP в качестве транспортного протокола для системного журнала. Флаг No
ClientCertificateThumbprint Отпечаток сертификата клиента, используемого для взаимодействия с сервером системного журнала. Строка Нет
OutputSeverity Уровень ведения журнала выходных данных. Возможные значения Default (По умолчанию) и Verbose (Подробно). Значение "По умолчанию" включает следующие уровни серьезности: "предупреждение", "критические ошибки"и "ошибка". Значение Verbose включает в себя все уровни серьезности — "подробная информация", "информация", "предупреждение", "критические ошибки" и "ошибка". Строка Нет
Удалить Удалите текущую конфигурацию пересылки системного журнала и остановите средство пересылки системного журнала. Флаг No

Пересылка системного журнала с помощью TCP, взаимной проверки подлинности (клиента и сервера) и шифрования TLS

В этой конфигурации клиент системного журнала в локальной службе Azure перенаправит сообщения на сервер системного журнала через TCP с шифрованием TLS. При первоначальном подтверждении клиент проверяет, что сервер предоставил действительный доверенный сертификат. Клиент также предоставляет серверу сертификат для подтверждения своей идентификации.

Эта конфигурация является самой безопасной, так как она обеспечивает полную проверку удостоверения клиента и сервера, а также отправляет сообщения через зашифрованный канал.

Внимание

Корпорация Майкрософт рекомендует использовать эту конфигурацию для рабочих сред.

Чтобы настроить сервер пересылки системных журналов с помощью TCP, взаимной проверки подлинности и шифрования TLS, настройте сервер и предоставьте клиенту сертификат для проверки подлинности на сервере.

Выполните следующий командлет для физического узла:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Внимание

Сертификат клиента должен содержать закрытый ключ. Если сертификат клиента подписан с помощью самозаверяющего корневого сертификата, необходимо также импортировать корневой сертификат.

Пересылка системного журнала с помощью TCP, проверки подлинности сервера и шифрования TLS

В этой конфигурации средство пересылки системного журнала в локальной среде Azure перенаправит сообщения на сервер системного журнала через TCP с шифрованием TLS. При первоначальном подтверждении клиент проверяет подлинность и доверие предоставленного сервером сертификата.

Такая конфигурация не позволяет клиенту отправить сообщения ненадежным получателям. Протокол TCP с проверкой подлинности и шифрованием используется как конфигурация по умолчанию, так как корпорация Майкрософт считает такой уровень безопасности минимально допустимым для рабочих сред.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Если вы хотите проверить интеграцию сервера системного журнала с локальным сервером пересылки системного журнала Azure с помощью самозаверяющего или ненадежного сертификата, используйте эти флаги, чтобы пропустить проверку сервера, выполненную клиентом во время первоначального подтверждения.

  1. Пропустить проверку значения common Name в сертификате сервера. Используйте этот флаг, если указать IP-адрес для сервера системного журнала.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Пропустите проверку сертификата сервера.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Внимание

    Корпорация Майкрософт рекомендует не использовать -SkipServerCertificateCheck флаг в рабочих средах.

Пересылка системного журнала с помощью TCP и без шифрования

В этой конфигурации клиент системного журнала в локальной службе Azure перенаправит сообщения на сервер системного журнала по протоколу TCP без шифрования. Клиент не проверяет удостоверение сервера, а также не предоставляет собственное удостоверение серверу для проверки.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Внимание

Корпорация Майкрософт рекомендует не использовать эту конфигурацию в рабочих средах.

Переадресация системного журнала с помощью UDP и без шифрования

В этой конфигурации клиент системного журнала в локальной среде Azure перенаправит сообщения на сервер системного журнала по протоколу UDP без шифрования. Клиент не проверяет удостоверение сервера, а также не предоставляет собственное удостоверение серверу для проверки.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Хотя UDP без шифрования является самым простым для настройки, он не обеспечивает никакой защиты от атак в середине или перехвата сообщений.

Внимание

Корпорация Майкрософт рекомендует не использовать эту конфигурацию в рабочих средах.

Включение пересылки системного журнала

Выполните следующий командлет, чтобы включить пересылку системного журнала:

Enable-AzSSyslogForwarder [-Force]

Средство пересылки системного журнала будет включено с хранимой конфигурацией, предоставленной последним успешным Set-AzSSyslogForwarder вызовом. Командлет завершится ошибкой, если конфигурация не была предоставлена.Set-AzSSyslogForwarder

Отключение пересылки системного журнала

Выполните следующий командлет, чтобы отключить пересылку системного журнала:

Disable-AzSSyslogForwarder [-Force]

Параметр для Enable-AzSSyslogForwarder командлетов:Disable-AzSSyslogForwarder

Параметр Описание Тип Обязательное поле
Force Если задано, план действий всегда будет активирован, даже если целевое состояние совпадает с текущим. Это может быть полезно для сброса изменений вне диапазона. Флаг No

Проверка установки системного журнала

После успешного подключения клиента системного журнала к серверу системного журнала вы начнете получать уведомления о событиях. Если уведомления не отображаются, проверьте конфигурацию сервера пересылки системного журнала кластера, выполнив следующий командлет:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Каждый узел имеет собственный агент пересылки системного журнала, использующий локальную копию конфигурации кластера. Они всегда должны совпадать с конфигурацией кластера. Текущую конфигурацию можно проверить на каждом узле с помощью следующего командлета:

Get-AzSSyslogForwarder -PerNode

Можно также использовать следующий командлет, чтобы проверить конфигурацию на узле, к которому вы подключены:

Get-AzSSyslogForwarder -Local

Параметры командлета для командлета Get-AzSSyslogForwarder :

Параметр Описание Тип Обязательное поле
Local Отображение текущей конфигурации на текущем узле. Флаг No
PerNode Отображение текущей используемой конфигурации на каждом узле. Флаг No
Кластер Отображение текущей глобальной конфигурации в локальной среде Azure. Это поведение по умолчанию, если параметр не указан. Флаг No

Удаление пересылки системного журнала

Выполните следующую команду, чтобы удалить конфигурацию пересылки системного журнала и остановить средство пересылки системного журнала:

Set-AzSSyslogForwarder -Remove

Справочник по схеме сообщений и журналу событий

В следующих справочных материалах содержатся сведения о схеме и определениях событий системного журнала.

Средство пересылки системного журнала локальной инфраструктуры Azure отправляет сообщения, отформатированные по протоколу системного журнала BSD, определенному в RFC3164. CEF также используется для форматирования полезных данных сообщения системного журнала.

Каждое сообщение системного журнала структурировано на основе этой схемы: Priority (PRI) | Время | Узел | Полезные данные CEF |

Часть PRI содержит два значения: объект и серьезность. Оба зависят от типа сообщения, например события Windows и т. д.

Следующие шаги

Дополнительные сведения: