Dela via

Hantera syslog-vidarebefordran för Azure Local

  • Artikel

Gäller för: Azure Local 2311.2 och senare

Den här artikeln beskriver hur du konfigurerar säkerhetshändelser som ska vidarebefordras till ett kundhanterat system för säkerhetsinformation och händelsehantering (SIEM) med hjälp av syslog-protokollet för Azure Local, version 23H2.

Använd syslog-vidarebefordran för att integrera med säkerhetsövervakningslösningar och för att hämta relevanta säkerhetshändelseloggar för att lagra dem för kvarhållning på din egen SIEM-plattform. Mer information om säkerhetsfunktioner i den här versionen finns i Säkerhetsfunktioner för Azure Local, version 23H2.

Konfigurera syslog-vidarebefordran

Syslog-vidarebefordran agenter distribueras på varje Lokal Azure-värd som standard, redo att konfigureras. Var och en av agenterna vidarebefordrar säkerhetshändelser i syslog-format från värden till den kundkonfigurerade syslog-servern.

Syslog-vidarebefordrande agenter fungerar oberoende av varandra men kan hanteras tillsammans på någon av värdarna. Använd PowerShell-cmdletar med administratörsbehörighet på alla värdar för att kontrollera beteendet för alla vidarebefordraragenter.

Syslog-vidarebefordraren i Azure Local stöder följande konfigurationer:

  • Syslog-vidarebefordran med TCP, ömsesidig autentisering (klient och server) och TLS-kryptering: I den här konfigurationen kontrollerar både syslog-servern och syslog-klienten varandras identitet via certifikat. Meddelanden skickas via en TLS-krypterad kanal. Mer information finns i Syslog-vidarebefordran med TCP, ömsesidig autentisering (klient och server) och TLS-kryptering.

  • Syslog-vidarebefordran med TCP, serverautentisering och TLS-kryptering: I den här konfigurationen verifierar syslog-klienten syslog-klienten syslog-serverns identitet via ett certifikat. Meddelanden skickas via en TLS-krypterad kanal. Mer information finns i Syslog-vidarebefordran med TCP, serverautentisering och TLS-kryptering.

  • Syslog-vidarebefordran med TCP och ingen kryptering: I den här konfigurationen verifieras inte syslog-klienten och syslog-serveridentiteterna. Meddelanden skickas i klartext via TCP. Mer information finns i Syslog-vidarebefordran med TCP och ingen kryptering.

  • Syslog med UDP och ingen kryptering: I den här konfigurationen verifieras inte syslog-klienten och syslog-serveridentiteterna. Meddelanden skickas i klartext via UDP. Mer information finns i Syslog-vidarebefordran med UDP och ingen kryptering.

    Viktigt!

    För att skydda mot man-in-the-middle-attacker och avlyssning av meddelanden rekommenderar Microsoft starkt att du använder TCP med autentisering och kryptering i produktionsmiljöer. TLS-krypteringsversionen beror på handskakningen mellan slutpunkterna. Både TLS 1.2 och TLS 1.3 stöds som standard.

Cmdletar för att konfigurera syslog-vidarebefordran

För att konfigurera syslog-vidarebefordraren krävs åtkomst till den fysiska värden med hjälp av ett domänadministratörskonto. En uppsättning PowerShell-cmdletar har lagts till i alla Lokala Azure-värdar för att styra beteendet för syslog-vidarebefordraren.

Cmdleten Set-AzSSyslogForwarder används för att ange konfigurationen för syslog-vidarebefordraren för alla värdar. Om det lyckas startas en åtgärdsplansinstans för att konfigurera syslog-vidarebefordrarens agenter på alla värdar. Åtgärdsplanens instans-ID returneras.

Använd följande cmdlet för att skicka syslog-serverinformationen till vidarebefordraren och för att konfigurera transportprotokollet, krypteringen, autentiseringen och det valfria certifikat som används mellan klienten och servern:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Cmdlet-parametrar

Följande tabell innehåller parametrar för cmdleten Set-AzSSyslogForwarder :

Parameter Description Typ Obligatoriskt
ServerName FQDN eller IP-adress för syslog-servern. String Ja
ServerPort Portnummer som syslog-servern lyssnar på. UInt16 Ja
NoEncryption Tvinga klienten att skicka syslog-meddelanden i klartext. Flagga Nej
SkipServerCertificateCheck Hoppa över valideringen av certifikatet som tillhandahålls av syslog-servern under den inledande TLS-handskakningen. Flagga Nej
SkipServerCNCheck Hoppa över valideringen av common name-värdet för certifikatet som tillhandahålls av syslog-servern under den första TLS-handskakningen. Flagga Nej
UseUDP Använd syslog med UDP som transportprotokoll. Flagga Nej
ClientCertificateThumbprint Tumavtryck för klientcertifikatet som används för att kommunicera med syslog-servern. String Nej
OutputSeverity Utdataloggningsnivå. Värden är Standard eller Utförliga. Standardvärdet innehåller allvarlighetsnivåer: varning, kritisk eller fel. Utförligt innehåller alla allvarlighetsnivåer: utförlig, information, varning, kritisk eller fel. String Nej
Ta bort Ta bort den aktuella syslog-vidarebefordrarens konfiguration och stoppa syslog-vidarebefordraren. Flagga Nej

Syslog-vidarebefordran med TCP, ömsesidig autentisering (klient och server) och TLS-kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Local meddelanden till syslog-servern via TCP med TLS-kryptering. Under den första handskakningen verifierar klienten att servern tillhandahåller ett giltigt, betrott certifikat. Klienten tillhandahåller också ett certifikat till servern som bevis på dess identitet.

Den här konfigurationen är den säkraste eftersom den ger fullständig validering av identiteten för både klienten och servern, och den skickar meddelanden via en krypterad kanal.

Viktigt!

Microsoft rekommenderar att du använder den här konfigurationen för produktionsmiljöer.

Konfigurera syslog-vidarebefordraren med TCP, ömsesidig autentisering och TLS-kryptering genom att konfigurera servern och tillhandahålla certifikat till klienten för att autentisera mot servern.

Kör följande cmdlet mot en fysisk värd:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Viktigt!

Klientcertifikatet måste innehålla en privat nyckel. Om klientcertifikatet signeras med ett självsignerat rotcertifikat måste du även importera rotcertifikatet.

Syslog-vidarebefordran med TCP, serverautentisering och TLS-kryptering

I den här konfigurationen vidarebefordrar syslog-vidarebefordraren i Azure Local meddelandena till syslog-servern via TCP med TLS-kryptering. Under den första handskakningen verifierar klienten också att servern tillhandahåller ett giltigt, betrott certifikat.

Den här konfigurationen förhindrar att klienten skickar meddelanden till ej betrodda mål. TCP med autentisering och kryptering är standardkonfigurationen och representerar den lägsta säkerhetsnivå som Microsoft rekommenderar för en produktionsmiljö.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Om du vill testa integreringen av din syslog-server med Azure Local syslog-vidarebefordraren med hjälp av ett självsignerat eller ej betrott certifikat använder du dessa flaggor för att hoppa över serververifieringen som utfördes av klienten under det första handskakningen.

  1. Hoppa över valideringen av common name-värdet i servercertifikatet. Använd den här flaggan om du anger en IP-adress för din syslog-server.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Hoppa över verifieringen av servercertifikatet.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Viktigt!

    Microsoft rekommenderar att du inte använder -SkipServerCertificateCheck flaggan i produktionsmiljöer.

Syslog-vidarebefordran med TCP och ingen kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Local meddelanden till syslog-servern via TCP utan kryptering. Klienten verifierar inte serverns identitet och tillhandahåller inte heller en egen identitet till servern för verifiering.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Viktigt!

Microsoft rekommenderar att du inte använder den här konfigurationen i produktionsmiljöer.

Syslog-vidarebefordran med UDP och ingen kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Local meddelanden till syslog-servern via UDP, utan kryptering. Klienten verifierar inte serverns identitet och tillhandahåller inte heller en egen identitet till servern för verifiering.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Udp utan kryptering är det enklaste att konfigurera, men det ger inget skydd mot man-in-the-middle-attacker eller avlyssning av meddelanden.

Viktigt!

Microsoft rekommenderar att du inte använder den här konfigurationen i produktionsmiljöer.

Aktivera syslog-vidarebefordran

Kör följande cmdlet för att aktivera syslog-vidarebefordran:

Enable-AzSSyslogForwarder [-Force]

Syslog-vidarebefordraren aktiveras med den lagrade konfigurationen som tillhandahålls av det senaste lyckade Set-AzSSyslogForwarder anropet. Cmdleten misslyckas om ingen konfiguration har angetts med hjälp av Set-AzSSyslogForwarder.

Inaktivera syslog-vidarebefordran

Kör följande cmdlet för att inaktivera syslog-vidarebefordran:

Disable-AzSSyslogForwarder [-Force]

Parameter för Enable-AzSSyslogForwarder och Disable-AzSSyslogForwarder cmdletar:

Parameter Description Typ Obligatoriskt
Force Om det anges utlöses alltid en åtgärdsplan även om måltillståndet är detsamma som aktuellt. Detta kan vara användbart för att återställa out-of-band-ändringar. Flagga Nej

Kontrollera konfigurationen av syslog

När du har anslutit syslog-klienten till din syslog-server börjar du ta emot händelsemeddelanden. Om du inte ser meddelanden kontrollerar du konfigurationen av syslog-vidarebefordraren i klustret genom att köra följande cmdlet:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Varje värd har en egen syslog-vidarebefordrare som använder en lokal kopia av klusterkonfigurationen. De förväntas alltid vara samma som klusterkonfigurationen. Du kan kontrollera den aktuella konfigurationen på varje värd med hjälp av följande cmdlet:

Get-AzSSyslogForwarder -PerNode

Du kan också använda följande cmdlet för att verifiera konfigurationen på den värd som du är ansluten till:

Get-AzSSyslogForwarder -Local

Cmdlet-parametrar för cmdleten Get-AzSSyslogForwarder :

Parameter Description Typ Obligatoriskt
Lokal Visa konfiguration som används för närvarande på den aktuella värden. Flagga Nej
Pernod Visa konfiguration som används för varje värd. Flagga Nej
Kluster Visa aktuell global konfiguration på Azure Local. Det här är standardbeteendet om ingen parameter anges. Flagga Nej

Ta bort syslog-vidarebefordran

Kör följande kommando för att ta bort syslog-vidarebefordrarens konfiguration och stoppa syslog-vidarebefordraren:

Set-AzSSyslogForwarder -Remove

Referens för meddelandeschema och händelselogg

Följande referensmaterialdokument syslog meddelandeschema och händelsedefinitioner.

Syslog-vidarebefordraren för den lokala Azure-infrastrukturen skickar meddelanden som är formaterade efter BSD-syslogprotokollet som definierats i RFC3164. CEF används också för att formatera nyttolasten för syslog-meddelanden.

Varje syslog-meddelande är strukturerat baserat på det här schemat: Prioritet (PRI) | Tid | Värd | CEF-nyttolast |

PRI-delen innehåller två värden: anläggning och allvarlighetsgrad. Båda beror på typen av meddelande, till exempel Windows-händelse osv.

Nästa steg

Läs mer om: