Az Azure Local syslog-továbbításának kezelése

A következőkre vonatkozik: Azure Local 2311.2 és újabb verziók

Ez a cikk bemutatja, hogyan konfigurálhatók az ügyfél által felügyelt biztonsági információk és eseménykezelő (SIEM) rendszerekre továbbítandó biztonsági események az Azure Local syslog protokolljával.

A syslog-továbbítással integrálhatja a biztonsági monitorozási megoldásokat, és lekérheti a vonatkozó biztonsági eseménynaplókat, hogy a saját SIEM-platformján tárolja őket megőrzés céljából. A jelen kiadás biztonsági funkcióival kapcsolatos további információkért lásd Azure Localbiztonsági funkcióit.

Syslog-továbbítás konfigurálása

A syslog-továbbítási ügynökök alapértelmezés szerint minden Helyi Azure-gazdagépen üzembe vannak helyezve, konfigurálásra készen. Minden ügynök syslog formátumban továbbítja a biztonsági eseményeket a gazdagépről az ügyfél által konfigurált syslog-kiszolgálóra.

A syslog-továbbítási ügynökök egymástól függetlenül működnek, de bármelyik gazdagépen együtt kezelhetők. Minden gazdagépen rendszergazdai jogosultságokkal rendelkező PowerShell-parancsmagokkal szabályozhatja az összes továbbító ügynök viselkedését.

Az Azure Local rendszernapló-továbbítója a következő konfigurációkat támogatja:

• Syslog-továbbítás TCP-vel, kölcsönös hitelesítéssel (ügyfél és kiszolgáló) és TLS-titkosítással: Ebben a konfigurációban mind a syslog-kiszolgáló, mind a syslog-ügyfél tanúsítványokkal ellenőrzi egymás identitását. A rendszer TLS-alapú titkosított csatornán keresztül küld üzeneteket. További információ: Syslog-továbbítás TCP-vel, kölcsönös hitelesítéssel (ügyfél és kiszolgáló) és TLS-titkosítással.

• Syslog-továbbítás TCP- és kiszolgálóhitelesítéssel és TLS-titkosítással: Ebben a konfigurációban a syslog-ügyfél tanúsítványon keresztül ellenőrzi a syslog-kiszolgáló identitását. A rendszer TLS-alapú titkosított csatornán keresztül küld üzeneteket. További információ: Syslog-továbbítás TCP-vel, kiszolgálóhitelesítéssel és TLS-titkosítással.

• Syslog-továbbítás TCP-vel és titkosítás nélkül: Ebben a konfigurációban a rendszer nem ellenőrzi a syslog-ügyfelet és a syslog-kiszolgálói identitásokat. Az üzeneteket a rendszer tiszta szövegben küldi el TCP-en keresztül. További információért lásd a következőt: Syslog továbbítása TCP-vel és titkosítás nélkül.

• Syslog UDP-vel és titkosítás nélkül: Ebben a konfigurációban a rendszer nem ellenőrzi a syslog-ügyfelet és a syslog-kiszolgálói identitásokat. Az üzeneteket az UDP-ben világos szövegben küldi el a rendszer. További információért lásd: Syslog továbbítás UDP-vel titkosítás nélkül.

  Fontos

  A közbeékelődéses támadások és az üzenetek lehallgatása elleni védelem érdekében a Microsoft határozottan javasolja, hogy az éles környezetekben TCP-t használjon hitelesítéssel és titkosítással. A TLS titkosítási verziója a végpontok közötti kézfogástól függ. A TLS 1.2 és a TLS 1.3 alapértelmezés szerint támogatott.

Parancsmagok a syslog-továbbítás konfigurálásához

A syslog forwarder konfigurálásához tartományi rendszergazdai fiókkal kell hozzáférni a fizikai gazdagéphez. A rendszer powerShell-parancsmagokat ad hozzá az összes Helyi Azure-gazdagéphez a syslog-továbbító viselkedésének szabályozásához.

A Set-AzSSyslogForwarder parancsmag az összes gazdagép syslog továbbító konfigurációjának beállítására szolgál. Sikeres esetén a műveleti terv példánya elkezdi konfigurálni a syslog-forwarder ügynököket az összes gazdagépen. A műveletterv példányazonosítója lesz visszaadva.

A következő parancsmaggal adja át a syslog-kiszolgáló adatait a továbbítónak, és konfigurálja az átviteli protokollt, a titkosítást, a hitelesítést és az ügyfél és a kiszolgáló közötti opcionális tanúsítványt:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove] 

Parancsmag paraméterei

Az alábbi táblázat a Set-AzSSyslogForwarder parancsmag számára ad meg paramétereket.

Syslog-továbbítás TCP-vel, kölcsönös hitelesítéssel (ügyfél és kiszolgáló) és TLS-titkosítással

Ebben a konfigurációban az Azure Local syslog-ügyfele TLS-titkosítással továbbítja az üzeneteket a syslog-kiszolgálónak TCP-en keresztül. A kezdeti kézfogás során az ügyfél ellenőrzi, hogy a kiszolgáló érvényes, megbízható tanúsítványt biztosít-e. Az ügyfél egy tanúsítványt is biztosít a kiszolgálónak az identitás igazolásaként.

Ez a konfiguráció a legbiztonságosabb, mivel teljes körűen ellenőrzi az ügyfél és a kiszolgáló identitását, és titkosított csatornán keresztül küld üzeneteket.

Ha tcp-, kölcsönös hitelesítéssel és TLS-titkosítással szeretné konfigurálni a syslog-továbbítót, konfigurálja a kiszolgálót, és adjon meg tanúsítványt az ügyfélnek a kiszolgálóval való hitelesítéshez.

Futtassa a következő parancsmagot egy fizikai gazdagépen:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Syslog-továbbítás TCP- és kiszolgálóhitelesítéssel és TLS-titkosítással

Ebben a konfigurációban az Azure Local rendszernapló-továbbítója TLS-titkosítással továbbítja az üzeneteket a syslog-kiszolgálónak TCP-en keresztül. A kezdeti kézfogás során az ügyfél azt is ellenőrzi, hogy a kiszolgáló érvényes, megbízható tanúsítványt biztosít-e.

Ez a konfiguráció megakadályozza, hogy az ügyfél üzeneteket küldjön nem megbízható helyekre. A hitelesítést és titkosítást használó TCP az alapértelmezett konfiguráció, amely azt a minimális biztonsági szintet jelöli, amelyet a Microsoft az éles környezetben javasol.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Ha önaláírt vagy nem megbízható tanúsítvány használatával szeretné tesztelni a syslog-kiszolgáló és az Azure Local syslog forwarder integrációját, az alábbi jelzőkkel kihagyhatja az ügyfél által végzett kiszolgálóérvényesítést a kezdeti kézfogás során.

1. Hagyja ki a common name érték érvényesítését a kiszolgálótanúsítványban. Ezt a jelzőt akkor használja, ha ip-címet ad meg a syslog-kiszolgálóhoz.

   Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
   -SkipServerCNCheck
   

2. Hagyja ki a kiszolgálótanúsítvány érvényesítését.

   Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
   -SkipServerCertificateCheck
   

   Fontos

   Microsoft azt javasolja, hogy ne használja a -SkipServerCertificateCheck jelzőt éles környezetben.

Syslog-továbbítás TCP-vel és titkosítás nélkül

Ebben a konfigurációban az Azure Local syslog-ügyfele titkosítás nélkül továbbítja az üzeneteket a syslog-kiszolgálónak TCP-n keresztül. Az ügyfél nem ellenőrzi a kiszolgáló identitását, és nem adja meg a saját identitását a kiszolgálónak ellenőrzés céljából.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Syslog-továbbítás UDP-vel és titkosítás nélkül

Ebben a konfigurációban az Azure Local syslog-ügyfele UDP-n keresztül továbbítja az üzeneteket a syslog-kiszolgálónak titkosítás nélkül. Az ügyfél nem ellenőrzi a kiszolgáló identitását, és nem adja meg a saját identitását a kiszolgálónak ellenőrzés céljából.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Bár a titkosítás nélküli UDP a legegyszerűbben konfigurálható, nem nyújt védelmet a középen belüli támadások vagy az üzenetek lehallgatása ellen.

Syslog-továbbítás engedélyezése

Futtassa a következő parancsmagot a syslog-továbbítás engedélyezéséhez:

Enable-AzSSyslogForwarder [-Force]

A syslog forwarder az utolsó sikeres Set-AzSSyslogForwarder hívás által biztosított tárolt konfigurációval lesz engedélyezve. A parancsmag sikertelen lesz, ha nem lett megadva konfiguráció Set-AzSSyslogForwarder használatával.

A syslog-továbbítás letiltása

Futtassa a következő parancsmagot a syslog-továbbítás letiltásához:

Disable-AzSSyslogForwarder [-Force] 

Enable-AzSSyslogForwarder és Disable-AzSSyslogForwarder parancsmagok paramétere:

A syslog beállításának ellenőrzése

Miután sikeresen csatlakoztatta a syslog-ügyfelet a syslog-kiszolgálóhoz, eseményértesítéseket fog kapni. Ha nem látja az értesítéseket, ellenőrizze a fürt syslog forwarder konfigurációját a következő parancsmag futtatásával:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster] 

Minden gazdagépnek megvan a saját syslog továbbító ügynöke, amely a klaszterkonfiguráció helyi példányát használja. A fürtkonfigurációval mindig azonosnak kell lenniük. Az aktuális konfigurációt az egyes hosztokon az alábbi parancsmaggal ellenőrizheti:

Get-AzSSyslogForwarder -PerNode 

A következő parancsmaggal is ellenőrizheti a konfigurációt azon a gazdagépen, amelyhez csatlakozik:

Get-AzSSyslogForwarder -Local

A Get-AzSSyslogForwarder parancsmag paraméterei:

Syslog-továbbítás eltávolítása

Futtassa a következő parancsot a syslog forwarder konfigurációjának eltávolításához és a syslog forwarder leállításához:

Set-AzSSyslogForwarder -Remove 

Üzenetséma és eseménynapló referenciája

Az alábbi referenciaanyag a syslog üzenetsémát és az eseménydefiníciókat tartalmazza.

Következő lépések

További információk:

• Az Azure Local biztonsági alapkonfigurációs beállításai.
• Windows Defender alkalmazásvezérlő Azure Localhoz.
• BitLocker az Azure Local-hoz.