Bagikan melalui

Keamanan data Log Azure Monitor

  • Artikel

Artikel ini menjelaskan cara Azure Monitor mengumpulkan, memproses, dan mengamankan data log, dan menjelaskan fitur keamanan yang dapat Anda gunakan untuk lebih mengamankan lingkungan Azure Monitor Anda. Informasi dalam artikel ini khusus untuk Log Azure Monitor dan melengkapi informasi di Azure Trust Center.

Azure Monitor Logs mengelola data berbasis cloud Anda dengan aman menggunakan:

  • Pemisahan data
  • Retensi data
  • Keamanan fisik
  • Manajemen insiden
  • Kepatuhan
  • Sertifikasi standar keamanan

Hubungi kami dengan pertanyaan, saran, atau masalah apa pun tentang informasi berikut, termasuk kebijakan keamanan kami di Opsi dukungan Azure.

Mengirim data dengan aman menggunakan TLS

Untuk memastikan keamanan data saat transit ke Azure Monitor, kami sangat mendorong Anda untuk mengonfigurasi agen untuk menggunakan setidaknya Keamanan Lapisan Transportasi (TLS) 1.3. Versi TLS/Secure Sockets Layer (SSL)yang lebih lama dianggap rentan dan sewaktu masih digunakan untuk mengaktifkan kompatibilitas mundur, versi tersebut tidak disarankan, dan industri dengan cepat bergerak untuk meninggalkan dukungan untuk protokol yang lebih lama ini.

Badan Standar Keamanan PCI sudah menetapkan tenggat waktu pada 30 Juni 2018 untuk menonaktifkan versi TLS/SSL yang lebih lama dan meningkatkan ke protokol yang lebih aman. Setelah Azure menghilangkan dukungan warisan, jika agen Anda tidak dapat berkomunikasi setidaknya melalui TLS 1.3, Anda tidak akan dapat mengirim data ke Log Azure Monitor.

Kami sarankan Anda TIDAK secara eksplisit mengatur agen Anda untuk hanya menggunakan TLS 1.3 kecuali diperlukan. Sebaiknya Anda mengizinkan agar agen secara otomatis mendeteksi, menegosiasi, dan memanfaatkan standar keamanan di masa mendatang. Jika tidak, Anda mungkin melewatkan keamanan tambahan dari standar yang lebih baru dan mungkin mengalami masalah jika TLS 1.3 tidak digunakan lagi demi standar yang lebih baru tersebut.

Panduan khusus platform

Platform/Bahasa Dukungan Informasi Selengkapnya
Linux Distribusi Linux cenderung mengandalkan OpenSSL untuk dukungan TLS 1.2. Periksa OpenSSL Changelog untuk mengonfirmasi bahwa versi OpenSSL Anda didukung.
Windows 8.0 - 10 Didukung, dan diaktifkan secara default. Untuk mengonfirmasi bahwa Anda masih menggunakan pengaturan default.
Windows Server 2012 - 2016 Didukung, dan diaktifkan secara default. Untuk mengonfirmasi bahwa Anda masih menggunakan pengaturan default
Windows 7 SP1 dan Windows Server 2008 R2 SP1 Didukung, tetapi tidak diaktifkan secara default. Lihat halaman Pengaturan registri Keamanan Lapisan Transportasi (TLS) untuk detail tentang cara mengaktifkan.

Pemisahan data

Setelah data Anda diserap oleh Azure Monitor, data disimpan secara logis terpisah pada setiap komponen di seluruh layanan. Semua data diberi label per ruang kerja. Pemberian tag ini berlangsung seluruh siklus hidup data, dan diterapkan di setiap lapisan layanan. Data Anda disimpan dalam database khusus di kluster penyimpanan di wilayah yang telah Anda pilih.

Retensi data

Data pencarian log terindeks disimpan dan dipertahankan sesuai dengan paket harga Anda. Untuk informasi selengkapnya, lihatHarga Analitik Log.

Sebagai bagian dari perjanjian langganan Anda, Microsoft menyimpan data Anda sesuai ketentuan perjanjian. Saat data pelanggan dihapus, tidak ada drive fisik yang dihancurkan.

Tabel berikut ini mencantumkan beberapa solusi yang tersedia dan menyediakan contoh jenis data yang mereka kumpulkan.

Solusi Jenis data
Kapasitas dan Performa Data performa dan metadata
Manajemen Pembaruan Metadata dan data status
Manajemen log Log kejadian yang ditentukan pengguna, Log Kejadian Windows, dan/atau Log IIS
Pelacakan Perubahan Inventaris perangkat lunak, layanan Windows, dan metadata daemon Linux, dan metadata file Windows/Linux
Penilaian SQL dan Direktori Aktif Data WMI, data registri, data performa, dan hasil tampilan manajemen dinamis SQL Server

Tabel berikut ini memperlihatkan contoh jenis data:

Jenis data Bidang
Peringatan Alert Name, Alert Description, BaseManagedEntityId, Problem ID, IsMonitorAlert, RuleId, ResolutionState, Priority, Severity, Category, Owner, ResolvedBy, TimeRaised, TimeAdded, LastModified, LastModifiedBy, LastModifiedExceptRepeatCount, TimeResolved, TimeResolutionStateLastModified, TimeResolutionStateLastModifiedInDB, RepeatCount
Konfigurasi CustomerID, AgenID, EntityID, ManagedTypeID, ManagedTypePropertyID, CurrentValue, ChangeDate
Kejadian EventId, EventOriginalID, BaseManagedEntityInternalId, RuleId, PublisherId, PublisherName, FullNumber, Number, Category, ChannelLevel, LoggingComputer, EventData, EventParameters, TimeGenerated, TimeAdded
Catatan: Saat Anda menulis kejadian dengan bidang isian kustom ke log kejadian Windows, Analitik Log akan mengumpulkannya.
Metadata BaseManagedEntityId, ObjectStatus, OrganizationalUnit, ActiveDirectoryObjectSid, PhysicalProcessors, NetworkName, IPAddress, ForestDNSName, NetbiosComputerName, VirtualMachineName, LastInventoryDate, HostServerNameIsVirtualMachine, IP Address, NetbiosDomainName, LogicalProcessors, DNSName, DisplayName, DomainDnsName, ActiveDirectorySite, PrincipalName, OffsetInMinuteFromGreenwichTime
Performa ObjectName, CounterName, PerfmonInstanceName, PerformanceDataId, PerformanceSourceInternalID, SampleValue, TimeSampled, TimeAdded
Provinsi StateChangeEventId, StateId, NewHealthState, OldHealthState, Context, TimeGenerated, TimeAdded, StateId2, BaseManagedEntityId, MonitorId, HealthState, LastModified, LastGreenAlertGenerated, DatabaseTimeModified

Keamanan fisik

Azure Monitor dikelola oleh personel Microsoft dan semua aktivitas dicatat dan dapat diaudit. Azure Monitor dioperasikan sebagai Layanan Azure dan memenuhi semua persyaratan Kepatuhan dan Keamanan Microsoft Azure. Anda bisa melihat detail tentang keamanan fisik aset Azure di halaman 18 dari Ringkasan Keamanan Microsoft Azure. Hak akses fisik ke area aman diubah dalam satu hari kerja bagi siapa saja yang tidak lagi bertanggung jawab atas layanan Azure Monitor, termasuk transfer dan penghentian. Anda dapat membaca tentang infrastruktur fisik global yang kami gunakan di Pusat data Microsoft.

Manajemen insiden

Azure Monitor memiliki proses manajemen insiden yang dipatuhi oleh semua layanan Microsoft. Untuk meringkas, kami:

  • Gunakan model tanggung jawab bersama di mana sebagian tanggung jawab keamanan milik Microsoft dan sebagian milik pelanggan
  • Mengelola insiden keamanan Azure:
    • Memulai penyelidikan setelah mendeteksi insiden
    • Menilai dampak dan tingkat keparahan insiden oleh anggota tim respons insiden on-call. Berdasarkan bukti, penilaian mungkin atau mungkin tidak mengakibatkan eskalasi lebih lanjut ke tim respons keamanan.
    • Mendiagnosis insiden oleh pakar respons keamanan untuk melakukan penyelidikan teknis atau forensik, mengidentifikasi penahanan, mitigasi, dan mengatasi strategi. Jika tim keamanan percaya bahwa data pelanggan dapat terekspos ke individu yang melanggar hukum atau tidak sah, eksekusi paralel dari proses Pemberitahuan Insiden Pelanggan dimulai secara paralel.
    • Stabilkan dan pulihkan dari insiden. Tim respons insiden membuat rencana pemulihan untuk meredakan masalah. Langkah-langkah penahanan krisis seperti mengkarantina sistem yang terkena dampak dapat segera terjadi dan paralel dengan diagnosis. Mitigasi jangka panjang dapat direncanakan yang terjadi setelah risiko segera berlalu.
    • Tutup insiden dan lakukan pasca mortem. Tim respons insiden membuat pasca mortem yang menguraikan detail insiden, dengan nita untuk merevisi kebijakan, prosedur, dan proses untuk mencegah terulangnya peristiwa tersebut.
  • Beri tahu pelanggan tentang insiden keamanan:
    • Menentukan cakupan pelanggan yang terkena dampak dan untuk memberikan siapa saja yang terkena dampak sebagai pemberitahuan sedetail mungkin
    • Buat pemberitahuan untuk memberi pelanggan informasi yang cukup rinci sehingga mereka dapat melakukan penyelidikan pada akhir mereka dan memenuhi komitmen apa pun yang telah mereka buat kepada pengguna akhir mereka sehingga tidak menunda proses pemberitahuan.
    • Konfirmasikan dan nyatakan insiden, seperlunya.
    • Beri tahu pelanggan dengan pemberitahuan insiden tanpa penundaan yang tidak masuk akal dan sesuai dengan komitmen hukum atau kontraktual apa pun. Pemberitahuan insiden keamanan dikirimkan ke satu atau beberapa admin pelanggan dengan cara apa pun yang dipilih Microsoft, termasuk melalui email.
  • Lakukan kesiapan dan pelatihan tim:
    • Petugas Microsoft diharuskan untuk menyelesaikan pelatihan keamanan dan kesadaran, yang membantu mereka mengidentifikasi dan melaporkan masalah keamanan yang dicurigai.
    • Operator yang bekerja pada layanan Microsoft Azure memiliki kewajiban pelatihan tambahan seputar akses mereka ke sistem sensitif yang menghosting data pelanggan.
    • Petugas respons keamanan Microsoft menerima pelatihan khusus untuk peran mereka

Meskipun jarang, Microsoft memberi tahu setiap pelanggan dalam satu hari jika kehilangan data pelanggan yang signifikan terjadi.

Untuk informasi selengkapnya tentang bagaimana Microsoft merespons insiden keamanan, lihat Respons Keamanan Microsoft Azure di Cloud.

Kepatuhan

Program pemerintahan dan keamanan informasi tim layanan serta pengembangan perangkat lunak Azure Monitor mendukung persyaratan bisnisnya dan mematuhi undang-undang serta peraturan seperti yang dijelaskan di Pusat Kepercayaan Microsoft Azure dan Kepatuhan Pusat Kepercayaan Microsoft. Cara Log Azure Monitor menetapkan persyaratan keamanan, mengidentifikasi kontrol keamanan, mengelola, dan memantau risiko juga dijelaskan di sana. Setiap tahun, kami meninjau kebijakan, standar, prosedur, dan panduan.

Setiap anggota tim pengembangan menerima pelatihan keamanan aplikasi formal. Secara internal, kami menggunakan sistem kontrol versi untuk pengembangan perangkat lunak. Setiap proyek perangkat lunak dilindungi oleh sistem kontrol versi.

Microsoft memiliki tim keamanan dan kepatuhan yang mengawasi dan menilai semua layanan di Microsoft. Petugas keamanan informasi membentuk tim dan mereka tidak terkait dengan tim teknik yang mengembangkan Analitik Log. Petugas keamanan memiliki rantai manajemen sendiri dan melakukan penilaian independen terhadap produk dan layanan untuk memastikan keamanan dan kepatuhan.

Dewan direksi Microsoft diberitahu oleh laporan tahunan tentang semua informasi program keamanan di Microsoft.

Tim pengembangan dan layanan perangkat lunak Analitik Log secara aktif bekerja sama dengan tim Hukum dan Kepatuhan Microsoft dan mitra industri lainnya untuk memperoleh berbagai sertifikasi.

Sertifikasi dan pengesahan

Analitik Log Azure memenuhi persyaratan berikut:

Catatan

Dalam beberapa sertifikasi/pengesahan, Log Azure Monitor terdaftar di bawah nama sebelumnya Operational Insights.

Aliran data keamanan komputasi cloud

Diagram berikut menunjukkan arsitektur keamanan cloud sebagai aliran informasi dari perusahaan Anda dan cara mengamankannya saat dipindahkan ke Azure Monitor, yang akhirnya terlihat oleh Anda di portal Microsoft Azure. Informasi selengkapnya tentang setiap langkah, ikuti diagram.

Gambar pengumpulan dan keamanan data Log Azure Monitor

1. Daftar ke Azure Monitor dan kumpulkan data

Agar organisasi Anda dapat mengirim data ke Log Azure MonitorAnda harus mengonfigurasi agen Windows atau Linux yang berjalan di komputer virtual Azure, atau di komputer virtual atau komputer fisik di lingkungan Anda atau penyedia cloud lainnya. Jika Anda menggunakan Manajer Operasi, dari grup manajemen, Anda mengonfigurasikan agen Manajer Operasi. Pengguna (yang mungkin Anda, pengguna individu lain, atau sekelompok orang) membuat satu atau beberapa ruang kerja Analitik Log, dan mendaftarkan agen dengan menggunakan salah satu akun berikut:

Ruang kerja Analitik Log adalah tempat data dikumpulkan, diagregat, dianalisis, dan disajikan. Ruang kerja terutama digunakan sebagai sarana untuk mempartisi data, dan setiap ruang kerja unik. Misalnya, Anda mungkin ingin data produksi Anda dikelola oleh satu ruang kerja dan data pengujian dikelola oleh ruang kerja lain. Ruang kerja juga membantu admin mengontrol akses pengguna ke data. Setiap ruang kerja dapat memiliki beberapa akun pengguna yang terkait dengannya, dan setiap akun pengguna dapat mengakses beberapa ruang kerja Analitik Log. Anda membuat ruang kerja berdasarkan wilayah pusat data.

Untuk Manajer Operasi, grup manajemen Manajer Operasi membuat sambungan dengan layanan Azure Monitor. Anda kemudian mengonfigurasi sistem yang dikelola agen mana dalam grup manajemen diizinkan untuk mengumpulkan dan mengirim data ke layanan. Bergantung pada solusi yang Anda aktifkan, data dari solusi ini dikirim langsung dari server manajemen Manajer Operasi ke layanan Azure Monitor, atau karena volume data yang dikumpulkan oleh sistem yang dikelola agen, dikirim langsung dari agen ke layanan. Untuk sistem yang tidak dipantau oleh Manajer Operasi, masing-masing terhubung dengan aman ke layanan Azure Monitor secara langsung.

Semua komunikasi antara sistem yang terhubung dan layanan Azure Monitor dienkripsi. Protokol TLS (HTTPS) digunakan untuk enkripsi. Proses Microsoft SDL diikuti untuk memastikan Analitik Log sudah diperbarui dengan kemajuan terbaru dalam protokol kriptografi.

Setiap jenis agen mengumpulkan data log untuk Azure Monitor. Jenis data yang dikumpulkan bergantung pada konfigurasi ruang kerja Anda dan fitur Azure Monitor lainnya.

2. Mengirim data dari agen

Anda mendaftarkan semua jenis agen dengan kunci pendaftaran dan koneksi aman yang dibuat antara agen dan layanan Azure Monitor menggunakan autentikasi berbasis sertifikat dan TLS dengan port 443. Azure Monitor menggunakan penyimpanan rahasia untuk menghasilkan dan memelihara kunci. Kunci privat diputar setiap 90 hari dan disimpan di Azure dan dikelola oleh operasi Azure yang mengikuti praktik peraturan dan kepatuhan yang ketat.

Dengan Manajer Operasi, grup manajemen yang terdaftar di ruang kerja Analitik Log membangun koneksi HTTPS yang aman dengan server manajemen Manajer Operasi.

Untuk agen Windows atau Linux yang berjalan di komputer virtual Azure, kunci penyimpanan baca-saja digunakan untuk membaca peristiwa diagnostik di tabel Azure.

Dengan agen yang melapor ke grup manajemen Manajer Operasi yang terintegrasi dengan Azure Monitor, jika server manajemen tidak dapat berkomunikasi dengan layanan karena alasan apa pun, data yang dikumpulkan disimpan secara lokal di cache sementara di server manajemen. Mereka mencoba mengirim ulang data setiap delapan menit selama dua jam. Untuk data yang melewati server manajemen dan dikirim langsung ke Azure Monitor, perilakunya konsisten dengan agen Windows.

Windows atau data cache agen server manajemen dilindungi oleh penyimpanan info masuk sistem operasi. Jika layanan tidak dapat memproses data setelah dua jam, agen akan mengantrekan data. Jika antrean menjadi penuh, agen mulai menjatuhkan jenis data, dimulai dengan data performa. Batas antrean agen adalah kunci registri sehingga Anda dapat memodifikasinya, jika perlu. Data yang dikumpulkan dikompresi dan dikirim ke layanan, melewati database grup manajemen Manajer Operasi, sehingga tidak menambahkan beban apa pun ke dalamnya. Setelah data yang dikumpulkan dikirim, data dihapus dari cache.

Seperti dijelaskan di atas, data dari server manajemen atau agen yang terhubung langsung dikirim melalui TLS ke pusat data Microsoft Azure. Secara opsional, Anda dapat menggunakan Azure ExpressRoute untuk memberikan keamanan tambahan untuk data. Azure ExpressRoute adalah cara untuk langsung terhubung ke Azure dari jaringan WAN Anda yang sudah ada, seperti VPN peralihan label multi-protokol (MPLS), yang disediakan oleh penyedia layanan jaringan. Untuk informasi selengkapnya, lihat ExpressRoute dan Apakah lalu lintas agen saya menggunakan koneksi Azure ExpressRoute saya?.

3. Layanan Azure Monitor menerima dan memproses data

Layanan Azure Monitor memastikan bahwa data yang masuk berasal dari sumber tepercaya dengan memvalidasi sertifikat dan integritas data dengan autentikasi Microsoft Azure. Data mentah yang tidak diolah kemudian disimpan di Azure Event Hubs di wilayah tersebut, data akhirnya akan disimpan saat tidak aktif. Jenis data yang disimpan bergantung pada jenis solusi yang diimpor dan digunakan untuk mengumpulkan data. Kemudian, layanan Azure Monitor memproses data mentah dan menyerapnya ke dalam database.

Periode retensi data yang dikumpulkan disimpan dalam database bergantung pada paket harga yang dipilih. Untuk tingkat Gratis, data yang dikumpulkan tersedia selama tujuh hari. Untuk tingkat Berbayar, data yang dikumpulkan tersedia selama 31 hari secara default, tetapi dapat diperpanjang hingga 730 hari. Data disimpan dienkripsi saat tidak aktif di penyimpanan Azure, untuk memastikan kerahasiaan data, dan data direplikasi dalam wilayah lokal menggunakan penyimpanan redundan lokal (LRS), atau penyimpanan zona redundan (ZRS) di wilayah yang didukung. Dua minggu terakhir data juga disimpan dalam cache berbasis SSD dan cache ini dienkripsi.

Data dalam penyimpanan database tidak dapat diubah setelah diserap tetapi dapat dihapus melalui jalur API penghapusan menyeluruh. Meskipun data tidak dapat diubah, beberapa sertifikasi mengharuskan data tetap tidak dapat diubah dan tidak dapat diubah atau dihapus dalam penyimpanan. Ketetapan data dapat dicapai menggunakan ekspor data ke akun penyimpanan yang dikonfigurasi sebagai penyimpanan yang tidak dapat diubah.

4. Gunakan Azure Monitor untuk mengakses data

Untuk mengakses ruang kerja Analitik Log, Anda masuk ke portal Azure menggunakan akun organisasi atau akun Microsoft yang Anda siapkan sebelumnya. Semua lalu lintas antara portal dan layanan Azure Monitor dikirim melalui saluran HTTPS yang aman. Saat menggunakan portal, ID sesi dibuat pada klien pengguna (browser web) dan data disimpan di cache lokal hingga sesi dihentikan. Ketika dihentikan, cache dihapus. Cookie sisi klien, yang tidak berisi informasi identitas pribadi, tidak dihapus secara otomatis. Cookie sesi ditandai HTTPOnly dan diamankan. Setelah periode menganggur yang telah ditentukan, sesi portal Azure dihentikan.

Kunci keamanan yang dikelola pelanggan

Data di Azure Monitor dienkripsi dengan kunci yang dikelola Microsoft. Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan untuk melindungi data dan kueri yang disimpan di ruang kerja Anda. Kunci yang dikelola pelanggan di Azure Monitor memberi Anda fleksibilitas yang lebih besar untuk mengelola kontrol akses ke log Anda.

Setelah dikonfigurasi, data baru yang diserap ke ruang kerja tertaut akan dienkripsi dengan kunci Anda yang disimpan di Azure Key Vault, atau "HSM" Terkelola Azure Key Vault.

Penyimpanan pribadi

Log Azure Monitor bergantung pada Azure Storage dalam skenario tertentu. Gunakan penyimpanan privat/yang dikelola pelanggan untuk mengelola akun penyimpanan terenkripsi pribadi Anda.

Jaringan Azure Private Link memungkinkan Anda menautkan layanan platform as a service (PaaS) Azure dengan aman, termasuk Azure Monitor, ke jaringan virtual Anda menggunakan titik akhir privat.

Customer Lockbox untuk Microsoft Azure

Customer Lockbox untuk Microsoft Azure memberi Anda antarmuka untuk meninjau dan menyetujui atau menolak permintaan akses data pelanggan. Ini digunakan ketika teknisi Microsoft perlu mengakses data pelanggan, baik sebagai respons terhadap tiket dukungan yang dimulai pelanggan atau masalah yang diidentifikasi oleh Microsoft. Untuk mengaktifkan Customer Lockbox, Anda memerlukan kluster khusus.

Pemeriksaan perubahan dan kekekalan

Azure Monitor adalah platform data khusus tambahan, tetapi menyertakan ketentuan untuk menghapus data untuk tujuan kepatuhan. Anda dapat mengatur kunci di ruang kerja Analitik Log untuk memblokir semua aktivitas yang dapat menghapus data: penghapusan menyeluruh, penghapusan tabel, dan perubahan retensi data tingkat tabel atau ruang kerja. Namun, kunci ini masih dapat dihapus.

Untuk sepenuhnya merusak solusi pemantauan Anda, kami sarankan Anda mengekspor data Anda ke solusi penyimpanan yang tidak dapat diubah.

Tanya jawab umum

Bagian ini menyediakan jawaban atas pertanyaan umum.

Apakah lalu lintas agen saya menggunakan koneksi Azure ExpressRoute saya?

Lalu lintas ke Azure Monitor menggunakan sirkuit Microsoft peering ExpressRoute. Lihat Dokumentasi ExpressRoute untuk deskripsi berbagai jenis lalu lintas ExpressRoute.