Dela via

Hantera syslog-vidarebefordring för Azure Stack HCI

  • Artikel

Gäller för: Azure Stack HCI, version 23H2

Den här artikeln beskriver hur du konfigurerar säkerhetshändelser som ska vidarebefordras till ett kundhanterat system för säkerhetsinformation och händelsehantering (SIEM) med hjälp av syslog-protokollet för Azure Stack HCI, version 23H2 (förhandsversion).

Använd syslog-vidarebefordring för att integrera med säkerhetsövervakningslösningar och för att hämta relevanta säkerhetshändelseloggar för att lagra dem för kvarhållning på din egen SIEM-plattform. Mer information om säkerhetsfunktioner i den här versionen finns i Säkerhetsfunktioner för Azure Stack HCI, version 23H2 (förhandsversion).

Konfigurera syslog-vidarebefordring

Syslog-vidarebefordringsagenter distribueras som standard på varje Azure Stack HCI-värd, redo att konfigureras. Var och en av agenterna vidarebefordrar säkerhetshändelser i syslog-format från värden till den kundkonfigurerade syslog-servern.

Syslog-vidarebefordringsagenter fungerar oberoende av varandra men kan hanteras tillsammans på någon av värdarna. Använd PowerShell-cmdletar med administratörsbehörighet på alla värdar för att styra beteendet för alla vidarebefordraragenter.

Syslog-vidarebefordraren i Azure Stack HCI stöder följande konfigurationer:

  • Syslog-vidarebefordring med TCP, ömsesidig autentisering (klient och server) och TLS 1.2-kryptering: I den här konfigurationen verifierar både syslog-servern och syslog-klienten varandras identitet via certifikat. Meddelanden skickas via en krypterad TLS 1.2-kanal. Mer information finns i Syslog-vidarebefordran med TCP, ömsesidig autentisering (klient och server) och TLS 1.2-kryptering.

  • Syslog-vidarebefordring med TCP, serverautentisering och TLS 1.2-kryptering: I den här konfigurationen verifierar syslog-klienten syslog-serverns identitet via ett certifikat. Meddelanden skickas via en krypterad TLS 1.2-kanal. Mer information finns i Syslog-vidarebefordran med TCP, serverautentisering och TLS 1.2-kryptering.

  • Syslog-vidarebefordring med TCP och ingen kryptering: I den här konfigurationen verifieras inte syslog-klienten och syslog-serveridentiteterna. Meddelanden skickas i klartext via TCP. Mer information finns i Syslog-vidarebefordran med TCP och ingen kryptering.

  • Syslog med UDP och ingen kryptering: I den här konfigurationen verifieras inte syslog-klienten och syslog-serveridentiteterna. Meddelanden skickas i klartext över UDP. Mer information finns i Syslog-vidarebefordran med UDP och ingen kryptering.

    Viktigt

    För att skydda mot man-in-the-middle-attacker och avlyssning av meddelanden rekommenderar Microsoft starkt att du använder TCP med autentisering och kryptering i produktionsmiljöer.

Cmdletar för att konfigurera syslog-vidarebefordran

Konfiguration av syslog-vidarebefordrare kräver åtkomst till den fysiska värden med hjälp av ett domänadministratörskonto. En uppsättning PowerShell-cmdletar har lagts till i alla Azure Stack HCI-värdar för att styra beteendet för syslog-vidarebefordraren.

Cmdleten Set-AzSSyslogForwarder används för att ange syslog-vidarebefordrarens konfiguration för alla värdar. Om det lyckas startas en åtgärdsplaninstans för att konfigurera syslog-vidarebefordraragenterna på alla värdar. Åtgärdsplanens instans-ID returneras.

Använd följande cmdlet för att skicka syslog-serverinformationen till vidarebefordraren och för att konfigurera transportprotokollet, krypteringen, autentiseringen och det valfria certifikat som används mellan klienten och servern:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Cmdlet-parametrar

Följande tabell innehåller parametrar för cmdleten Set-AzSSyslogForwarder :

Parameter Beskrivning Typ Obligatorisk
ServerName FQDN eller IP-adress för syslog-servern. Sträng Yes
ServerPort Portnummer som syslog-servern lyssnar på. UInt16 Yes
NoEncryption Tvinga klienten att skicka syslog-meddelanden i klartext. Flagga No
SkipServerCertificateCheck Hoppa över valideringen av certifikatet som tillhandahålls av syslog-servern under den första TLS-handskakningen. Flagga No
SkipServerCNCheck Hoppa över valideringen av common name-värdet för certifikatet som tillhandahålls av syslog-servern under den första TLS-handskakningen. Flagga No
UseUDP Använd syslog med UDP som transportprotokoll. Flagga No
ClientCertificateThumbprint Tumavtryck för klientcertifikatet som används för att kommunicera med syslog-servern. Sträng No
OutputSeverity Utdataloggningsnivå. Värdena är Standard eller Utförliga. Standardvärdet omfattar allvarlighetsnivåer: varning, kritisk eller fel. Utförlig innehåller alla allvarlighetsnivåer: utförlig, information, varning, kritisk eller fel. Sträng No
Ta bort Ta bort den aktuella syslog-vidarebefordrarkonfigurationen och stoppa syslog-vidarebefordraren. Flagga No

Syslog-vidarebefordring med TCP, ömsesidig autentisering (klient och server) och TLS 1.2-kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Stack HCI meddelanden till syslog-servern via TCP med TLS 1.2-kryptering. Under den första handskakningen verifierar klienten att servern tillhandahåller ett giltigt, betrott certifikat. Klienten tillhandahåller också ett certifikat till servern som bevis på dess identitet.

Den här konfigurationen är den säkraste eftersom den ger fullständig validering av både klientens och serverns identitet och skickar meddelanden via en krypterad kanal.

Viktigt

Microsoft rekommenderar att du använder den här konfigurationen för produktionsmiljöer.

Konfigurera syslog-vidarebefordraren med TCP, ömsesidig autentisering och TLS 1.2-kryptering genom att konfigurera servern och tillhandahålla certifikat till klienten för autentisering mot servern.

Kör följande cmdlet mot en fysisk värd:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Viktigt

Klientcertifikatet måste innehålla en privat nyckel. Om klientcertifikatet signeras med ett självsignerat rotcertifikat måste du även importera rotcertifikatet.

Syslog-vidarebefordring med TCP, serverautentisering och TLS 1.2-kryptering

I den här konfigurationen vidarebefordrar syslog-vidarebefordraren i Azure Stack HCI meddelandena till syslog-servern via TCP med TLS 1.2-kryptering. Under den första handskakningen verifierar klienten också att servern tillhandahåller ett giltigt, betrott certifikat.

Den här konfigurationen förhindrar att klienten skickar meddelanden till ej betrodda mål. TCP med autentisering och kryptering är standardkonfigurationen och representerar den lägsta säkerhetsnivå som Microsoft rekommenderar för en produktionsmiljö.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Om du vill testa integreringen av syslog-servern med Syslog-vidarebefordraren för Azure Stack HCI med hjälp av ett självsignerat eller ej betrott certifikat använder du dessa flaggor för att hoppa över serververifieringen som utförs av klienten under den första handskakningen.

  1. Hoppa över valideringen av värdet För eget namn i servercertifikatet. Använd den här flaggan om du anger en IP-adress för syslog-servern.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Hoppa över verifieringen av servercertifikatet.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Viktigt

    Microsoft rekommenderar att du inte använder -SkipServerCertificateCheck flaggan i produktionsmiljöer.

Syslog-vidarebefordring med TCP och ingen kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Stack HCI meddelanden till syslog-servern via TCP utan kryptering. Klienten verifierar inte serverns identitet och tillhandahåller inte heller en egen identitet till servern för verifiering.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Viktigt

Microsoft rekommenderar att du inte använder den här konfigurationen i produktionsmiljöer.

Syslog-vidarebefordring med UDP och ingen kryptering

I den här konfigurationen vidarebefordrar syslog-klienten i Azure Stack HCI meddelanden till syslog-servern via UDP, utan kryptering. Klienten verifierar inte serverns identitet och tillhandahåller inte heller en egen identitet till servern för verifiering.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Udp utan kryptering är det enklaste att konfigurera, men det ger inget skydd mot man-in-the-middle-attacker eller avlyssning av meddelanden.

Viktigt

Microsoft rekommenderar att du inte använder den här konfigurationen i produktionsmiljöer.

Aktivera syslog-vidarebefordring

Kör följande cmdlet för att aktivera syslog-vidarebefordran:

Enable-AzSSyslogForwarder [-Force]

Syslog-vidarebefordraren aktiveras med den lagrade konfigurationen som tillhandahålls av det senaste lyckade Set-AzSSyslogForwarder anropet. Cmdleten misslyckas om ingen konfiguration har angetts med hjälp av Set-AzSSyslogForwarder.

Inaktivera syslog-vidarebefordring

Kör följande cmdlet för att inaktivera syslog-vidarebefordran:

Disable-AzSSyslogForwarder [-Force]

Parameter för Enable-AzSSyslogForwarder och Disable-AzSSyslogForwarder cmdletar:

Parameter Beskrivning Typ Obligatorisk
Force Om det anges utlöses alltid en åtgärdsplan även om måltillståndet är detsamma som aktuellt. Detta kan vara användbart för att återställa out-of-band-ändringar. Flagga No

Verifiera syslog-konfigurationen

När du har anslutit syslog-klienten till syslog-servern börjar du få händelseaviseringar. Om du inte ser några meddelanden kontrollerar du konfigurationen av syslog-vidarebefordraren för klustret genom att köra följande cmdlet:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Varje värd har en egen syslog-vidarebefordraragent som använder en lokal kopia av klusterkonfigurationen. De förväntas alltid vara samma som klusterkonfigurationen. Du kan verifiera den aktuella konfigurationen på varje värd med hjälp av följande cmdlet:

Get-AzSSyslogForwarder -PerNode

Du kan också använda följande cmdlet för att verifiera konfigurationen på den värd som du är ansluten till:

Get-AzSSyslogForwarder -Local

Cmdlet-parametrar för cmdleten Get-AzSSyslogForwarder :

Parameter Beskrivning Typ Obligatorisk
Lokal Visa konfiguration som används för närvarande på den aktuella värden. Flagga No
Pernod Visa konfiguration som används för närvarande på varje värd. Flagga No
Kluster Visa aktuell global konfiguration på Azure Stack HCI. Detta är standardbeteendet om ingen parameter anges. Flagga No

Ta bort syslog-vidarebefordring

Kör följande kommando för att ta bort syslog-vidarebefordrarens konfiguration och stoppa syslog-vidarebefordraren:

Set-AzSSyslogForwarder -Remove

Referens för meddelandeschema och händelselogg

Följande referensmaterialdokument syslog meddelandeschema och händelsedefinitioner.

Syslog-vidarebefordraren för Azure Stack HCI-infrastrukturen skickar meddelanden som är formaterade efter det BSD-syslog-protokoll som definierats i RFC3164. CEF används också för att formatera syslog-meddelandenyttolasten.

Varje syslog-meddelande är strukturerat baserat på det här schemat: Prioritet (PRI) | Tid | Värd | CEF-nyttolast |

PRI-delen innehåller två värden: anläggning och allvarlighetsgrad. Båda beror på typen av meddelande, till exempel Windows-händelse osv.

Nästa steg

Läs mer om: