Aracılığıyla paylaş

Azure Stack HCI için syslog iletmeyi yönetme

  • Makale

Şunlar için geçerlidir: Azure Stack HCI, sürüm 23H2

Bu makalede, Azure Stack HCI, sürüm 23H2 (önizleme) için syslog protokolü kullanılarak müşteri tarafından yönetilen güvenlik bilgileri ve olay yönetimi (SIEM) sistemine iletilecek güvenlik olaylarının nasıl yapılandırıldığı açıklanır.

Güvenlik izleme çözümleriyle tümleştirmek ve bunları kendi SIEM platformunuzda saklama amacıyla depolamak üzere ilgili güvenlik olay günlüklerini almak için syslog iletmeyi kullanın. Bu sürümdeki güvenlik özellikleri hakkında daha fazla bilgi için bkz . Azure Stack HCI, sürüm 23H2 (önizleme) için güvenlik özellikleri.

Syslog iletmeyi yapılandırma

Syslog iletme aracıları varsayılan olarak her Azure Stack HCI konağına dağıtılır ve yapılandırılmaya hazırdır. Aracıların her biri, güvenlik olaylarını ana bilgisayardan müşteri tarafından yapılandırılan syslog sunucusuna syslog biçiminde iletir.

Syslog iletme aracıları birbirinden bağımsız olarak çalışır, ancak konaklardan herhangi birinde birlikte yönetilebilir. Tüm iletici aracılarının davranışını denetlemek için herhangi bir konakta yönetim ayrıcalıklarına sahip PowerShell cmdlet'lerini kullanın.

Azure Stack HCI'deki syslog ileticisi aşağıdaki yapılandırmaları destekler:

  • TCP, karşılıklı kimlik doğrulaması (istemci ve sunucu) ve TLS 1.2 şifrelemesi ile Syslog iletme: Bu yapılandırmada, hem syslog sunucusu hem de syslog istemcisi sertifikalar aracılığıyla birbirlerinin kimliğini doğrular. İletiler TLS 1.2 şifrelenmiş kanalı üzerinden gönderilir. Daha fazla bilgi için bkz . TCP ile syslog iletme, karşılıklı kimlik doğrulaması (istemci ve sunucu) ve TLS 1.2 şifrelemesi.

  • TCP, sunucu kimlik doğrulaması ve TLS 1.2 şifrelemesi ile Syslog iletme: Bu yapılandırmada, syslog istemcisi bir sertifika aracılığıyla syslog sunucusunun kimliğini doğrular. İletiler TLS 1.2 şifrelenmiş kanalı üzerinden gönderilir. Daha fazla bilgi için bkz . TCP ile Syslog iletme, sunucu kimlik doğrulaması ve TLS 1.2 şifrelemesi.

  • TCP ile syslog iletme ve şifreleme yok: Bu yapılandırmada syslog istemcisi ve syslog sunucusu kimlikleri doğrulanmamıştır. İletiler TCP üzerinden düz metin olarak gönderilir. Daha fazla bilgi için bkz . TCP ile syslog iletme ve şifreleme yok.

  • UDP ile Syslog ve şifreleme yok: Bu yapılandırmada syslog istemcisi ve syslog sunucusu kimlikleri doğrulanmamıştır. İletiler UDP üzerinden düz metin olarak gönderilir. Daha fazla bilgi için bkz . UDP ile syslog iletme ve şifreleme yok.

    Önemli

    Microsoft, ortadaki adam saldırılarına ve iletileri dinlemeye karşı koruma sağlamak için üretim ortamlarında kimlik doğrulaması ve şifreleme ile TCP kullanmanızı kesinlikle önerir.

Syslog iletmeyi yapılandırmak için cmdlet'ler

Syslog ileticisini yapılandırmak için bir etki alanı yönetici hesabı kullanarak fiziksel konağa erişim gerekir. Syslog ileticisinin davranışını denetlemek için tüm Azure Stack HCI konaklarına bir dizi PowerShell cmdlet'i eklendi.

Set-AzSSyslogForwarder Cmdlet, tüm konaklar için syslog ileticisi yapılandırmasını ayarlamak için kullanılır. Başarılı olursa, syslog iletici aracılarını tüm konaklarda yapılandırmak için bir eylem planı örneği başlatılır. Eylem planı örneği kimliği döndürülür.

Syslog sunucusu bilgilerini ileticiye geçirmek ve aktarım protokollerini, şifrelemeyi, kimlik doğrulamasını ve istemci ile sunucu arasında kullanılan isteğe bağlı sertifikayı yapılandırmak için aşağıdaki cmdlet'i kullanın:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Cmdlet parametreleri

Aşağıdaki tabloda cmdlet'i için Set-AzSSyslogForwarder parametreler sağlanmaktadır:

Parametre Açıklama Tür Gerekli
aboneliğinde ve Syslog sunucusunun FQDN veya IP adresi. Dize Yes
ServerPort Syslog sunucusunun dinlediği bağlantı noktası numarası. UInt16 Yes
NoEncryption İstemciyi syslog iletilerini düz metin olarak göndermeye zorlayın. Bayrak No
SkipServerCertificateCheck İlk TLS el sıkışması sırasında syslog sunucusu tarafından sağlanan sertifikanın doğrulamasını atlayın. Bayrak No
SkipServerCNCheck İlk TLS el sıkışması sırasında syslog sunucusu tarafından sağlanan sertifikanın Ortak Ad değerini doğrulamayı atlayın. Bayrak No
UseUDP Aktarım protokolü olarak UDP ile syslog kullanın. Bayrak No
ClientCertificateThumbprint Syslog sunucusuyla iletişim kurmak için kullanılan istemci sertifikasının parmak izi. Dize No
OutputSeverity Çıkış günlüğü düzeyi. Değerler Varsayılan veya Ayrıntılı'dır. Varsayılan değer önem derecelerini içerir: uyarı, kritik veya hata. Ayrıntılı tüm önem derecelerini içerir: ayrıntı, bilgilendirme, uyarı, kritik veya hata. Dize No
Kaldır Geçerli syslog ileticisi yapılandırmasını kaldırın ve syslog ileticisini durdurun. Bayrak No

TCP, karşılıklı kimlik doğrulaması (istemci ve sunucu) ve TLS 1.2 şifrelemesi ile Syslog iletme

Bu yapılandırmada, Azure Stack HCI'deki syslog istemcisi ILETILERI TLS 1.2 şifrelemesi ile TCP üzerinden syslog sunucusuna iletir. İlk el sıkışma sırasında istemci, sunucunun geçerli, güvenilen bir sertifika sağladığını doğrular. İstemci ayrıca kimliğinin kanıtı olarak sunucuya bir sertifika sağlar.

Bu yapılandırma, hem istemcinin hem de sunucunun kimliğinin tam doğrulamasını sağladığından ve şifrelenmiş bir kanal üzerinden ileti gönderdiğinden en güvenli yapılandırmadır.

Önemli

Microsoft, bu yapılandırmayı üretim ortamları için kullanmanızı önerir.

Syslog ileticisini TCP, karşılıklı kimlik doğrulaması ve TLS 1.2 şifrelemesi ile yapılandırmak için sunucuyu yapılandırın ve sunucuda kimlik doğrulaması için istemciye sertifika sağlayın.

Fiziksel bir konağa karşı aşağıdaki cmdlet'i çalıştırın:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Önemli

İstemci sertifikası özel anahtar içermelidir. İstemci sertifikası otomatik olarak imzalanan bir kök sertifika kullanılarak imzalandıysa, kök sertifikayı da içeri aktarmanız gerekir.

TCP, sunucu kimlik doğrulaması ve TLS 1.2 şifrelemesi ile Syslog iletme

Bu yapılandırmada, Azure Stack HCI'deki syslog ileticisi iletileri TLS 1.2 şifrelemesi ile TCP üzerinden syslog sunucusuna iletir. İlk el sıkışması sırasında istemci, sunucunun geçerli, güvenilir bir sertifika sağladığını da doğrular.

Bu yapılandırma, istemcinin güvenilmeyen hedeflere ileti göndermesini engeller. Kimlik doğrulaması ve şifreleme kullanan TCP varsayılan yapılandırmadır ve Microsoft'un üretim ortamı için önerdiği en düşük güvenlik düzeyini temsil eder.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Syslog sunucunuzun Azure Stack HCI syslog ileticisi ile tümleştirmesini otomatik olarak imzalanan veya güvenilmeyen bir sertifika kullanarak test etmek istiyorsanız, ilk el sıkışması sırasında istemci tarafından yapılan sunucu doğrulamasını atlamak için bu bayrakları kullanın.

  1. Sunucu sertifikasındaki Ortak Ad değerini doğrulamayı atlayın. Syslog sunucunuz için bir IP adresi sağlarsanız bu bayrağı kullanın.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Sunucu sertifikası doğrulamasını atlayın.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Önemli

    Microsoft, bayrağını -SkipServerCertificateCheck üretim ortamlarında kullanmamanızı önerir.

TCP ile syslog iletme ve şifreleme yok

Bu yapılandırmada, Azure Stack HCI'deki syslog istemcisi iletileri şifreleme olmadan TCP üzerinden syslog sunucusuna iletir. İstemci, sunucunun kimliğini doğrulamaz ve doğrulama için sunucuya kendi kimliğini sağlamaz.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Önemli

Microsoft, bu yapılandırmayı üretim ortamlarında kullanmamanızı önerir.

UDP ile syslog iletme ve şifreleme yok

Bu yapılandırmada, Azure Stack HCI'deki syslog istemcisi iletileri şifreleme olmadan UDP üzerinden syslog sunucusuna iletir. İstemci, sunucunun kimliğini doğrulamaz ve doğrulama için sunucuya kendi kimliğini sağlamaz.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Şifrelemesi olmayan UDP yapılandırması en kolay olan olsa da, ortadaki adam saldırılarına veya iletileri dinlemeye karşı herhangi bir koruma sağlamaz.

Önemli

Microsoft, bu yapılandırmayı üretim ortamlarında kullanmamanızı önerir.

Syslog iletmeyi etkinleştirme

Syslog iletmeyi etkinleştirmek için aşağıdaki cmdlet'i çalıştırın:

Enable-AzSSyslogForwarder [-Force]

Syslog ileticisi, son başarılı Set-AzSSyslogForwarder çağrı tarafından sağlanan saklı yapılandırmayla etkinleştirilir. cmdlet'i kullanılarak Set-AzSSyslogForwarderyapılandırma sağlanmamışsa başarısız olur.

Syslog iletmeyi devre dışı bırakma

Syslog iletmeyi devre dışı bırakmak için aşağıdaki cmdlet'i çalıştırın:

Disable-AzSSyslogForwarder [-Force]

ve Disable-AzSSyslogForwarder cmdlet'leri için Enable-AzSSyslogForwarder parametre:

Parametre Açıklama Tür Gerekli
Force Belirtilirse, hedef durum geçerli durumla aynı olsa bile bir eylem planı her zaman tetiklenir. Bu, bant dışı değişiklikleri sıfırlamak için yararlı olabilir. Bayrak No

Syslog kurulumunu doğrulama

Syslog istemcisini syslog sunucunuza başarıyla bağladıktan sonra olay bildirimleri almaya başlarsınız. Bildirimleri görmüyorsanız aşağıdaki cmdlet'i çalıştırarak küme syslog ileticisi yapılandırmanızı doğrulayın:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Her konağın küme yapılandırmasının yerel bir kopyasını kullanan kendi syslog ileticisi aracısı vardır. Bunların her zaman küme yapılandırmasıyla aynı olması beklenir. Aşağıdaki cmdlet'i kullanarak her konakta geçerli yapılandırmayı doğrulayabilirsiniz:

Get-AzSSyslogForwarder -PerNode

Bağlandığınız konakta yapılandırmayı doğrulamak için aşağıdaki cmdlet'i de kullanabilirsiniz:

Get-AzSSyslogForwarder -Local

Cmdlet için Get-AzSSyslogForwarder cmdlet parametreleri:

Parametre Açıklama Tür Gerekli
Yerel Geçerli konakta şu anda kullanılan yapılandırmayı göster. Bayrak No
PerNode Her konakta şu anda kullanılan yapılandırmayı göster. Bayrak No
Küme Azure Stack HCI'de geçerli genel yapılandırmayı göster. Parametre sağlanmazsa bu varsayılan davranıştır. Bayrak No

Syslog iletmeyi kaldırma

Syslog ileticisi yapılandırmasını kaldırmak ve syslog ileticisini durdurmak için aşağıdaki komutu çalıştırın:

Set-AzSSyslogForwarder -Remove

İleti şeması ve olay günlüğü başvurusu

Aşağıdaki başvuru malzemesi syslog ileti şemasını ve olay tanımlarını belgelemektedir.

Azure Stack HCI altyapısının syslog ileticisi, RFC3164'de tanımlanan BSD syslog protokolüne göre biçimlendirilmiş iletiler gönderir. CEF ayrıca syslog ileti yükünü biçimlendirmek için de kullanılır.

Her syslog iletisi şu şemaya göre yapılandırılmıştır: Priority (PRI) | Saat | Ana Bilgisayar | CEF yükü |

PRI bölümü iki değer içerir: tesis ve önem derecesi. Her ikisi de Windows Olayı gibi iletinin türüne bağlıdır.

Sonraki adımlar

Aşağıdakiler hakkında daha fazla bilgi edinin: