איסוף יומנים של Azure Firewall

גרסת המנתח: 16.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לייצא את יומני חומת האש של Azure אל Google Security Operations באמצעות חשבון אחסון ב-Azure. המנתח מנסה קודם לעבד את הקלט כ-JSON, ולחלץ נתונים מהשדה Records. אם השדה Record ריק, המנתח משתמש בסדרה של תבניות Grok והצהרות מותנות כדי לחלץ שדות רלוונטיים מההודעה, ומטפל בפורמטים ובווריאציות שונות ביומני Azure Firewall.

לפני שמתחילים

ודאו שהדרישות המוקדמות הבאות מתקיימות:

• מופע של Google SecOps
• דייר פעיל ב-Azure
• גישה מורשית ל-Azure

הגדרת חשבון Azure Storage

1. במסוף Azure, מחפשים את Storage accounts.
2. לוחצים על ‎+ Create.
3. מציינים ערכים לפרמטרים הבאים של הקלט:
   • מינוי: בוחרים את המינוי.
   • Resource Group: בוחרים את קבוצת המשאבים.
   • אזור: בוחרים את האזור.
   • ביצועים: בוחרים את הביצועים (מומלץ לבחור באפשרות "רגיל").
   • Redundancy (יתירות): בוחרים את היתירות (מומלץ לבחור ב-GRS או ב-LRS).
   • שם חשבון האחסון: מזינים שם לחשבון האחסון החדש.
4. לוחצים על Review + create.
5. בודקים את הסקירה הכללית של החשבון ולוחצים על יצירה.
6. בדף Storage Account Overview, בוחרים בתפריט המשנה Access keys בקטע Security + networking.
7. לוחצים על הצגה לצד key1 או key2.
8. לוחצים על העתקה ללוח כדי להעתיק את המפתח.
9. שומרים את המפתח במקום מאובטח לשימוש מאוחר יותר.
10. בדף Storage Account Overview, בוחרים בתפריט המשנה Endpoints בקטע Settings.
11. לוחצים על Copy to clipboard כדי להעתיק את כתובת ה-URL של נקודת הקצה של Blob service, לדוגמה https://<storageaccountname>.blob.core.windows.net.
12. שומרים את כתובת ה-URL של נקודת הקצה במיקום מאובטח לשימוש מאוחר יותר.

איך מגדירים ייצוא של יומני Azure Firewalls

1. נכנסים ל-Azure Portal באמצעות החשבון עם הרשאות הניהול.
2. עוברים אל חומות אש ובוחרים את חומת האש הנדרשת.
3. לוחצים על Monitoring > Diagnostic Services.
4. לוחצים על ‎+ Add diagnostic setting.
   • מזינים שם תיאורי להגדרת האבחון.
5. בוחרים באפשרות allLogs.
6. מסמנים את התיבה Archive to a storage account כיעד.
   • מציינים את Subscription ואת Storage Account.
7. לוחצים על Save.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

• הגדרות > ניהול נתונים > פידים > הוספת פיד חדש (בפלטפורמה של SIEM בלבד, הגדרות > פידים > הוספת פיד חדש)
• מרכז התוכן > חבילות תוכן > מתחילים

איך מגדירים את פיד חומת האש של Azure

1. לוחצים על החבילה Azure Platform.
2. מאתרים את סוג היומן Azure firewall ולוחצים על Add new feed.

3. מציינים ערכים בשדות הבאים:

   • ‫Source Type: Microsoft Azure Blob Storage V2.
   • ‫Azure URI: כתובת ה-URL של נקודת הקצה של ה-blob.
     • ENDPOINT_URL/BLOB_NAME
       • מחליפים את הערכים בשדות הבאים:
         • ENDPOINT_URL: כתובת ה-URL של נקודת הקצה של ה-blob‏ (https://<storageaccountname>.blob.core.windows.net)
         • ‫BLOB_NAME: השם של ה-blob (למשל, <logname>-logs)

   • אפשרויות מחיקה של מקור: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה שלכם.

     הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שנתתם לחשבון השירות את ההרשאות המתאימות.

   • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.

   • מפתח משותף: המפתח המשותף (מחרוזת אקראית של 512 ביט בקידוד base-64) שמשמש לגישה למשאבי Azure.

   אפשרויות מתקדמות

   • שם הפיד: ערך שמולא מראש ומזהה את הפיד.
   • מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
   • תוויות הטמעה: תוויות שנוספו לכל האירועים מהפיד הזה.

4. לוחצים על יצירת פיד.

הערה: Content Hub לא זמין בפלטפורמת SIEM העצמאית. כדי לשדרג, פנו לנציג של Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
@timestamp	metadata.event_timestamp	המרת השדה @timestamp ביומן הגולמי לפורמט UDM.
קטגוריה	security_result.rule_type	ממפה את שדה היומן הגולמי category ל-UDM.
operationName	metadata.product_event_type	ממפה את שדה היומן הגולמי operationName ל-UDM.
properties.Action	security_result.action	ממפה את שדה היומן הגולמי properties.Action ל-UDM, וממיר את ALLOW ל-ALLOW, את DENY ל-BLOCK וכל ערך אחר ל-UNKNOWN_ACTION.
properties.DestinationIp	target.ip	ממפה את שדה היומן הגולמי properties.DestinationIp ל-UDM.
properties.DestinationPort	target.port	ממפה את שדה היומן הגולמי properties.DestinationPort ל-UDM.
properties.DnssecOkBit	additional.fields.value.bool_value	ממפה את שדה היומן הגולמי properties.DnssecOkBit ל-UDM.
properties.EDNS0BufferSize	additional.fields.value.number_value	ממפה את שדה היומן הגולמי properties.EDNS0BufferSize ל-UDM.
properties.ErrorMessage	additional.fields.value.string_value	ממפה את שדה היומן הגולמי properties.ErrorMessage ל-UDM.
properties.ErrorNumber	additional.fields.value.number_value	ממפה את שדה היומן הגולמי properties.ErrorNumber ל-UDM.
properties.Policy	security_result.detection_fields.value	ממפה את שדה היומן הגולמי properties.Policy ל-UDM.
properties.Protocol	network.ip_protocol	ממפה את שדה היומן הגולמי properties.Protocol ל-UDM אם הוא לא HTTPS או HTTP.
properties.Protocol	network.application_protocol	ממפה את שדה היומן הגולמי properties.Protocol ל-UDM אם הוא HTTPS או HTTP.
properties.QueryClass	network.dns.questions.class	ממפה את שדה היומן הגולמי properties.QueryClass ל-UDM באמצעות טבלת חיפוש למיפוי מחלקות של שאילתות DNS.
properties.QueryId	network.dns.id	ממפה את שדה היומן הגולמי properties.QueryId ל-UDM.
properties.QueryName	network.dns.questions.name	ממפה את שדה היומן הגולמי properties.QueryName ל-UDM.
properties.QueryType	network.dns.questions.type	ממפה את שדה היומן הגולמי properties.QueryType ל-UDM באמצעות טבלת חיפוש למיפוי סוגי רשומות DNS.
properties.RequestSize	network.sent_bytes	ממפה את שדה היומן הגולמי properties.RequestSize ל-UDM.
properties.ResponseCode	network.dns.response_code	ממפה את שדה היומן הגולמי properties.ResponseCode ל-UDM באמצעות טבלת מיפוי למיפוי קודי תגובה של DNS.
properties.ResponseFlags	additional.fields.value.string_value	ממפה את שדה היומן הגולמי properties.ResponseFlags ל-UDM.
properties.ResponseSize	network.received_bytes	ממפה את שדה היומן הגולמי properties.ResponseSize ל-UDM.
properties.Rule	security_result.rule_name	ממפה את שדה היומן הגולמי properties.Rule ל-UDM.
properties.RuleCollection	security_result.detection_fields.value	ממפה את שדה היומן הגולמי properties.RuleCollection ל-UDM.
properties.RuleCollectionGroup	security_result.detection_fields.value	ממפה את שדה היומן הגולמי properties.RuleCollectionGroup ל-UDM.
properties.SourceIp	principal.ip	ממפה את שדה היומן הגולמי properties.SourceIp ל-UDM.
properties.SourcePort	principal.port	ממפה את שדה היומן הגולמי properties.SourcePort ל-UDM.
properties.msg	security_result.description	ממפה את השדה properties.msg ביומן הגולמי ל-UDM אחרי חילוץ של שדות אחרים ממנו.
records.category	security_result.rule_type	ממפה את שדה היומן הגולמי records.category ל-UDM.
records.operationName	metadata.product_event_type	ממפה את שדה היומן הגולמי records.operationName ל-UDM.
records.properties.msg		השדה הזה משמש לחילוץ של כמה שדות באמצעות תבניות Grok, ואין לו מיפוי ישיר ל-UDM.
records.resourceId	metadata.product_log_id	ממפה את שדה היומן הגולמי records.resourceId ל-UDM.
resourceId	metadata.product_log_id	ממפה את שדה היומן הגולמי resourceId ל-UDM.
פעם	metadata.event_timestamp	המרת השדה time ביומן הגולמי לפורמט UDM.
	metadata.vendor_name	המנתח מאכלס את השדה הזה בערך Microsoft Inc..
	metadata.product_name	המנתח מאכלס את השדה הזה בערך Azure Firewall Application Rule.
	metadata.log_type	המנתח מאכלס את השדה הזה בערך AZURE_FIREWALL.
	additional.fields.key	המנתח מאכלס את השדה הזה במפתח של השדה הנוסף.
	security_result.detection_fields.key	המנתח מאכלס את השדה הזה במפתח של שדה הזיהוי.
	network.application_protocol	המנתח מאכלס את השדה הזה בערך DNS ליומני DNS.
	metadata.event_type	השדה הזה מאוכלס על ידי המנתח על סמך הודעת היומן. הערך יכול להיות NETWORK_CONNECTION, ‏GENERIC_EVENT, ‏STATUS_UPDATE או NETWORK_DNS.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.