Azure Firewall ログを収集する

パーサーのバージョン: 16.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Azure ストレージ アカウントを使用して Azure Firewall ログを Google Security Operations にエクスポートする方法について説明します。パーサーはまず、入力を JSON として処理し、Records フィールドからデータを抽出します。Record フィールドが空の場合、パーサーは一連の Grok パターンと条件文を使用して、メッセージから関連するフィールドを抽出し、Azure Firewall ログのさまざまな形式とバリエーションを処理します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• アクティブな Azure テナント
• Azure への特権アクセス

Azure ストレージ アカウントを構成する

1. Azure コンソールで、[ストレージ アカウント] を検索します。
2. [+ 作成] をクリックします。
3. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • Resource Group: リソース グループを選択します。
   • Region: リージョンを選択します。
   • パフォーマンス: パフォーマンスを選択します（標準を推奨）。
   • 冗長性: 冗長性を選択します（GRS または LRS を推奨）。
   • ストレージ アカウント名: 新しいストレージ アカウントの名前を入力します。
4. [Review + create] をクリックします。
5. アカウントの概要を確認し、[作成] をクリックします。
6. [ストレージ アカウントの概要] ページで、[セキュリティ + ネットワーキング] の [アクセスキー] サブメニューを選択します。
7. [key1] または [key2] の横にある [表示] をクリックします。
8. [クリップボードにコピー] をクリックして、鍵をコピーします。
9. 後で使用できるように、鍵を安全な場所に保存します。
10. [Storage Account Overview] ページで、[Settings] の [Endpoints] サブメニューを選択します。
11. [クリップボードにコピー] をクリックして、Blob サービス エンドポイントの URL（例: https://<storageaccountname>.blob.core.windows.net）をコピーします。
12. 後で使用できるように、エンドポイント URL を安全な場所に保存します。

Azure ファイアウォール ログのログ エクスポートを構成する方法

1. 特権アカウントを使用して Azure Portal にログインします。
2. [ファイアウォール] に移動し、必要なファイアウォールを選択します。
3. [Monitoring] > [Diagnostic Services] を選択します。
4. [+ 診断設定を追加] をクリックします。
   • 診断設定にわかりやすい名前を入力します。
5. [allLogs] を選択します。
6. 宛先として [ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
   • [Subscription] と [Storage Account] を指定します。
7. [保存] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [設定] > [データ管理] > [フィード] > [新しいフィードを追加]（SIEM のみのプラットフォームでは、[設定] > [フィード] > [新しいフィードを追加]）
• コンテンツ ハブ > コンテンツ パック > 開始する

Azure ファイアウォール フィードを設定する方法

1. [Azure Platform] パックをクリックします。
2. [Azure ファイアウォール] ログタイプを見つけて、[新しいフィードを追加] をクリックします。

3. 次のフィールドに値を指定します。

   • ソースタイプ: Microsoft Azure Blob Storage V2。
   • Azure URI: blob エンドポイントの URL。
     • ENDPOINT_URL/BLOB_NAME
       • 次のように置き換えます。
         • ENDPOINT_URL: blob エンドポイント URL（https://<storageaccountname>.blob.core.windows.net）
         • BLOB_NAME: blob の名前（<logname>-logs など）

   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

     注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービス アカウントに適切な権限が付与されていることを確認してください。

   • ファイルの最長存続期間: 過去数日間に変更されたファイルが含まれます。デフォルトは 180 日です。

   • 共有キー: Azure リソースへのアクセスに使用される共有キー（base-64 でエンコードされた 512 ビットのランダムな文字列）。

   詳細オプション

   • フィード名: フィードを識別する事前入力された値。
   • アセットの名前空間: フィードに関連付けられた名前空間。
   • 取り込みラベル: このフィードのすべてのイベントに適用されるラベル。

4. [フィードを作成] をクリックします。

注: コンテンツ ハブは、SIEM スタンドアロン プラットフォームでは利用できません。アップグレードするには、Google SecOps の担当者にお問い合わせください。

このプロダクト ファミリー内のさまざまなログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

UDM マッピング

ログフィールド	UDM マッピング	ロジック
@timestamp	metadata.event_timestamp	未加工ログフィールド @timestamp を UDM 形式に変換します。
category	security_result.rule_type	未加工ログフィールド category を UDM にマッピングします。
operationName	metadata.product_event_type	未加工ログフィールド operationName を UDM にマッピングします。
properties.Action	security_result.action	未加工ログフィールド properties.Action を UDM にマッピングし、ALLOW を ALLOW に、DENY を BLOCK に、その他の値を UNKNOWN_ACTION に変換します。
properties.DestinationIp	target.ip	未加工ログフィールド properties.DestinationIp を UDM にマッピングします。
properties.DestinationPort	target.port	未加工ログフィールド properties.DestinationPort を UDM にマッピングします。
properties.DnssecOkBit	additional.fields.value.bool_value	未加工ログフィールド properties.DnssecOkBit を UDM にマッピングします。
properties.EDNS0BufferSize	additional.fields.value.number_value	未加工ログフィールド properties.EDNS0BufferSize を UDM にマッピングします。
properties.ErrorMessage	additional.fields.value.string_value	未加工ログフィールド properties.ErrorMessage を UDM にマッピングします。
properties.ErrorNumber	additional.fields.value.number_value	未加工ログフィールド properties.ErrorNumber を UDM にマッピングします。
properties.Policy	security_result.detection_fields.value	未加工ログフィールド properties.Policy を UDM にマッピングします。
properties.Protocol	network.ip_protocol	未加工ログフィールド properties.Protocol が HTTPS または HTTP でない場合、UDM にマッピングします。
properties.Protocol	network.application_protocol	未加工ログフィールド properties.Protocol が HTTPS または HTTP の場合、UDM にマッピングします。
properties.QueryClass	network.dns.questions.class	DNS クエリクラスをマッピングするためのルックアップ テーブルを使用して、未加工ログフィールド properties.QueryClass を UDM にマッピングします。
properties.QueryId	network.dns.id	未加工ログフィールド properties.QueryId を UDM にマッピングします。
properties.QueryName	network.dns.questions.name	未加工ログフィールド properties.QueryName を UDM にマッピングします。
properties.QueryType	network.dns.questions.type	DNS レコードタイプをマッピングするためのルックアップ テーブルを使用して、未加工ログフィールド properties.QueryType を UDM にマッピングします。
properties.RequestSize	network.sent_bytes	未加工ログフィールド properties.RequestSize を UDM にマッピングします。
properties.ResponseCode	network.dns.response_code	DNS レスポンス コードをマッピングするためのルックアップ テーブルを使用して、未加工ログフィールド properties.ResponseCode を UDM にマッピングします。
properties.ResponseFlags	additional.fields.value.string_value	未加工ログフィールド properties.ResponseFlags を UDM にマッピングします。
properties.ResponseSize	network.received_bytes	未加工ログフィールド properties.ResponseSize を UDM にマッピングします。
properties.Rule	security_result.rule_name	未加工ログフィールド properties.Rule を UDM にマッピングします。
properties.RuleCollection	security_result.detection_fields.value	未加工ログフィールド properties.RuleCollection を UDM にマッピングします。
properties.RuleCollectionGroup	security_result.detection_fields.value	未加工ログフィールド properties.RuleCollectionGroup を UDM にマッピングします。
properties.SourceIp	principal.ip	未加工ログフィールド properties.SourceIp を UDM にマッピングします。
properties.SourcePort	principal.port	未加工ログフィールド properties.SourcePort を UDM にマッピングします。
properties.msg	security_result.description	他のフィールドを抽出した後、未加工ログフィールド properties.msg を UDM にマッピングします。
records.category	security_result.rule_type	未加工ログフィールド records.category を UDM にマッピングします。
records.operationName	metadata.product_event_type	未加工ログフィールド records.operationName を UDM にマッピングします。
records.properties.msg		このフィールドは、Grok パターンを使用して複数のフィールドを抽出するために使用され、UDM に直接マッピングされません。
records.resourceId	metadata.product_log_id	未加工ログフィールド records.resourceId を UDM にマッピングします。
resourceId	metadata.product_log_id	未加工ログフィールド resourceId を UDM にマッピングします。
時間	metadata.event_timestamp	未加工ログフィールド time を UDM 形式に変換します。
	metadata.vendor_name	このフィールドには、パーサーによって値 Microsoft Inc. が入力されます。
	metadata.product_name	このフィールドには、パーサーによって値 Azure Firewall Application Rule が入力されます。
	metadata.log_type	このフィールドには、パーサーによって値 AZURE_FIREWALL が入力されます。
	additional.fields.key	このフィールドには、パーサーによって追加フィールドのキーが入力されます。
	security_result.detection_fields.key	このフィールドには、パーサーによって検出フィールドのキーが入力されます。
	network.application_protocol	このフィールドには、DNS ログの値 DNS がパーサーによって入力されます。
	metadata.event_type	このフィールドには、ログメッセージに基づいてパーサーによって入力されます。NETWORK_CONNECTION、GENERIC_EVENT、STATUS_UPDATE、NETWORK_DNS のいずれかを指定できます。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。