Microsoft IAS-/NPS-Logs (Network Policy Server) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Internet Authentication Service (IAS) / Network Policy Server (NPS)-Logs erfassen können, indem Sie einen Google SecOps-Feed mit Microsoft Azure Blob Storage V2 einrichten.

Der Microsoft Network Policy Server (NPS) ist die Microsoft-Implementierung eines RADIUS-Servers (Remote Authentication Dial-In User Service) und -Proxys. NPS ermöglicht die zentrale Verwaltung der Authentifizierung, Autorisierung und Abrechnung des Netzwerkzugriffs für VPN-Verbindungen, Wireless Access Points, 802.1X-Authentifizierungsschalter und DFÜ-Remotezugriff. NPS wurde in Windows Server 2003 und früheren Versionen als Internet Authentication Service (IAS) bezeichnet. Da NPS als Windows Server-Rolle ohne native Cloud-Exportfunktionen ausgeführt wird, wird in diesem Leitfaden der Azure Monitor-Agent verwendet, um NPS-Abrechnungsprotokolldateien aus dem lokalen Dateisystem zu erfassen und über einen Log Analytics-Arbeitsbereich an Azure Blob Storage weiterzuleiten.

Hinweis

  • Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz

  • Berechtigter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für Folgendes:

    • Speicherkonten erstellen
    • Log Analytics-Arbeitsbereiche erstellen und verwalten
    • Regeln zur Datenerhebung erstellen
    • Datenexportregeln erstellen
    • Zugriffsschlüssel verwalten

  • Windows Server 2016 oder höher mit installierter NPS-Rolle

  • Administratorzugriff auf den NPS-Server

  • Netzwerkverbindung vom NPS-Server zu Azure (ausgehende HTTPS-Verbindung über Port 443)

NPS-Buchhaltung und ‑Logging konfigurieren

Aktivieren Sie NPS, um Authentifizierungs- und Abrechnungsanfragen in einer lokalen Textdatei im IAS-Format zu protokollieren.

NPS-Abrechnungslogs aktivieren

  1. Öffnen Sie auf dem Windows-Server, auf dem NPS ausgeführt wird, den Server-Manager.
  2. Klicken Sie auf Tools > Network Policy Server.
  3. Klicken Sie in der NPS-Konsolenstruktur auf Abrechnung.
  4. Klicken Sie im Detailbereich unter Buchhaltung auf Buchhaltung konfigurieren.
  5. Wählen Sie im Assistenten Buchhaltungskonfiguration die Option In einer Textdatei auf dem lokalen Computer protokollieren aus und klicken Sie auf Weiter.
  6. Konfigurieren Sie auf der Seite Configure Log File Properties (Protokolldateieigenschaften konfigurieren) Folgendes:
    • Wählen Sie im Abschnitt Folgende Informationen protokollieren die Kästchen für die Informationen aus, die Sie protokollieren möchten:
      • Anfragen zur Abrechnung
      • Authentifizierungsanfragen
      • Periodischer Abrechnungsstatus
      • Status der regelmäßigen Authentifizierung
    • Wählen Sie im Abschnitt Aktion bei Logging-Fehler die Option Verbindungsanfragen verwerfen, wenn das Logging fehlschlägt aus, wenn die Verarbeitung durch NPS beendet werden soll, wenn keine Logdateien verfügbar sind. Lassen Sie das Kästchen deaktiviert, wenn NPS auch dann weiter verarbeitet werden soll, wenn das Logging fehlschlägt.
  7. Klicken Sie auf Weiter.
  8. Sehen Sie sich die Zusammenfassung an und klicken Sie auf Fertigstellen.

Logdateieigenschaften konfigurieren

  1. Klicken Sie in der NPS-Konsolenstruktur auf Abrechnung.
  2. Klicken Sie im Detailbereich unter Log File Properties (Eigenschaften der Protokolldatei) auf Change Log File Properties (Eigenschaften der Protokolldatei ändern).
  3. Klicken Sie auf den Tab Logdatei.
  4. Prüfen oder ändern Sie im Feld Verzeichnis den Speicherort der Logdatei:
    • Standardmäßiger Standort: %systemroot%\System32\LogFiles
    • Geben Sie zur besseren Organisation ein separates Verzeichnis an, z. B. C:\NPSLogs.

  5. Wählen Sie im Drop-down-Menü Format die Option IAS (Legacy) aus.

  6. Wählen Sie unter Neue Logdatei erstellen das Log-Rotationsintervall aus:

    • Täglich (für die meisten Umgebungen empfohlen)
    • Wöchentlich
    • Monatlich
    • Nie (unbegrenzte Dateigröße)
    • Wenn die Logdatei diese Größe erreicht (Größe in MB angeben)

  7. Wenn NPS alte Logdateien löschen soll, wenn der Speicherplatz auf der Festplatte knapp wird, wählen Sie Wenn die Festplatte voll ist, ältere Logdateien löschen aus.

  8. Klicken Sie auf OK, um die Konfiguration zu speichern.

  9. Prüfen Sie, ob Logdateien im konfigurierten Verzeichnis erstellt werden.

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Azure-Abo auswählen
    Ressourcengruppe Vorhandenen auswählen oder neuen erstellen
    Name des Speicherkontos Geben Sie einen eindeutigen Namen ein, z. B. npsiaslogs.
    Region Wählen Sie die Region aus, z. B. East US.
    Leistung Standard (empfohlen)
    Redundanz GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Sehen Sie sich die Übersicht des Kontos an und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

  1. Rufen Sie das Storage-Konto auf, das Sie gerade erstellt haben.
  2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  3. Klicken Sie auf Schlüssel anzeigen.
  4. Kopieren und speichern Sie Folgendes für die spätere Verwendung:
    • Name des Speicherkontos: Der Name Ihres Speicherkontos (z. B. npsiaslogs)
    • Schlüssel 1 oder Schlüssel 2: Der gemeinsame Zugriffsschlüssel (ein 512-Bit-Zufallsstring in Base64-Codierung)

Blob Service-Endpunkt abrufen

  1. Wählen Sie im selben Speicherkonto in der linken Navigationsleiste Endpunkte aus.
  2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
    • Beispiel: https://npsiaslogs.blob.core.windows.net/

Log Analytics-Arbeitsbereich erstellen

Ein Log Analytics-Arbeitsbereich ist erforderlich, um benutzerdefinierte Textlogs vom Azure Monitor-Agent zu empfangen, bevor sie in Azure Blob Storage exportiert werden.

  1. Suchen Sie im Azure-Portal nach Log Analytics-Arbeitsbereichen.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Azure-Abo auswählen
    Ressourcengruppe Wählen Sie dieselbe Ressourcengruppe wie für Ihr Speicherkonto aus.
    Name Geben Sie einen eindeutigen Namen ein, z. B. nps-ias-workspace.
    Region Wählen Sie dieselbe Region wie für Ihr Speicherkonto aus.

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Prüfen Sie die Einstellungen und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Benutzerdefinierte Logtabelle erstellen

Erstellen Sie eine benutzerdefinierte Tabelle im Log Analytics-Arbeitsbereich, um die NPS-/IAS-Logdaten zu speichern.

  1. Rufen Sie im Azure-Portal den gerade erstellten Log Analytics-Arbeitsbereich auf.
  2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Tabellen aus.
  3. Klicken Sie auf + Erstellen> Neues benutzerdefiniertes Log (DCR-basiert).
  4. Geben Sie im Feld Tabellenname NpsIasLogs ein. Der vollständige Tabellenname lautet NpsIasLogs_CL.

  5. Klicken Sie auf Erstellen.

NPS-Server in Azure Arc einbinden

Da NPS auf einem lokalen Windows-Server ausgeführt wird, müssen Sie den Server in Azure Arc einbinden, bevor Sie den Azure Monitor-Agent installieren.

NPS-Server bei Azure Arc registrieren

  1. Suchen Sie im Azure-Portal nach Azure Arc.
  2. Wählen Sie in der linken Navigationsleiste unter Infrastruktur die Option Maschinen aus.
  3. Klicken Sie auf + Hinzufügen/Erstellen > Maschine hinzufügen.
  4. Wählen Sie im Abschnitt Server mit Azure Arc hinzufügen unter Einzelnen Server hinzufügen die Option Skript generieren aus.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Abo: Wählen Sie Ihr Azure-Abo aus.
    • Ressourcengruppe: Wählen Sie dieselbe Ressourcengruppe aus, die Sie zuvor verwendet haben.
    • Region: Wählen Sie dieselbe Region wie für Ihren Log Analytics-Arbeitsbereich aus.
    • Betriebssystem: Wählen Sie Windows aus.
    • Verbindungsmethode: Wählen Sie Öffentlicher Endpunkt (oder Proxyserver, falls für Ihr Netzwerk erforderlich) aus.
  6. Klicken Sie auf Skript herunterladen und ausführen.
  7. Kopieren Sie das generierte PowerShell-Skript auf den NPS-Server.

  8. Öffnen Sie auf dem NPS-Server PowerShell als Administrator und führen Sie das Script aus:

    & '.\OnboardingScript.ps1'

  9. Folgen Sie der Anleitung auf dem Bildschirm, um sich bei Azure zu authentifizieren und das Onboarding abzuschließen.

  10. Kehren Sie nach Abschluss des Skripts zum Azure-Portal > Azure Arc > Computer zurück und prüfen Sie, ob der NPS-Server mit dem Status Verbunden angezeigt wird.

Azure Monitor-Agent installieren

Azure Monitor-Agent auf dem Arc-fähigen Server installieren

  1. Rufen Sie im Azure-Portal Azure Arc > Computer auf.
  2. Wählen Sie den NPS-Server aus der Liste der Computer aus.
  3. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Erweiterungen aus.
  4. Klicken Sie auf + Hinzufügen.
  5. Wählen Sie in der Liste der Erweiterungen Azure Monitor Agent aus.
  6. Klicken Sie auf Weiter.
  7. Klicken Sie auf Überprüfen + Erstellen.
  8. Klicken Sie auf Erstellen.

  9. Warten Sie, bis die Installation der Erweiterung abgeschlossen ist. Der Status ändert sich in Bereitstellung erfolgreich.

Regel zur Datenerhebung für NPS-Protokolldateien erstellen

Eine Datenerfassungsregel weist den Azure Monitor-Agent an, die NPS IAS-Protokolldateien zu erfassen und an den Log Analytics-Arbeitsbereich zu senden.

  1. Suchen Sie im Azure-Portal nach Monitor.
  2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Regeln für die Datenerhebung aus.
  3. Klicken Sie auf + Erstellen.
  4. Geben Sie auf dem Tab Grundlagen die folgenden Konfigurationsdetails an:
    • Regelname: Geben Sie dcr-nps-ias-logs ein.
    • Abo: Wählen Sie Ihr Azure-Abo aus.
    • Ressourcengruppe: Wählen Sie dieselbe Ressourcengruppe aus, die Sie zuvor verwendet haben.
    • Region: Wählen Sie dieselbe Region wie für Ihren Log Analytics-Arbeitsbereich aus.
    • Plattformtyp: Wählen Sie Windows aus.
  5. Klicken Sie auf Weiter: Ressourcen.
  6. Auf dem Tab Ressourcen:
    1. Klicken Sie auf + Ressourcen hinzufügen.
    2. Maximieren Sie die Ressourcengruppe und wählen Sie den Azure Arc-fähigen NPS-Server aus.
    3. Klicken Sie auf Übernehmen.
  7. Klicken Sie auf Weiter: Abholen und liefern.

  8. Auf dem Tab Abholen und zustellen:

    1. Klicken Sie auf + Datenquelle hinzufügen.
    2. Wählen Sie im Drop-down-Menü Datenquelltyp die Option Benutzerdefinierte Textprotokolle aus.

    3. Geben Sie im Feld Dateimuster den Pfad zu den NPS-Logdateien ein:

      C:\Windows\System32\LogFiles\IN*.log

    4. Wählen Sie im Drop-down-Menü Tabellenname die Option NpsIasLogs_CL aus.

    5. Wählen Sie im Feld Datensatz-Trennzeichen die Option Zeilenende aus.

    6. Geben Sie im Feld Transformieren source ein, um die Rohprotokolldaten unverändert zu senden.

    7. Klicken Sie auf Datenquelle hinzufügen.

  9. Prüfen Sie im Abschnitt Ziel, ob der von Ihnen erstellte Log Analytics-Arbeitsbereich aufgeführt ist.

  10. Klicken Sie auf Weiter: Überprüfen + Erstellen.

  11. Überprüfen Sie die Konfiguration und klicken Sie auf Erstellen.

Datenexport in Azure Blob Storage konfigurieren

Erstellen Sie eine Datenexportregel, um NPS-/IAS-Logdaten kontinuierlich aus dem Log Analytics-Arbeitsbereich in Azure Blob Storage zu exportieren.

Regel für den Datenexport erstellen

  1. Rufen Sie im Azure-Portal den von Ihnen erstellten Log Analytics-Arbeitsbereich auf.
  2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Datenexport aus.
  3. Klicken Sie auf + Neue Exportregel.
  4. Geben Sie auf dem Tab Grundlagen die folgenden Konfigurationsdetails an:
    • Regelname: Geben Sie export-nps-ias-logs ein.
    • Ziel: Wählen Sie Speicherkonto aus.
  5. Klicken Sie auf Weiter: Quelle.
  6. Wählen Sie auf dem Tab Quelle die Tabelle NpsIasLogs_CL aus.
  7. Klicken Sie auf Weiter: Ziel.
  8. Gehen Sie auf dem Tab Ziel so vor:
    • Abo: Wählen Sie das Abo aus, das Ihr Speicherkonto enthält.
    • Storage Account (Speicherkonto): Wählen Sie das Speicherkonto aus, das Sie zuvor erstellt haben (z. B. npsiaslogs).
  9. Klicken Sie auf Überprüfen + Erstellen.

  10. Überprüfen Sie die Konfiguration und klicken Sie auf Erstellen.

Feed in Google SecOps konfigurieren, um Microsoft IAS-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft IAS NPS Logs.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft IAS als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein:
    https://npsiaslogs.blob.core.windows.net/am-NpsIasLogs_CL/
    • Dabei gilt:
      • npsiaslogs: Der Name Ihres Azure Storage-Kontos.
      • am-NpsIasLogs_CL: Der Name des Blob-Containers, der automatisch von der Datenexportregel erstellt wird.
    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:
    • Nie: Löscht nach Übertragungen nie Dateien.
    • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
    • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.
    • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
    • Gemeinsamer Schlüssel: Geben Sie den Wert des gemeinsamen Schlüssels (Zugriffsschlüssel) ein, den Sie zuvor aus dem Speicherkonto abgerufen haben.
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn für Ihr Azure Storage-Konto eine Firewall verwendet wird, müssen Sie die IP-Bereiche von Google SecOps hinzufügen.

  1. Rufen Sie im Azure-Portal Ihr Storage-Konto auf.
  2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
  3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option Aktiviert für ausgewählte virtuelle Netzwerke und IP-Adressen aus.
  4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.

  5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.

    So rufen Sie die aktuellen IP-Bereiche ab:

  6. Prüfen Sie, ob das Kästchen Allow Azure services on the trusted services list to access this storage account (Azure-Diensten auf der Liste der vertrauenswürdigen Dienste erlauben, auf dieses Speicherkonto zuzugreifen) aktiviert ist. Dies ist für den Log Analytics-Datenexport erforderlich.

  7. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
packet_type additional.fields Wird mit Labels für jedes Feld zusammengeführt, sofern nicht leer
auth_type additional.fields
filter_id additional.fields
framed_netmask additional.fields
framed_address additional.fields
framed_protocol additional.fields
framed_routing additional.fields
framed_mtu additional.fields
framed_compression additional.fields
reason_code additional.fields
extensible_auth_protocol additional.fields
service_type additional.fields
nas_port additional.fields
reply_message additional.fields
nas_identifier additional.fields
device-type additional.fields
coa-push additional.fields
audit-session-id additional.fields
date metadata.event_timestamp Verkettet aus Datum und Uhrzeit, dann geparst mit dem Format MM/TT/JJJJ HH:mm:ss
Zeit metadata.event_timestamp
principal_present metadata.event_type Auf „GENERIC_EVENT“ und dann auf „NETWORK_CONNECTION“ festgelegt, wenn „principal_present“ und „target_present“ vorhanden sind. Andernfalls auf „STATUS_UPDATE“, wenn „principal_present“ vorhanden ist.
target_present metadata.event_type
ac-user-agent network.http.parsed_user_agent Wird aus „ac-user-agent“ konvertiert, wenn das Parsen erfolgreich ist
ac-user-agent network.http.user_agent Wert direkt kopiert
session_duration network.session_duration.seconds Wert direkt kopiert und dann in eine Ganzzahl konvertiert
session_id network.session_id Wert direkt kopiert
principal_hostname principal.asset.hostname Wert direkt kopiert
principal_ip principal.asset.ip Wert aus „principal_ip“, falls gültige IP-Adresse, andernfalls „calling_station_id“, falls gültige IP-Adresse
calling_station_id principal.asset.ip
principal_hostname principal.hostname Wert direkt kopiert
principal_ip principal.ip Wert aus „principal_ip“, falls gültige IP-Adresse, andernfalls „calling_station_id“, falls gültige IP-Adresse
calling_station_id principal.ip
device-mac principal.mac Wert aus „device-mac“, falls nicht leer (nach dem Ersetzen von „-“ durch „:“), andernfalls „device-public-mac“
device-public-mac principal.mac
nat_ip principal.nat_ip Wert direkt kopiert
device-platform principal.platform Auf „WINDOWS“ setzen, wenn in ["Win","win"], „MAC“ wenn =~ "mac|iOS", „LINUX“ wenn =~ "lin"
device-platform-version principal.platform_version Wert direkt kopiert
device-uid principal.resource.product_object_id Wert direkt kopiert
user_name principal.user.user_display_name Wert direkt kopiert
userid principal.user.userid Wert direkt kopiert
service_name target.application Wert direkt kopiert
computer_name target.asset.hostname Wert direkt kopiert
target_ip target.asset.ip Wert aus „target_ip“, wenn gültige IP-Adresse, andernfalls „called_station_id“, wenn gültige IP-Adresse
called_station_id target.asset.ip
computer_name target.hostname Wert direkt kopiert
target_ip target.ip Wert aus „target_ip“, wenn gültige IP-Adresse, andernfalls „called_station_id“, wenn gültige IP-Adresse
called_station_id target.ip
target_port target.port Wert direkt kopiert und dann in eine Ganzzahl konvertiert
metadata.product_name metadata.product_name Auf „MICROSOFT_IAS“ festgelegt
metadata.vendor_name metadata.vendor_name Auf „MICROSOFT_IAS“ festgelegt

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten