Mengumpulkan log Microsoft IAS/Network Policy Server (NPS)

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log Microsoft Internet Authentication Service (IAS) / Network Policy Server (NPS) dengan menyiapkan feed Google SecOps menggunakan Microsoft Azure Blob Storage V2.

Microsoft Network Policy Server (NPS) adalah implementasi Microsoft dari server dan proxy RADIUS (Remote Authentication Dial-In User Service). NPS memungkinkan pengelolaan terpusat untuk autentikasi, otorisasi, dan akuntansi akses jaringan untuk koneksi VPN, titik akses nirkabel, switch autentikasi 802.1X, dan akses jarak jauh dial-up. NPS sebelumnya dikenal sebagai Internet Authentication Service (IAS) di Windows Server 2003 dan versi yang lebih lama. Karena NPS berjalan sebagai peran Windows Server tanpa kapabilitas ekspor cloud native, panduan ini menggunakan Azure Monitor Agent untuk mengumpulkan file log akuntansi NPS dari sistem file lokal dan merutekannya melalui ruang kerja analisis log ke Azure Blob Storage.

Sebelum memulai

  • Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps

  • Akses istimewa ke portal Microsoft Azure dengan izin untuk:

    • Membuat Akun Penyimpanan
    • Membuat dan mengelola ruang kerja Analisis Log
    • Membuat Aturan Pengumpulan Data
    • Membuat aturan ekspor data
    • Mengelola kunci akses

  • Windows Server 2016 atau yang lebih baru dengan peran NPS yang diinstal

  • Akses administratif ke server NPS

  • Konektivitas jaringan dari server NPS ke Azure (HTTPS keluar di port 443)

Mengonfigurasi akuntansi dan logging NPS

Aktifkan NPS untuk mencatat permintaan autentikasi dan akuntansi ke file teks lokal dalam format IAS.

Mengaktifkan log akuntansi NPS

  1. Di Windows Server yang menjalankan NPS, buka Server Manager.
  2. Buka Tools > Network Policy Server.
  3. Di hierarki konsol NPS, klik Accounting.
  4. Di panel detail, di bagian Accounting, klik Configure Accounting.
  5. Di wizard Accounting Configuration, pilih Log to a text file on the local computer, lalu klik Next.
  6. Di halaman Configure Log File Properties, konfigurasikan hal berikut:
    • Di bagian Log the following information, centang kotak untuk informasi yang ingin Anda catat ke dalam log:
      • Permintaan akuntansi
      • Permintaan autentikasi
      • Status akuntansi berkala
      • Status autentikasi berkala
    • Di bagian Logging failure action, pilih If logging fails, discard connection requests jika Anda ingin NPS berhenti memproses saat file log tidak tersedia. Jangan centang jika Anda ingin NPS melanjutkan pemrosesan meskipun logging gagal.
  7. Klik Berikutnya.
  8. Tinjau ringkasan, lalu klik Finish.

Mengonfigurasi properti file log

  1. Di hierarki konsol NPS, klik Accounting.
  2. Di panel detail, di bagian Log File Properties, klik Change Log File Properties.
  3. Klik tab File Log.
  4. Di kolom Directory, verifikasi atau ubah lokasi file log:
    • Lokasi default: %systemroot%\System32\LogFiles
    • Untuk pengaturan yang lebih baik, tentukan direktori khusus (misalnya, C:\NPSLogs)

  5. Di dropdown Format, pilih IAS (Lama).

  6. Di Create a new log file, pilih interval rotasi log:

    • Harian (direkomendasikan untuk sebagian besar lingkungan)
    • Mingguan
    • Bulanan
    • Never (unlimited file size)
    • Saat file log mencapai ukuran ini (tentukan ukuran dalam MB)

  7. Jika Anda ingin NPS menghapus file log lama saat kapasitas disk hampir habis, pilih When the disk is full delete older log files.

  8. Klik OK untuk menyimpan konfigurasi.

  9. Pastikan file log dibuat di direktori yang dikonfigurasi.

Mengonfigurasi Akun Azure Storage

Membuat Akun Penyimpanan

  1. Di portal Azure, telusuri Storage accounts.
  2. Klik + Create.

  3. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Langganan Pilih langganan Azure Anda
    Grup resource Pilih yang sudah ada atau buat yang baru
    Nama akun penyimpanan Masukkan nama yang unik (misalnya, npsiaslogs)
    Region Pilih region (misalnya, East US)
    Performa Standar (direkomendasikan)
    Redundansi GRS (Geo-redundant storage) atau LRS (Locally redundant storage)

  4. Klik Review + create.

  5. Tinjau ringkasan akun, lalu klik Buat.

  6. Tunggu hingga deployment selesai.

Mendapatkan kredensial Akun Penyimpanan

  1. Buka Storage Account yang baru saja Anda buat.
  2. Di navigasi kiri, pilih Access keys di bagian Security + networking.
  3. Klik Show keys.
  4. Salin dan simpan hal berikut untuk digunakan nanti:
    • Storage account name: Nama akun penyimpanan Anda (misalnya, npsiaslogs)
    • Kunci 1 atau Kunci 2: Kunci akses bersama (string acak 512-bit dalam encoding base-64)

Mendapatkan endpoint Blob Service

  1. Di Akun Penyimpanan yang sama, pilih Endpoints dari navigasi kiri.
  2. Salin dan simpan URL endpoint Blob service.
    • Contoh: https://npsiaslogs.blob.core.windows.net/

Membuat ruang kerja Analisis Log

Ruang kerja Analisis Log diperlukan untuk menerima log teks kustom dari Azure Monitor Agent sebelum mengekspornya ke Azure Blob Storage.

  1. Di portal Azure, telusuri ruang kerja Analisis Log.
  2. Klik + Create.

  3. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Langganan Pilih langganan Azure Anda
    Grup resource Pilih grup resource yang sama dengan Akun Penyimpanan Anda
    Nama Masukkan nama yang unik (misalnya, nps-ias-workspace)
    Region Pilih region yang sama dengan Akun Penyimpanan Anda

  4. Klik Review + Create.

  5. Tinjau setelan, lalu klik Create.

  6. Tunggu hingga deployment selesai.

Membuat tabel log kustom

Buat tabel kustom di ruang kerja Analisis Log untuk menyimpan data log NPS/IAS.

  1. Di portal Azure, buka ruang kerja Analisis Log yang baru saja Anda buat.
  2. Di navigasi sebelah kiri, pilih Tabel di bagian Setelan.
  3. Klik + Create > New custom log (DCR-based).
  4. Di kolom Table name, masukkan NpsIasLogs. Nama tabel lengkapnya adalah NpsIasLogs_CL.

  5. Klik Create.

Melakukan orientasi server NPS ke Azure Arc

Karena NPS berjalan di Windows Server lokal, Anda harus melakukan aktivasi server ke Azure Arc sebelum menginstal Azure Monitor Agent.

Mendaftarkan server NPS ke Azure Arc

  1. Di portal Azure, telusuri Azure Arc.
  2. Di navigasi kiri, pilih Machines di bagian Infrastructure.
  3. Klik + Tambahkan/Buat > Tambahkan mesin.
  4. Di bagian Add servers with Azure Arc, pilih Generate script di bagian Add a single server.
  5. Berikan detail konfigurasi berikut:
    • Subscription: Pilih langganan Azure Anda.
    • Resource group: Pilih grup resource yang sama dengan yang digunakan sebelumnya.
    • Region: Pilih region yang sama dengan ruang kerja analisis log Anda.
    • Sistem operasi: Pilih Windows.
    • Metode konektivitas: Pilih endpoint publik (atau server proxy jika diperlukan oleh jaringan Anda).
  6. Klik Download and run script.
  7. Salin skrip PowerShell yang dihasilkan ke server NPS.

  8. Di server NPS, buka PowerShell sebagai Administrator dan jalankan skrip:

    & '.\OnboardingScript.ps1'

  9. Ikuti petunjuk di layar untuk melakukan autentikasi dengan Azure dan menyelesaikan orientasi.

  10. Setelah skrip selesai, kembali ke portal Azure > Azure Arc > Machines dan pastikan server NPS muncul dengan status Connected.

Menginstal Azure Monitor Agent

Menginstal Azure Monitor Agent di server yang mendukung Arc

  1. Di portal Azure, buka Azure Arc > Machines.
  2. Pilih server NPS dari daftar mesin.
  3. Di navigasi kiri, pilih Ekstensi di bagian Setelan.
  4. Klik + Tambahkan.
  5. Pilih Azure Monitor Agent dari daftar ekstensi.
  6. Klik Berikutnya.
  7. Klik Review + create.
  8. Klik Create.

  9. Tunggu hingga penginstalan ekstensi selesai. Status akan berubah menjadi Penyediaan berhasil.

Membuat Aturan Pengumpulan Data untuk file log NPS

Aturan Pengumpulan Data (DCR) menginstruksikan Agen Azure Monitor untuk mengumpulkan file log NPS IAS dan mengirimkannya ke ruang kerja analisis log.

  1. Di portal Azure, telusuri Monitor.
  2. Di navigasi kiri, pilih Aturan Pengumpulan Data di bagian Setelan.
  3. Klik + Create.
  4. Di tab Basics, berikan detail konfigurasi berikut:
    • Nama Aturan: Masukkan dcr-nps-ias-logs.
    • Subscription: Pilih langganan Azure Anda.
    • Resource Group: Pilih grup resource yang sama dengan yang digunakan sebelumnya.
    • Region: Pilih region yang sama dengan ruang kerja analisis log Anda.
    • Platform Type: Pilih Windows.
  5. Klik Next: Resources.
  6. Di tab Resources:
    1. Klik + Tambahkan materi.
    2. Luaskan grup resource dan pilih server NPS yang mendukung Azure Arc.
    3. Klik Terapkan.
  7. Klik Berikutnya: Pengumpulan dan pengiriman.

  8. Di tab Pengambilan dan pengiriman:

    1. Klik + Tambahkan sumber data.
    2. Di dropdown Data source type, pilih Custom Text Logs.

    3. Di kolom File pattern, masukkan jalur ke file log NPS:

      C:\Windows\System32\LogFiles\IN*.log

    4. Di dropdown Table name, pilih NpsIasLogs_CL.

    5. Di kolom Record delimiter, pilih End of line.

    6. Di kolom Transform, masukkan source untuk mengirim data log mentah tanpa perubahan.

    7. Klik Tambahkan sumber data.

  9. Di bagian Destination, pastikan ruang kerja analisis log yang Anda buat tercantum.

  10. Klik Next: Review + create.

  11. Tinjau konfigurasi, lalu klik Create.

Mengonfigurasi ekspor data ke Azure Blob Storage

Buat aturan ekspor data untuk terus mengekspor data log NPS/IAS dari ruang kerja Analisis Log ke Azure Blob Storage.

Membuat aturan ekspor data

  1. Di portal Azure, buka ruang kerja Analisis Log yang Anda buat.
  2. Di navigasi kiri, pilih Ekspor Data di bagian Setelan.
  3. Klik + Aturan ekspor baru.
  4. Di tab Basics, berikan detail konfigurasi berikut:
    • Nama aturan: Masukkan export-nps-ias-logs.
    • Destination: Pilih Storage Account.
  5. Klik Next: Source.
  6. Di tab Source, pilih tabel NpsIasLogs_CL.
  7. Klik Berikutnya: Tujuan.
  8. Di tab Destination:
    • Subscription: Pilih langganan yang berisi Akun Penyimpanan Anda.
    • Storage Account: Pilih Storage Account yang Anda buat sebelumnya (misalnya, npsiaslogs).
  9. Klik Review + create.

  10. Tinjau konfigurasi, lalu klik Create.

Mengonfigurasi feed di Google SecOps untuk menyerap log Microsoft IAS

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik Tambahkan Feed Berita Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft IAS NPS Logs).
  5. Pilih Microsoft Azure Blob Storage V2 sebagai Source type.
  6. Pilih Microsoft IAS sebagai Log type.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • Azure URI: Masukkan URL endpoint Blob Service dengan jalur container:
    https://npsiaslogs.blob.core.windows.net/am-NpsIasLogs_CL/
    • Ganti kode berikut:
      • npsiaslogs: Nama akun penyimpanan Azure Anda.
      • am-NpsIasLogs_CL: Nama container blob yang otomatis dibuat oleh aturan ekspor data.
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
    • Never: Tidak pernah menghapus file apa pun setelah transfer.
    • Delete transferred files: Menghapus file setelah transfer berhasil.
    • Delete transferred files and empty directories: Menghapus file dan direktori kosong setelah transfer berhasil.
    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)
    • Shared key: Masukkan nilai kunci bersama (kunci akses) yang Anda ambil dari Storage Account sebelumnya
    • Namespace aset: Namespace aset
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Mengonfigurasi firewall Azure Storage (jika diaktifkan)

Jika Akun Azure Storage Anda menggunakan firewall, Anda harus menambahkan rentang IP Google SecOps.

  1. Di portal Azure, buka Storage Account Anda.
  2. Pilih Networking di bagian Security + networking.
  3. Di bagian Firewalls and virtual networks, pilih Enabled from selected virtual networks and IP addresses.
  4. Di bagian Firewall, di bagian Address range, klik + Add IP range.

  5. Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.

    Untuk mendapatkan rentang IP saat ini:

  6. Pastikan kotak centang Allow Azure services on the trusted services list to access this storage account dicentang (diperlukan agar ekspor data analisis log berfungsi).

  7. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
packet_type additional.fields Digabungkan dengan label untuk setiap kolom jika tidak kosong
auth_type additional.fields
filter_id additional.fields
framed_netmask additional.fields
framed_address additional.fields
framed_protocol additional.fields
framed_routing additional.fields
framed_mtu additional.fields
framed_compression additional.fields
reason_code additional.fields
extensible_auth_protocol additional.fields
service_type additional.fields
nas_port additional.fields
reply_message additional.fields
nas_identifier additional.fields
device-type additional.fields
coa-push additional.fields
audit-session-id additional.fields
tanggal metadata.event_timestamp Digabungkan dari tanggal dan waktu, lalu diuraikan dengan format MM/dd/yyyy HH:mm:ss
waktu metadata.event_timestamp
principal_present metadata.event_type Ditetapkan ke "GENERIC_EVENT", lalu "NETWORK_CONNECTION" jika principal_present dan target_present, atau "STATUS_UPDATE" jika principal_present
target_present metadata.event_type
ac-user-agent network.http.parsed_user_agent Dikonversi dari ac-user-agent jika penguraian berhasil
ac-user-agent network.http.user_agent Nilai disalin langsung
Durasi sesi network.session_duration.seconds Nilai disalin langsung, lalu dikonversi menjadi bilangan bulat
session_id network.session_id Nilai disalin langsung
principal_hostname principal.asset.hostname Nilai disalin langsung
principal_ip principal.asset.ip Nilai dari principal_ip jika IP valid, atau calling_station_id jika IP valid
calling_station_id principal.asset.ip
principal_hostname principal.hostname Nilai disalin langsung
principal_ip principal.ip Nilai dari principal_ip jika IP valid, atau calling_station_id jika IP valid
calling_station_id principal.ip
device-mac principal.mac Nilai dari device-mac jika tidak kosong (setelah mengganti - dengan :), jika tidak, device-public-mac
device-public-mac principal.mac
nat_ip principal.nat_ip Nilai disalin langsung
device-platform principal.platform Setel ke "WINDOWS" jika dalam ["Win","win"], "MAC" jika =~ "mac|iOS", "LINUX" jika =~ "lin"
device-platform-version principal.platform_version Nilai disalin langsung
device-uid principal.resource.product_object_id Nilai disalin langsung
user_name principal.user.user_display_name Nilai disalin langsung
userid principal.user.userid Nilai disalin langsung
service_name target.application Nilai disalin langsung
computer_name target.asset.hostname Nilai disalin langsung
target_ip target.asset.ip Nilai dari target_ip jika IP valid, atau called_station_id jika IP valid
called_station_id target.asset.ip
computer_name target.hostname Nilai disalin langsung
target_ip target.ip Nilai dari target_ip jika IP valid, atau called_station_id jika IP valid
called_station_id target.ip
target_port target.port Nilai disalin langsung, lalu dikonversi menjadi bilangan bulat
metadata.product_name metadata.product_name Tetapkan ke "MICROSOFT_IAS"
metadata.vendor_name metadata.vendor_name Tetapkan ke "MICROSOFT_IAS"

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.