收集 Azure Application Gateway 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Azure Application Gateway 日志。此解析器可处理单条记录和多条记录 JSON 结构，从“records”数组中提取字段，执行数据类型转换，将字段映射到 UDM，并使用元数据和派生字段（例如网络连接类型）丰富数据。它还会处理不同 operationName 值的特定逻辑，提取相关的 IP 地址、子网和其他配置详细信息。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 Azure 订阅的特权访问权限
• Azure 中的 Azure 应用网关环境（租户）

配置 Azure 存储账号

1. 在 Azure 控制台中，搜索存储账号。
2. 点击创建。
3. 为以下输入参数指定值：
   • 订阅：选择相应订阅。
   • 资源组：选择资源组。
   • 地区：选择相应区域。
   • 性能：选择性能（建议选择“标准”）。
   • 冗余：选择冗余（建议使用 GRS 或 LRS）。
   • 存储账号名称：输入新存储账号的名称。
4. 点击 Review + create（检查 + 创建）。
5. 查看账号概览，然后点击创建。
6. 在存储账号概览页面上，从安全性 + 网络中选择子菜单访问密钥。
7. 点击 key1 或 key2 旁边的显示
8. 点击复制到剪贴板以复制密钥。
9. 将密钥保存在安全的位置，以供日后使用。
10. 在存储账号概览页面中，选择设置中的子菜单终结点。
11. 点击复制到剪贴板，复制 Blob 服务端点网址。（例如 https://<storageaccountname>.blob.core.windows.net）
12. 将端点网址保存在安全的位置，以供日后使用。

如何配置 Azure Application Gateway

1. 登录 Azure 门户。
2. 前往所需资源组。
3. 选择应用网关（系统随即会显示应用网关窗口）。
4. 在监控部分，依次选择诊断设置 > 开启诊断。
5. 选择添加诊断设置（诊断设置窗口会显示诊断日志的设置）。
6. 在日志部分中，执行以下操作：
   1. 选中 ApplicationGatewayAccessLog 复选框。
   2. 选中 ApplicationGatewayFirewallLog 复选框。
7. 如需将日志存储在存储账号中，请执行以下操作：
   1. 选中归档到存储账号复选框。
   2. 在订阅列表中，选择现有订阅。
   3. 在存储账号列表中，选择一个现有存储账号。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需配置单个 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Azure Application Gateway 日志）。
5. 选择 Microsoft Azure Blob Storage 作为来源类型。
6. 选择“Azure Application Gateway”作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • Azure URI：Blob 端点网址。
     • ENDPOINT_URL/BLOB_NAME
       • 替换以下内容：
         • ENDPOINT_URL：Blob 端点网址。(https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME：Blob 的名称。（例如，insights-logs-<logname>）
   • URI is a：根据日志流配置选择 URI 类型（Single file | Directory | Directory which includes subdirectories）。
   • 源删除选项：根据您的提取偏好设置选择删除选项。
   • 共享密钥：Azure Blob Storage 的访问密钥。
   • 资源命名空间：资源命名空间。
   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• Azure URI：Blob 端点网址。
  • ENDPOINT_URL/BLOB_NAME
    • 替换以下内容：
      • ENDPOINT_URL：Blob 端点网址 (https://<storageaccountname>.blob.core.windows.net)
      • BLOB_NAME：Blob 的名称（例如 insights-logs-<logname>）
• URI is a：根据日志流配置选择 URI 类型（Single file [单个文件] | Directory [目录] | Directory which includes subdirectories [包含子目录的目录]）。
• 源删除选项：根据您的提取偏好设置选择删除选项。
• 共享密钥：Azure Blob Storage 的访问密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资产命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

变化

2024-04-19

• 添加了对多个事件 JSON 日志的支持。

2023-12-22

• 将“resourceid”映射到“target.resource.id”。
• 将“properties.operationStatus”映射到“security_result.category_details”。
• 将“properties.configuration.Name”映射到“principal.hostname”。
• 将“properties.message”映射到“metadata.description”。
• 将“properties.configuration.RemoteStie”映射到“target.hostname”。
• 将“level”映射到“security_result.severity_details”。
• 将“properties.configuration.Ikeversion”映射到“principal.resource.attribute.labels”。
• 将“properties.configuration.LocalTunnelEndpoint”映射到“principal.ip”。
• 将“properties.configuration.RemoteTunnelEndpoint”映射到“target.ip”。
• 将“properties.configuration.LocalSubnets”“properties.configuration.RemoteSubnets”“properties.configuration.VirtualNetworkRanges”和“properties.configuration.VirtualNetworkSubnets”映射到“principal.resource.attribute.labels”。
• 将“properties.configuration.VIPAddress”映射到“principal.ip”。
• 将“properties.configuration.BgpConfiguration.GatewayConfig.PeerAddress”映射到“targrt.ip”。
• 将“properties.configuration.BgpConfiguration.GatewayConfig.PeerType”和“properties.configuration.BgpConfiguration.GatewayConfig.Asn”映射到“security_result.detection_fields”。

2023-11-16

• 新创建的解析器。