收集 Azure 應用程式閘道記錄

本文說明如何設定 Google Security Operations 動態饋給，收集 Azure Application Gateway 記錄。這個剖析器可處理單一和多筆記錄 JSON 結構，從「records」陣列中擷取欄位、執行資料類型轉換、將欄位對應至 UDM，並使用中繼資料和衍生欄位 (例如網路連線類型) 強化資料。它也會處理不同 operationName 值的特定邏輯，擷取相關 IP 位址、子網路和其他設定詳細資料。

事前準備

請確認您已完成下列必要條件：

• Google SecOps 執行個體
• 對 Azure 訂閱的特殊權限存取權
• Azure 中的 Azure 應用程式閘道環境 (租用戶)

設定 Azure 儲存體帳戶

1. 在 Azure 控制台中搜尋「儲存體帳戶」。
2. 按一下 [建立]。
3. 指定下列輸入參數的值：
   • 訂閱：選取訂閱項目。
   • 資源群組：選取資源群組。
   • 區域：選取區域。
   • 成效：選取成效 (建議使用標準)。
   • 備援功能：選取備援功能 (建議使用 GRS 或 LRS)。
   • 儲存體帳戶名稱：輸入新儲存體帳戶的名稱。
4. 按一下「Review + create」。
5. 查看帳戶總覽，然後按一下「建立」。
6. 在「儲存空間帳戶總覽」頁面中，選取「安全性與網路」的「存取金鑰」子選單。
7. 按一下 key1 或 key2 旁邊的「顯示」
8. 按一下「複製到剪貼簿」即可複製金鑰。
9. 將金鑰儲存於安全的位置，以供日後使用。
10. 在「儲存空間帳戶總覽」頁面中，選取「設定」中的「端點」子選單。
11. 點選「複製到剪貼簿」即可複製 Blob 服務端點網址。(例如 https://<storageaccountname>.blob.core.windows.net)
12. 將端點網址儲存於安全位置，以供日後使用。

如何設定 Azure Application Gateway

1. 登入 Azure 入口網站。
2. 前往所需資源群組。
3. 選取「Application gateway」 (畫面上會顯示「Application gateway」視窗)。
4. 在「Monitoring」部分，依序選取「Diagnostic settings」>「>」「Turn on diagnostics」。
5. 選取「新增診斷設定」 (「診斷設定」視窗會顯示診斷記錄的設定)。
6. 在「log」部分執行下列操作：
   1. 勾選「ApplicationGatewayAccessLog」ApplicationGatewayAccessLog核取方塊。
   2. 勾選「ApplicationGatewayFirewallLog」ApplicationGatewayFirewallLog核取方塊。
7. 如要將記錄儲存在儲存空間帳戶中，請按照下列步驟操作：
   1. 勾選「將資料封存至儲存空間帳戶」核取方塊。
   2. 在「訂閱」清單中，選取現有的訂閱項目。
   3. 在「Storage account」清單中，選取現有的儲存空間帳戶。

設定動態饋給

在 Google SecOps 平台中，有兩個不同的入口可用來設定動態消息：

• SIEM 設定 > 動態饋給
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態」設定動態

如要針對這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一頁中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱 (例如「Azure Application Gateway Logs」)。
5. 選取「Microsoft Azure Blob Storage」做為「Source type」。
6. 選取 Azure Application Gateway 做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • Azure uri：Blob 端點網址。
     • ENDPOINT_URL/BLOB_NAME
       • 替換下列內容：
         • ENDPOINT_URL：Blob 端點網址。(https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME：Blob 的名稱。(例如 insights-logs-<logname>)
   • URI 是：根據記錄串流設定選取 URI 類型 (單一檔案 | 目錄 | 包含子目錄的目錄)。
   • 來源刪除選項：根據擷取偏好設定選取刪除選項。
   • 共用金鑰：Azure Blob 儲存體的存取金鑰。
   • 資產命名空間：資產命名空間。
   • 攝入標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「完成」畫面中查看新的動態饋給設定，然後按一下「提交」。

透過內容中心設定動態饋給

指定下列欄位的值：

• Azure URI：Blob 端點網址。
  • ENDPOINT_URL/BLOB_NAME
    • 替換下列內容：
      • ENDPOINT_URL：Blob 端點網址 (https://<storageaccountname>.blob.core.windows.net)
      • BLOB_NAME：Blob 的名稱 (例如 insights-logs-<logname>)
• URI 是：根據記錄串流設定選取 URI 類型 (單一檔案 | 目錄 | 包含子目錄的目錄)。
• 來源刪除選項：根據擷取偏好設定選取刪除選項。
• 共用金鑰：Azure Blob 儲存體的存取金鑰。

進階選項

• 動態饋給名稱：預先填入的值，用於識別動態饋給。
• 來源類型：用於收集記錄並匯入 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 攝入標籤：套用至這個動態饋給中所有事件的標籤。

UDM 對應表

異動

2024-04-19

• 新增對多個事件 JSON 記錄的支援。

2023-12-22

• 已將「resourceid」對應至「target.resource.id」。
• 將「properties.operationStatus」對應至「security_result.category_details」。
• 將「properties.configuration.Name」對應至「principal.hostname」。
• 將「properties.message」對應至「metadata.description」。
• 將「properties.configuration.RemoteStie」對應至「target.hostname」。
• 將「level」對應至「security_result.severity_details」。
• 將「properties.configuration.Ikeversion」對應至「principal.resource.attribute.labels」。
• 將「properties.configuration.LocalTunnelEndpoint」對應至「principal.ip」。
• 將「properties.configuration.RemoteTunnelEndpoint」對應至「target.ip」。
• 將「properties.configuration.LocalSubnets」、「properties.configuration.RemoteSubnets」、「properties.configuration.VirtualNetworkRanges」和「properties.configuration.VirtualNetworkSubnets」對應至「principal.resource.attribute.labels」。
• 將「properties.configuration.VIPAddress」對應至「principal.ip」。
• 將「properties.configuration.BgpConfiguration.GatewayConfig.PeerAddress」對應至「targrt.ip」。
• 將「properties.configuration.BgpConfiguration.GatewayConfig.PeerType」和「properties.configuration.BgpConfiguration.GatewayConfig.Asn」對應至「security_result.detection_fields」。

2023-11-16

• 新建的剖析器。