Partager via

Gérer le transfert syslog pour Azure Local

  • Article

S’applique à : Azure Local 2311.2 et versions ultérieures

Cet article explique comment configurer les événements de sécurité à transférer à un système SIEM (Managed Security Information and Event Management) géré par le client à l’aide du protocole syslog pour Azure Local, version 23H2.

Utilisez le transfert syslog pour s’intégrer aux solutions de surveillance de la sécurité et récupérer les journaux d’événements de sécurité pertinents pour les stocker pour la rétention sur votre propre plateforme SIEM. Pour plus d’informations sur les fonctionnalités de sécurité de cette version, consultez Fonctionnalités de sécurité pour Azure Local version 23H2.

Configurer le transfert syslog

Les agents de transfert Syslog sont déployés sur chaque hôte local Azure par défaut, prêts à être configurés. Chacun des agents transfère les événements de sécurité au format syslog de l’hôte au serveur syslog configuré par le client.

Les agents de transfert Syslog fonctionnent indépendamment les uns des autres, mais peuvent être gérés ensemble sur l’un des hôtes. Utilisez des applets de commande PowerShell avec des privilèges d’administration sur n’importe quel hôte pour contrôler le comportement de tous les agents de redirecteur.

Le redirecteur syslog dans Azure Local prend en charge les configurations suivantes :

  • Transfert Syslog avec TCP, authentification mutuelle (client et serveur) et chiffrement TLS : dans cette configuration, le serveur syslog et le client syslog vérifient l’identité des uns des autres via des certificats. Les messages sont envoyés via un canal chiffré TLS. Pour plus d’informations, consultez Le transfert Syslog avec TCP, l’authentification mutuelle (client et serveur) et le chiffrement TLS.

  • Transfert Syslog avec le chiffrement TCP, l’authentification du serveur et TLS : dans cette configuration, le client syslog vérifie l’identité du serveur syslog via un certificat. Les messages sont envoyés via un canal chiffré TLS. Pour plus d’informations, consultez Le transfert Syslog avec tcp, l’authentification du serveur et le chiffrement TLS.

  • Transfert Syslog avec TCP et sans chiffrement : dans cette configuration, les identités du client syslog et du serveur syslog ne sont pas vérifiées. Les messages sont envoyés en texte clair sur TCP. Pour plus d’informations, consultez Le transfert Syslog avec TCP et aucun chiffrement.

  • Syslog avec UDP et sans chiffrement : dans cette configuration, les identités du client syslog et du serveur syslog ne sont pas vérifiées. Les messages sont envoyés en texte clair sur UDP. Pour plus d’informations, consultez Transfert Syslog avec UDP et aucun chiffrement.

    Important

    Pour vous protéger contre les attaques man-in-the-middle et l’écoute des messages, Microsoft vous recommande vivement d’utiliser TCP avec l’authentification et le chiffrement dans les environnements de production. La version du chiffrement TLS dépend de l’établissement d’une liaison entre les points de terminaison. Les deux, TLS 1.2 et TLS 1.3, sont pris en charge par défaut.

Applets de commande pour configurer le transfert de Syslog

La configuration du redirecteur syslog nécessite l’accès à l’hôte physique à l’aide d’un compte d’administrateur de domaine. Un ensemble d’applets de commande PowerShell a été ajouté à tous les hôtes locaux Azure pour contrôler le comportement du redirecteur syslog.

L’applet Set-AzSSyslogForwarder de commande est utilisée pour définir la configuration du redirecteur syslog pour tous les hôtes. Si elle réussit, une instance de plan d’action est démarrée pour configurer les agents du redirecteur syslog sur tous les hôtes. L’ID d’instance du plan d’action est retourné.

Utilisez l’applet de commande suivante pour transmettre les informations du serveur syslog au redirecteur et configurer le protocole de transport, le chiffrement, l’authentification et le certificat facultatif utilisé entre le client et le serveur :

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Paramètres d’applet de commande

Le tableau suivant fournit des paramètres pour l’applet Set-AzSSyslogForwarder de commande :

Paramètre Description Type Requis
ServerName Nom de domaine complet ou adresse IP du serveur Syslog. String Oui
ServerPort Numéro du port où le serveur Syslog est à l’écoute. UInt16 Oui
NoEncryption Forcer le client à envoyer des messages Syslog en texte clair. Indicateur Non
SkipServerCertificateCheck Ignorer la validation du certificat fourni par le serveur Syslog pendant la négociation TLS initiale. Indicateur Non
SkipServerCNCheck Ignorer la validation de la valeur Nom courant du certificat fourni par le serveur Syslog pendant la négociation TLS initiale. Indicateur Non
UseUDP Utiliser Syslog avec le protocole de transport UDP. Indicateur Non
ClientCertificateThumbprint Empreinte numérique du certificat client utilisé pour communiquer avec le serveur syslog. String Non
OutputSeverity Niveau de journalisation des résultats. Les valeurs sont Par défaut ou Détails. « Par défaut » comprend les niveaux de gravité suivants : avertissement, critique ou erreur. « Détails » inclut tous les niveaux de gravité : détails, informations, avertissement, critique ou erreur. String Non
Remove Supprimez la configuration actuelle du redirecteur syslog et arrêtez le redirecteur syslog. Indicateur Non

Transfert Syslog avec TCP, authentification mutuelle (client et serveur) et chiffrement TLS

Dans cette configuration, le client syslog dans Azure Local transfère les messages au serveur syslog via TCP avec chiffrement TLS. Pendant la négociation initiale, le client vérifie que le serveur fournit un certificat valide et approuvé. Le client fournit également un certificat au serveur comme preuve de son identité.

Cette configuration est la plus sécurisée, car elle fournit une validation complète de l’identité du client et du serveur, et envoie des messages sur un canal chiffré.

Important

Microsoft vous recommande d’utiliser cette configuration pour les environnements de production.

Pour configurer le redirecteur syslog avec tcp, l’authentification mutuelle et le chiffrement TLS, configurez le serveur et fournissez un certificat au client pour s’authentifier auprès du serveur.

Exécutez l’applet de commande suivante sur un hôte physique :

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Important

Le certificat client doit contenir une clé privée. Si le certificat client est signé à l’aide d’un certificat racine auto-signé, vous devez également importer le certificat racine.

Transfert Syslog avec le chiffrement TCP, l’authentification du serveur et le chiffrement TLS

Dans cette configuration, le redirecteur syslog dans Azure Local transfère les messages au serveur syslog via TCP avec chiffrement TLS. Pendant la négociation initiale, le client vérifie également que le serveur fournit un certificat valide et approuvé.

Cette configuration empêche le client d’envoyer des messages vers des destinations non approuvées. TCP avec authentification et chiffrement est la configuration par défaut et représente le niveau minimal de sécurité que Microsoft recommande pour un environnement de production.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Si vous souhaitez tester l’intégration de votre serveur syslog avec le redirecteur syslog local Azure à l’aide d’un certificat auto-signé ou non approuvé, utilisez ces indicateurs pour ignorer la validation du serveur effectuée par le client pendant la négociation initiale.

  1. Ignorez la validation de la valeur Nom commun dans le certificat de serveur. Utilisez cet indicateur si vous fournissez une adresse IP pour votre serveur syslog.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Ignorez la validation du certificat de serveur.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Important

    Microsoft recommande de ne pas utiliser l’indicateur -SkipServerCertificateCheck dans les environnements de production.

Transfert Syslog avec TCP et sans chiffrement

Dans cette configuration, le client syslog dans Azure Local transfère les messages au serveur syslog via TCP sans chiffrement. Le client ne vérifie pas l’identité du serveur, ni ne fournit sa propre identité au serveur pour vérification.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Important

Microsoft vous recommande de ne pas utiliser cette configuration dans les environnements de production.

Transfert Syslog avec UDP et sans chiffrement

Dans cette configuration, le client syslog dans Azure Local transfère les messages au serveur syslog via UDP, sans chiffrement. Le client ne vérifie pas l’identité du serveur, ni ne fournit sa propre identité au serveur pour vérification.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Bien que UDP sans chiffrement soit le plus simple à configurer, il ne fournit aucune protection contre les attaques man-in-the-middle ou l’écoute des messages.

Important

Microsoft vous recommande de ne pas utiliser cette configuration dans les environnements de production.

Activer le transfert syslog

Exécutez l’applet de commande suivante pour activer le transfert syslog :

Enable-AzSSyslogForwarder [-Force]

Le redirecteur Syslog est activé avec la configuration stockée fournie par le dernier appel réussi Set-AzSSyslogForwarder . L’applet de commande échoue si aucune configuration n’a été fournie à l’aide Set-AzSSyslogForwarderde .

Désactiver le transfert syslog

Exécutez l’applet de commande suivante pour désactiver le transfert syslog :

Disable-AzSSyslogForwarder [-Force]

Paramètre pour Enable-AzSSyslogForwarder et Disable-AzSSyslogForwarder applets de commande :

Paramètre Description Type Requis
Force S’il est spécifié, un plan d’action est toujours déclenché même si l’état cible est identique à actuel. Cela peut être utile pour réinitialiser les modifications hors bande. Indicateur Non

Vérifier la configuration de syslog

Une fois que vous avez correctement connecté le client syslog à votre serveur syslog, vous commencerez à recevoir des notifications d’événements. Si vous ne voyez pas de notifications, vérifiez la configuration du redirecteur syslog de votre cluster en exécutant l’applet de commande suivante :

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Chaque hôte possède son propre agent de redirecteur syslog qui utilise une copie locale de la configuration du cluster. Ils sont toujours censés être identiques à la configuration du cluster. Vous pouvez vérifier la configuration actuelle sur chaque hôte à l’aide de l’applet de commande suivante :

Get-AzSSyslogForwarder -PerNode

Vous pouvez également utiliser l’applet de commande suivante pour vérifier la configuration sur l’hôte auquel vous êtes connecté :

Get-AzSSyslogForwarder -Local

Paramètres d’applet de commande pour l’applet Get-AzSSyslogForwarder de commande :

Paramètre Description Type Requis
Local Afficher la configuration actuellement utilisée sur l’hôte actuel. Indicateur Non
PerNode Afficher la configuration actuellement utilisée sur chaque hôte. Indicateur Non
Cluster Afficher la configuration globale actuelle sur Azure Local. Il s’agit du comportement par défaut si aucun paramètre n’est fourni. Indicateur Non

Supprimer le transfert syslog

Exécutez la commande suivante pour supprimer la configuration du redirecteur syslog et arrêter le redirecteur syslog :

Set-AzSSyslogForwarder -Remove

Informations de référence sur le schéma de message et le journal des événements

Les documents de référence suivants documentent le schéma de message syslog et les définitions d’événements.

Le redirecteur syslog de l’infrastructure locale Azure envoie des messages mis en forme conformément au protocole syslog BSD défini dans RFC3164. CEF est également utilisé pour mettre en forme la charge utile du message syslog.

Chaque message syslog est structuré en fonction de ce schéma : Priorité (PRI) | Heure | Hôte | Charge utile CEF |

La partie PRI contient deux valeurs : l’installation et la gravité. Les deux dépendent du type de message, comme l’événement Windows, etc.

Étapes suivantes

Pour en savoir plus :