Contrôle de sécurité : Journalisation et supervision

La journalisation et la supervision de la sécurité se concentrent sur les activités liées à l’activation, l’acquisition et le stockage des journaux d’audit pour les services Azure.

2.1 : Utiliser des sources de synchronisation date/heure approuvées

Microsoft gère les sources de temps pour les ressources Azure. Toutefois, vous avez la possibilité de gérer les paramètres de synchronisation date/heure pour vos ressources de calcul.

• Guide pratique pour configurer la synchronisation date/heure pour les ressources de calcul Windows Azure

• Guide pratique pour configurer la synchronisation date/heure pour les ressources de calcul Linux Azure

2.2 : Configurer la gestion des journaux de sécurité centrale

Ingérez des journaux par le biais d’Azure Monitor pour agréger les données de sécurité générées par les appareils de point de terminaison, les ressources réseau et d’autres systèmes de sécurité. Dans Azure Monitor, utilisez des espaces de travail Log Analytics pour interroger et effectuer l’analytique, puis utilisez les comptes de stockage Azure pour le stockage à long terme/d’archivage.

Vous pouvez également activer et intégrer les données dans Azure Sentinel ou une solution SIEM tierce.

• Guide pratique pour intégrer Azure Sentinel

• Guide pratique pour collecter des journaux et des métriques de plateforme avec Azure Monitor

• Guide pratique pour collecter les journaux des hôtes internes des machines virtuelles Azure avec Azure Monitor

• Guide pratique pour bien démarrer avec Azure Monitor et l’intégration d’une solution SIEM tierce

2.3 : Activer la journalisation d’audit pour les ressources Azure

Activez les paramètres de diagnostic sur les ressources Azure pour accéder aux journaux d’audit, de sécurité et de diagnostic. Les journaux d’activité, automatiquement disponibles, incluent la source de l’événement, la date, l’utilisateur, l’horodatage, les adresses sources, les adresses de destination et d’autres éléments utiles.

• Guide pratique pour collecter des journaux et des métriques de plateforme avec Azure Monitor

• Présentation de la journalisation et des différents types de journaux dans Azure

2.4 : Collecter les journaux de sécurité des systèmes d’exploitation

Si la ressource de calcul appartient à Microsoft, alors Microsoft est responsable de sa supervision. Si la ressource de calcul appartient à votre organisation, il vous incombe de la superviser. Vous pouvez utiliser Azure Security Center pour superviser le système d’exploitation. Les données collectées par Security Center auprès du système d’exploitation incluent le type et la version du système d’exploitation, le système d’exploitation (journaux des événements Windows), les processus en cours d’exécution, le nom de l’ordinateur, les adresses IP et l’utilisateur connecté. L’agent Log Analytics collecte également les fichiers de vidage sur incident.

• Guide pratique pour collecter les journaux des hôtes internes des machines virtuelles Azure avec Azure Monitor

• Présentation de la collecte de données Azure Security Center

2.5 : Configurer la conservation du stockage des journaux de sécurité

Dans Azure Monitor, définissez la période de conservation de votre espace de travail Log Analytics en fonction des obligations réglementaires de votre organisation. Utilisez les comptes de stockage Azure pour le stockage à long terme/d’archivage.

• Modification de la période de conservation des données dans Log Analytics

• Guide pratique pour configurer la stratégie de conservation des journaux de compte de Stockage Azure

2.6 : Superviser et examiner les journaux

Analysez et supervisez les journaux pour détecter les comportements anormaux et examinez régulièrement les résultats. Utilisez l’espace de travail Log Analytics d’Azure Monitor pour examiner les journaux et effectuer des requêtes sur leurs données.

Vous pouvez également activer et intégrer les données dans Azure Sentinel ou une solution SIEM tierce.

• Guide pratique pour intégrer Azure Sentinel

• Présentation de l’espace de travail Log Analytics

• Guide pratique pour effectuer des requêtes personnalisées dans Azure Monitor

2.7 : Activer les alertes d’activité anormale

Utilisez Azure Security Center avec un espace de travail Log Analytics pour superviser les activités anormales détectées dans les journaux de sécurité et les événements et générer des alertes s’y rapportant.

Vous pouvez également activer et intégrer les données dans Azure Sentinel.

• Guide pratique pour intégrer Azure Sentinel

• Guide pratique pour gérer les alertes dans Azure Security Center

• Guide pratique pour générer une alerte sur des données de journal Log Analytics

2.8 : Centraliser la journalisation anti-programme malveillant

Activez la collecte des événements anti-programme malveillant pour les machines virtuelles et services cloud Azure.

• Présentation de Microsoft Antimalware

2.9 : Activer la journalisation des requêtes DNS

Implémentez une solution tierce de journalisation DNS à partir de la Place de marché Azure en fonction des besoins de votre organisation.

2.10 : Activer l’enregistrement d’audit en ligne de commande

Utilisez Microsoft Monitoring Agent sur toutes les machines virtuelles Windows Azure prises en charge pour journaliser l’événement de création de processus et le champ de ligne de commande. En ce qui concerne les machines virtuelles Linux Azure prises en charge, vous pouvez configurer manuellement la journalisation de la console au niveau de chaque nœud et utiliser Syslog pour stocker les données. Exploitez également l’espace de travail Log Analytics d’Azure Monitor pour examiner les journaux et effectuer des requêtes sur les données journalisées à partir des machines virtuelles Azure.

• Collecte de données dans Azure Security Center

• Guide pratique pour effectuer des requêtes personnalisées dans Azure Monitor

• Sources de données Syslog dans Azure Monitor

Étapes suivantes

• Consultez le contrôle de sécurité suivant : Identité et contrôle d’accès