Compartilhar via

Gerenciar o encaminhamento de syslog para o Azure Local

  • Artigo

Aplica-se a: Azure Local, versão 23H2

Este artigo descreve como configurar eventos de segurança a serem encaminhados para um sistema SIEM (gerenciamento de eventos e informações de segurança) gerenciado pelo cliente usando o protocolo syslog para Azure Local, versão 23H2.

Use o encaminhamento de syslog para integração com soluções de monitoramento de segurança e para recuperar logs de eventos de segurança relevantes para armazená-los para retenção em sua própria plataforma SIEM. Para obter mais informações sobre os recursos de segurança nesta versão, consulte Recursos de segurança para o Azure Local, versão 23H2.

Configurar o encaminhamento de syslog

Os agentes de encaminhamento de syslog são implantados em cada host local do Azure por padrão, prontos para serem configurados. Cada um dos agentes encaminhará eventos de segurança no formato syslog do host para o servidor syslog configurado pelo cliente.

Os agentes de encaminhamento de syslog funcionam independentemente uns dos outros, mas podem ser gerenciados todos juntos em qualquer um dos hosts. Use cmdlets do PowerShell com privilégios administrativos em qualquer host para controlar o comportamento de todos os agentes de encaminhamento.

O encaminhador de syslog no Azure Local dá suporte às seguintes configurações:

  • Encaminhamento de syslog com TCP, autenticação mútua (cliente e servidor) e criptografia TLS: nessa configuração, o servidor syslog e o cliente syslog verificam a identidade um do outro por meio de certificados. As mensagens são enviadas por um canal criptografado TLS. Para obter mais informações, consulte Encaminhamento de syslog com TCP, autenticação mútua (cliente e servidor) e criptografia TLS.

  • Encaminhamento de syslog com TCP, autenticação de servidor e criptografia TLS: nessa configuração, o cliente syslog verifica a identidade do servidor syslog por meio de um certificado. As mensagens são enviadas por um canal criptografado TLS. Para obter mais informações, consulte Encaminhamento de syslog com TCP, autenticação de servidor e criptografia TLS.

  • Encaminhamento de syslog com TCP e sem criptografia: nessa configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto não criptografado por TCP. Para obter mais informações, consulte Encaminhamento de syslog com TCP e sem criptografia.

  • Syslog com UDP e sem criptografia: nessa configuração, as identidades do cliente syslog e do servidor syslog não são verificadas. As mensagens são enviadas em texto não criptografado por UDP. Para obter mais informações, consulte Encaminhamento de syslog com UDP e sem criptografia.

    Importante

    Para se proteger contra ataques man-in-the-middle e espionagem de mensagens, a Microsoft recomenda que você use TCP com autenticação e criptografia em ambientes de produção. A versão da criptografia TLS depende do handshake entre os endpoints. Ambos, TLS 1.2 e TLS 1.3, são suportados por padrão.

Cmdlets para configurar o encaminhamento de syslog

A configuração do encaminhador de syslog requer acesso ao host físico usando uma conta de administrador de domínio. Um conjunto de cmdlets do PowerShell foi adicionado a todos os hosts locais do Azure para controlar o comportamento do encaminhador de syslog.

O Set-AzSSyslogForwarder cmdlet é usado para definir a configuração do encaminhador de syslog para todos os hosts. Se for bem-sucedida, uma instância do plano de ação será iniciada para configurar os agentes do encaminhador syslog em todos os hosts. A ID da instância do plano de ação será retornada.

Use o seguinte cmdlet para passar as informações do servidor syslog para o encaminhador e configurar o protocolo de transporte, a criptografia, a autenticação e o certificado opcional usado entre o cliente e o servidor:

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Parâmetros de cmdlets

A tabela a seguir fornece parâmetros para o Set-AzSSyslogForwarder cmdlet:

Parâmetro Descrição Type Obrigatório
ServerName FQDN ou endereço IP do servidor syslog. String Sim
ServerPort Número da porta em que o servidor syslog está escutando. UInt16 Sim
NoEncryption Force o cliente a enviar mensagens syslog em texto não criptografado. Sinalizador Não
SkipServerCertificateCheck Ignore a validação do certificado fornecido pelo servidor de syslog durante o handshake TLS inicial. Sinalizador Não
SkipServerCNCheck Ignore a validação do valor Nome Comum do certificado fornecido pelo servidor de syslog durante o handshake TLS inicial. Sinalizador No
UseUDP Use o syslog com UDP como protocolo de transporte. Sinalizador Não
ClientCertificateThumbprint Impressão digital do certificado do cliente usado para se comunicar com o servidor syslog. String Não
OutputSeverity Nível de registro de log de saída. Os valores são Padrão ou Detalhado. O padrão inclui níveis de severidade: aviso, crítico ou erro. Detalhado inclui todos os níveis de severidade: detalhado, informacional, aviso, crítico ou erro. String Não
Remover Remova a configuração atual do encaminhador de syslog e pare o encaminhador de syslog. Sinalizador Não

Encaminhamento de syslog com TCP, autenticação mútua (cliente e servidor) e criptografia TLS

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog por TCP com criptografia TLS. Durante o handshake inicial, o cliente verifica se o servidor fornece um certificado válido e confiável. O cliente também fornece um certificado para o servidor como prova de sua identidade.

Essa configuração é a mais segura, pois fornece validação completa da identidade do cliente e do servidor e envia mensagens por um canal criptografado.

Importante

A Microsoft recomenda que você use essa configuração para ambientes de produção.

Para configurar o encaminhador de syslog com TCP, autenticação mútua e criptografia TLS, configure o servidor e forneça certificado ao cliente para autenticação no servidor.

Execute o seguinte cmdlet em um host físico:

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Importante

O certificado do cliente deve conter uma chave privada. Se o certificado do cliente for assinado usando um certificado raiz autoassinado, você também deverá importar o certificado raiz.

Encaminhamento de Syslog com TCP, autenticação de servidor e criptografia TLS

Nessa configuração, o encaminhador de syslog no Azure Local encaminha as mensagens para o servidor syslog por TCP com criptografia TLS. Durante o handshake inicial, o cliente também verifica se o servidor fornece um certificado válido e confiável.

Essa configuração impede que o cliente envie mensagens para destinos não confiáveis. O TCP usando autenticação e criptografia é a configuração padrão e representa o nível mínimo de segurança que a Microsoft recomenda para um ambiente de produção.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Se você quiser testar a integração do servidor syslog com o encaminhador de syslog local do Azure usando um certificado autoassinado ou não confiável, use esses sinalizadores para ignorar a validação do servidor feita pelo cliente durante o handshake inicial.

  1. Ignore a validação do valor Nome Comum no certificado do servidor. Use esse sinalizador se você fornecer um endereço IP para o servidor syslog.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Ignore a validação do certificado do servidor.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Importante

    A Microsoft recomenda que você não use o -SkipServerCertificateCheck sinalizador em ambientes de produção.

Encaminhamento de syslog com TCP e sem criptografia

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog por TCP sem criptografia. O cliente não verifica a identidade do servidor, nem fornece sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Importante

A Microsoft recomenda que você não use essa configuração em ambientes de produção.

Encaminhamento de syslog com UDP e sem criptografia

Nessa configuração, o cliente syslog no Azure Local encaminha mensagens para o servidor syslog por UDP, sem criptografia. O cliente não verifica a identidade do servidor, nem fornece sua própria identidade ao servidor para verificação.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Embora o UDP sem criptografia seja o mais fácil de configurar, ele não fornece nenhuma proteção contra ataques man-in-the-middle ou espionagem de mensagens.

Importante

A Microsoft recomenda que você não use essa configuração em ambientes de produção.

Habilitar o encaminhamento de syslog

Execute o seguinte cmdlet para habilitar o encaminhamento de syslog:

Enable-AzSSyslogForwarder [-Force]

O encaminhador de syslog será habilitado com a configuração armazenada fornecida pela última chamada bem-sucedida Set-AzSSyslogForwarder . O cmdlet falhará se nenhuma configuração tiver sido fornecida usando Set-AzSSyslogForwardero .

Desativar o encaminhamento de syslog

Execute o seguinte cmdlet para desabilitar o encaminhamento de syslog:

Disable-AzSSyslogForwarder [-Force]

Parâmetro para Enable-AzSSyslogForwarder e Disable-AzSSyslogForwarder cmdlets:

Parâmetro Descrição Type Obrigatório
Force Se especificado, um plano de ação sempre será disparado, mesmo que o estado de destino seja o mesmo que o atual. Isso pode ser útil para redefinir as alterações fora de banda. Sinalizador Não

Verificar a configuração do syslog

Depois de conectar com êxito o cliente syslog ao servidor syslog, você começará a receber notificações de eventos. Se você não vir notificações, verifique a configuração do encaminhador de syslog do cluster executando o seguinte cmdlet:

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Cada host tem seu próprio agente de encaminhamento de syslog que usa uma cópia local da configuração do cluster. Espera-se sempre que eles sejam iguais à configuração do cluster. Você pode verificar a configuração atual em cada host usando o seguinte cmdlet:

Get-AzSSyslogForwarder -PerNode

Você também pode usar o seguinte cmdlet para verificar a configuração no host ao qual está conectado:

Get-AzSSyslogForwarder -Local

Parâmetros de cmdlet para o Get-AzSSyslogForwarder cmdlet:

Parâmetro Descrição Type Obrigatório
Local Mostrar a configuração usada atualmente no host atual. Sinalizador Não
PerNode Mostra a configuração usada atualmente em cada host. Sinalizador Não
Cluster Mostrar a configuração global atual no Azure Local. Esse é o comportamento padrão se nenhum parâmetro for fornecido. Sinalizador Não

Remover o encaminhamento de syslog

Execute o seguinte comando para remover a configuração do encaminhador syslog e parar o encaminhador syslog:

Set-AzSSyslogForwarder -Remove

Referência de esquema de mensagem e log de eventos

O material de referência a seguir documenta o esquema de mensagens syslog e as definições de eventos.

O encaminhador de syslog da infraestrutura local do Azure envia mensagens formatadas seguindo o protocolo de syslog BSD definido no RFC3164. O CEF também é usado para formatar a carga útil da mensagem syslog.

Cada mensagem de syslog é estruturada com base neste esquema: Prioridade (PRI) | Horário | Anfitrião | Carga útil do CEF |

A parte PRI contém dois valores: facilidade e gravidade. Ambos dependem do tipo de mensagem, como Evento do Windows, etc.

Próximas etapas

Saiba mais sobre: