Azure Stack HCI の Syslog 転送を管理する

適用対象: Azure Stack HCI バージョン 23H2

この記事では、Azure Stack HCI バージョン 23H2 (プレビュー) の syslog プロトコルを使用して、カスタマー マネージドセキュリティ情報イベント管理 (SIEM) システムに転送されるセキュリティ イベントを構成する方法について説明します。

syslog 転送を使用して、セキュリティ監視ソリューションと統合し、関連するセキュリティ イベント ログを取得して、独自の SIEM プラットフォームに保持するために保存します。 このリリースのセキュリティ機能の詳細については、「 Azure Stack HCI バージョン 23H2 (プレビュー)のセキュリティ機能」を参照してください。

syslog 転送を構成する

Syslog 転送エージェントは、既定ですべての Azure Stack HCI ホストにデプロイされ、構成の準備が整います。 各エージェントは、syslog 形式のセキュリティ イベントをホストから顧客が構成した syslog サーバーに転送します。

Syslog 転送エージェントは互いに独立して動作しますが、ホストのいずれかでまとめて管理できます。 すべてのフォワーダー エージェントの動作を制御するには、任意のホストに対する管理特権を持つ PowerShell コマンドレットを使用します。

Azure Stack HCI の syslog フォワーダーでは、次の構成がサポートされています。

• TCP、相互認証 (クライアントとサーバー)、TLS 1.2 暗号化を使用した Syslog 転送: この構成では、syslog サーバーと syslog クライアントの両方が、証明書を介して相互の ID を検証します。 メッセージは TLS 1.2 で暗号化されたチャネル経由で送信されます。 詳細については、「TCP による Syslog 転送」、「相互認証 (クライアントとサーバー)」、および「TLS 1.2 暗号化」を参照してください。

• TCP、サーバー認証、TLS 1.2 暗号化を使用した Syslog 転送: この構成では、syslog クライアントは証明書を介して syslog サーバーの ID を検証します。 メッセージは TLS 1.2 で暗号化されたチャネル経由で送信されます。 詳細については、「 TCP、サーバー認証、TLS 1.2 暗号化による Syslog 転送」を参照してください。

• TCP を使用した Syslog 転送と暗号化なし: この構成では、syslog クライアントと syslog サーバーの ID は検証されません。 メッセージは TCP 経由でクリア テキストで送信されます。 詳細については、「TCP を使用 した Syslog 転送と暗号化なし」を参照してください。

• UDP を使用し、暗号化を使用しない Syslog: この構成では、syslog クライアントと syslog サーバーの ID は検証されません。 メッセージは UDP 経由でクリア テキストで送信されます。 詳細については、「 UDP を使用した Syslog 転送と暗号化なし」を参照してください。

  重要

  中間者攻撃やメッセージの盗聴から保護するために、運用環境では認証と暗号化で TCP を使用することを強くお勧めします。

Syslog 転送を構成するためのコマンドレット

syslog フォワーダーを構成するには、ドメイン管理者アカウントを使用して物理ホストにアクセスする必要があります。 Syslog フォワーダーの動作を制御するために、すべての Azure Stack HCI ホストに一連の PowerShell コマンドレットが追加されました。

コマンドレットは Set-AzSSyslogForwarder 、すべてのホストの syslog フォワーダー構成を設定するために使用されます。 成功した場合は、すべてのホストで syslog フォワーダー エージェントを構成するためのアクション プラン インスタンスが開始されます。 アクション プラン インスタンス ID が返されます。

syslog サーバー情報をフォワーダーに渡し、クライアントとサーバーの間で使用されるトランスポート プロトコル、暗号化、認証、およびオプションの証明書を構成するには、次のコマンドレットを使用します。

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove] 

コマンドレットのパラメーター

次の表に、 コマンドレットのパラメーターを Set-AzSSyslogForwarder 示します。

TCP、相互認証 (クライアントとサーバー)、TLS 1.2 暗号化を使用した Syslog 転送

この構成では、Azure Stack HCI の syslog クライアントは、TLS 1.2 暗号化を使用して TCP 経由で syslog サーバーにメッセージを転送します。 初期ハンドシェイク時には、有効で信頼された証明書がサーバーから提供されていることが、クライアントによって確認されます。 また、クライアントでは、ID の証明としてサーバーに証明書も提供されます。

この構成は、クライアントとサーバーの両方の ID を完全に検証し、暗号化されたチャネル経由でメッセージを送信するため、最も安全です。

TCP、相互認証、TLS 1.2 暗号化を使用して Syslog フォワーダーを構成するには、サーバーを構成し、サーバーに対して認証するための証明書をクライアントに提供します。

物理ホストに対して次のコマンドレットを実行します。

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

TCP、サーバー認証、TLS 1.2 暗号化を使用した Syslog 転送

この構成では、Azure Stack HCI の syslog フォワーダーは、TLS 1.2 暗号化を使用して TCP 経由で Syslog サーバーにメッセージを転送します。 初期ハンドシェイク時には、有効で信頼された証明書がサーバーから提供されていることも、クライアントによって確認されます。

この構成により、信頼されていない宛先にクライアントからメッセージを送信することができなくなります。 認証と暗号化を使用する TCP は既定の構成であり、Microsoft が運用環境にお勧めする最小限のセキュリティのレベルです。

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

自己署名証明書または信頼されていない証明書を使用して Syslog サーバーと Azure Stack HCI syslog フォワーダーの統合をテストする場合は、これらのフラグを使用して、最初のハンドシェイク中にクライアントによって実行されるサーバー検証をスキップします。

1. サーバー証明書の共通名の値の検証をスキップします。 syslog サーバーの IP アドレスを指定する場合は、このフラグを使用します。

   Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
   -SkipServerCNCheck
   

2. サーバー証明書の検証をスキップします。

   Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
   -SkipServerCertificateCheck
   

   重要

   運用環境では、 フラグを -SkipServerCertificateCheck 使用しないことをお勧めします。

TCP を使用した Syslog 転送と暗号化なし

この構成では、Azure Stack HCI の syslog クライアントは、暗号化なしで TCP 経由で Syslog サーバーにメッセージを転送します。 クライアントはサーバーの ID を検証せず、検証のために独自の ID をサーバーに提供することもありません。

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

UDP による Syslog 転送と暗号化なし

この構成では、Azure Stack HCI の syslog クライアントは、暗号化なしで UDP 経由で Syslog サーバーにメッセージを転送します。 クライアントはサーバーの ID を検証せず、検証のために独自の ID をサーバーに提供することもありません。

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

暗号化のない UDP は構成するのが最も簡単ですが、中間者攻撃やメッセージの盗聴に対する保護は提供されません。

Syslog 転送を有効にする

Syslog 転送を有効にするには、次のコマンドレットを実行します。

Enable-AzSSyslogForwarder [-Force]

Syslog フォワーダーは、最後に成功 Set-AzSSyslogForwarder した呼び出しによって提供された格納された構成で有効になります。 を使用して Set-AzSSyslogForwarder構成が指定されていない場合、コマンドレットは失敗します。

Syslog 転送を無効にする

Syslog 転送を無効にするには、次のコマンドレットを実行します。

Disable-AzSSyslogForwarder [-Force] 

および コマンドレットのEnable-AzSSyslogForwarderDisable-AzSSyslogForwarderパラメーター:

Syslog のセットアップを確認する

syslog クライアントを syslog サーバーに正常に接続すると、イベント通知の受信が開始されます。 通知が表示されない場合は、次のコマンドレットを実行して、クラスター syslog フォワーダーの構成を確認します。

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster] 

各ホストには、クラスター構成のローカル コピーを使用する独自の syslog フォワーダー エージェントがあります。 これらは常にクラスター構成と同じである必要があります。 次のコマンドレットを使用して、各ホストの現在の構成を確認できます。

Get-AzSSyslogForwarder -PerNode 

次のコマンドレットを使用して、接続先のホストの構成を確認することもできます。

Get-AzSSyslogForwarder -Local

コマンドレットの Get-AzSSyslogForwarder コマンドレット パラメーター:

syslog 転送を削除する

次のコマンドを実行して syslog フォワーダー構成を削除し、syslog フォワーダーを停止します。

Set-AzSSyslogForwarder -Remove 

メッセージ スキーマとイベント ログリファレンス

次のリファレンス 資料では、syslog メッセージ のスキーマとイベント定義について説明します。

次のステップ

各項目の詳細情報

• Azure Stack HCI のセキュリティ ベースライン設定。
• Azure Stack HCI のアプリケーション制御をWindows Defenderします。
• BitLocker for Azure Stack HCI。