收集 Azure Application Gateway 記錄

剖析器版本：8.0

本文說明如何設定 Google Security Operations 動態饋給，收集 Azure Application Gateway 記錄。這個剖析器會處理單一和多筆記錄的 JSON 結構、從「記錄」陣列中擷取欄位、執行資料類型轉換、將欄位對應至 UDM，以及使用中繼資料和衍生欄位 (例如網路連線類型) 擴充資料。此外，它也會處理不同 operationName 值的特定邏輯，並擷取相關 IP 位址、子網路和其他設定詳細資料。

事前準備

請確認您已完成下列事前準備：

• Google SecOps 執行個體
• Azure 訂用帳戶的特殊存取權
• Azure 中的 Azure 應用程式閘道環境 (租戶)

設定 Azure 儲存體帳戶

1. 在 Azure 控制台中，搜尋「Storage accounts」(儲存體帳戶)。
2. 點選「建立」。
3. 指定下列輸入參數的值：
   • 「Subscription」(訂閱方案)：選取訂閱方案。
   • 資源群組：選取資源群組。
   • 區域：選取區域。
   • 效能：選取效能 (建議使用「標準」)。
   • Redundancy：選取備援 (建議選取 GRS 或 LRS)。
   • 「儲存體帳戶名稱」：輸入新儲存體帳戶的名稱。
4. 按一下「Review + create」。
5. 查看帳戶總覽，然後按一下「建立」。
6. 在「Storage Account Overview」(儲存空間帳戶總覽) 頁面中，選取「Security + networking」(安全性 + 網路) 中的「Access keys」(存取金鑰) 子選單。
7. 按一下「key1」或「key2」旁的「顯示」
8. 按一下「複製到剪貼簿」即可複製金鑰。
9. 將金鑰儲存在安全的地方，以備日後使用。
10. 在「儲存空間帳戶總覽」頁面中，選取「設定」中的「端點」子選單。
11. 按一下「複製到剪貼簿」，複製 Blob 服務端點網址。(例如 https://<storageaccountname>.blob.core.windows.net)
12. 請將端點網址儲存在安全的位置，以供日後使用。

如何設定 Azure 應用程式閘道

1. 登入 Azure 入口網站。
2. 前往所需資源群組。
3. 選取「Application gateway」(應用程式閘道) (系統會顯示「Application gateway」視窗)。
4. 在「監控」部分中，依序選取「診斷設定」>「開啟診斷」。
5. 選取「新增診斷設定」 (「診斷設定」視窗會顯示診斷記錄的設定)。
6. 在「記錄」部分執行下列操作：
   1. 勾選「ApplicationGatewayAccessLog」ApplicationGatewayAccessLog核取方塊。
   2. 選取「ApplicationGatewayFirewallLog」ApplicationGatewayFirewallLog核取方塊。
7. 如要將記錄檔儲存在儲存體帳戶，請按照下列步驟操作：
   1. 勾選「封存至儲存空間帳戶」核取方塊。
   2. 在「訂閱」清單中，選取現有訂閱方案。
   3. 在「Storage account」(儲存體帳戶) 清單中，選取現有的儲存體帳戶。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• SIEM 設定 > 摘要 > 新增摘要
• 依序點選「內容中心」「內容包」「開始使用」

如何設定 Azure 應用程式閘道動態饋給

1. 按一下「Azure Platform」套件。
2. 找到「Azure Application Gateway」記錄類型，然後點選「Add new feed」。

3. 為下列欄位指定值：

   • 來源類型：Microsoft Azure Blob 儲存體 V2。
   • Azure URI：Blob 端點網址。
     • ENDPOINT_URL/BLOB_NAME
       • 取代下列項目：
         • ENDPOINT_URL：Blob 端點網址。(https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME：Blob 的名稱。(例如 insights-logs-<logname>)
   • 來源刪除選項：根據擷取偏好設定選取刪除選項。
   • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。
   • 共用金鑰：用於存取 Azure 資源的共用金鑰 (base64 編碼的 512 位元隨機字串)。

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列的各種記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表