Share via

Gérer le transfert syslog pour Azure Stack HCI

  • Article

S’applique à : Azure Stack HCI, version 23H2

Cet article explique comment configurer les événements de sécurité à transférer à un système SIEM (Security Information and Event Management) géré par le client à l’aide du protocole syslog pour Azure Stack HCI, version 23H2 (préversion).

Utilisez le transfert syslog pour intégrer des solutions de surveillance de la sécurité et récupérer les journaux d’événements de sécurité appropriés afin de les stocker pour les conserver sur votre propre plateforme SIEM. Pour plus d’informations sur les fonctionnalités de sécurité de cette version, consultez Fonctionnalités de sécurité pour Azure Stack HCI, version 23H2 (préversion) .

Configurer le transfert syslog

Les agents de transfert Syslog sont déployés sur chaque hôte Azure Stack HCI par défaut, prêts à être configurés. Chacun des agents transfère les événements de sécurité au format syslog de l’hôte vers le serveur syslog configuré par le client.

Les agents de transfert Syslog fonctionnent indépendamment les uns des autres, mais peuvent être gérés ensemble sur n’importe quel hôte. Utilisez des applets de commande PowerShell avec des privilèges d’administration sur n’importe quel hôte pour contrôler le comportement de tous les agents de redirecteur.

Le redirecteur syslog dans Azure Stack HCI prend en charge les configurations suivantes :

  • Transfert Syslog avec TCP, authentification mutuelle (client et serveur) et chiffrement TLS 1.2 : Dans cette configuration, le serveur syslog et le client syslog vérifient l’identité de l’autre via des certificats. Les messages sont envoyés via un canal chiffré TLS 1.2. Pour plus d’informations, consultez Transfert Syslog avec TCP, authentification mutuelle (client et serveur) et chiffrement TLS 1.2.

  • Transfert Syslog avec tcp, authentification du serveur et chiffrement TLS 1.2 : Dans cette configuration, le client syslog vérifie l’identité du serveur syslog via un certificat. Les messages sont envoyés via un canal chiffré TLS 1.2. Pour plus d’informations, consultez Transfert Syslog avec TCP, authentification du serveur et chiffrement TLS 1.2.

  • Transfert Syslog avec TCP et sans chiffrement : Dans cette configuration, les identités du client syslog et du serveur syslog ne sont pas vérifiées. Les messages sont envoyés en texte clair via TCP. Pour plus d’informations, consultez Transfert Syslog avec TCP et sans chiffrement.

  • Syslog avec UDP et sans chiffrement : Dans cette configuration, les identités du client syslog et du serveur syslog ne sont pas vérifiées. Les messages sont envoyés en texte clair via UDP. Pour plus d’informations, consultez Transfert Syslog avec UDP et aucun chiffrement.

    Important

    Pour vous protéger contre les attaques de l’intercepteur et les écoutes clandestines de messages, Microsoft vous recommande vivement d’utiliser TCP avec l’authentification et le chiffrement dans les environnements de production.

Applets de commande pour configurer le transfert de Syslog

La configuration du redirecteur syslog nécessite l’accès à l’hôte physique à l’aide d’un compte d’administrateur de domaine. Un ensemble d’applets de commande PowerShell a été ajouté à tous les hôtes Azure Stack HCI pour contrôler le comportement du redirecteur syslog.

L’applet Set-AzSSyslogForwarder de commande permet de définir la configuration du redirecteur syslog pour tous les hôtes. En cas de réussite, un plan d’action instance est démarré pour configurer les agents du redirecteur syslog sur tous les hôtes. L’ID de instance du plan d’action sera retourné.

Utilisez l’applet de commande suivante pour transmettre les informations du serveur syslog au redirecteur et configurer le protocole de transport, le chiffrement, l’authentification et le certificat facultatif utilisé entre le client et le serveur :

Set-AzSSyslogForwarder [-ServerName <String>] [-ServerPort <UInt16>] [-NoEncryption] [-SkipServerCertificateCheck | -SkipServerCNCheck] [-UseUDP] [-ClientCertificateThumbprint <String>] [-OutputSeverity {Default | Verbose}] [-Remove]

Paramètres d’applet de commande

Le tableau suivant fournit des paramètres pour l’applet de Set-AzSSyslogForwarder commande :

Paramètre Description Type Obligatoire
ServerName Nom de domaine complet ou adresse IP du serveur Syslog. String Oui
ServerPort Numéro du port où le serveur Syslog est à l’écoute. UInt16 Oui
NoEncryption Forcer le client à envoyer des messages Syslog en texte clair. Indicateur No
SkipServerCertificateCheck Ignorer la validation du certificat fourni par le serveur Syslog pendant la négociation TLS initiale. Indicateur No
SkipServerCNCheck Ignorer la validation de la valeur Nom courant du certificat fourni par le serveur Syslog pendant la négociation TLS initiale. Indicateur Non
UseUDP Utiliser Syslog avec le protocole de transport UDP. Indicateur No
ClientCertificateThumbprint Empreinte numérique du certificat client utilisé pour communiquer avec le serveur syslog. String Non
OutputSeverity Niveau de journalisation des résultats. Les valeurs sont Par défaut ou Détails. « Par défaut » comprend les niveaux de gravité suivants : avertissement, critique ou erreur. « Détails » inclut tous les niveaux de gravité : détails, informations, avertissement, critique ou erreur. String Non
Supprimer Supprimez la configuration actuelle du redirecteur syslog et arrêtez le redirecteur syslog. Indicateur No

Transfert Syslog avec TCP, authentification mutuelle (client et serveur) et chiffrement TLS 1.2

Dans cette configuration, le client syslog dans Azure Stack HCI transfère les messages au serveur syslog via TCP avec chiffrement TLS 1.2. Pendant la négociation initiale, le client vérifie que le serveur fournit un certificat valide et approuvé. Le client fournit également un certificat au serveur comme preuve de son identité.

Cette configuration est la plus sécurisée, car elle fournit une validation complète de l’identité du client et du serveur, et elle envoie des messages sur un canal chiffré.

Important

Microsoft vous recommande d’utiliser cette configuration pour les environnements de production.

Pour configurer le redirecteur syslog avec tcp, l’authentification mutuelle et le chiffrement TLS 1.2, configurez le serveur et fournissez un certificat au client pour qu’il s’authentifie auprès du serveur.

Exécutez l’applet de commande suivante sur un hôte physique :

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -ClientCertificateThumbprint <Thumbprint of the client certificate>

Important

Le certificat client doit contenir une clé privée. Si le certificat client est signé à l’aide d’un certificat racine auto-signé, vous devez également importer le certificat racine.

Transfert Syslog avec TCP, authentification du serveur et chiffrement TLS 1.2

Dans cette configuration, le redirecteur syslog dans Azure Stack HCI transfère les messages au serveur syslog via TCP avec chiffrement TLS 1.2. Pendant la négociation initiale, le client vérifie également que le serveur fournit un certificat valide et approuvé.

Cette configuration empêche le client d’envoyer des messages vers des destinations non approuvées. TCP avec authentification et chiffrement est la configuration par défaut et représente le niveau minimal de sécurité que Microsoft recommande pour un environnement de production.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>

Si vous souhaitez tester l’intégration de votre serveur syslog avec le redirecteur syslog Azure Stack HCI à l’aide d’un certificat auto-signé ou non approuvé, utilisez ces indicateurs pour ignorer la validation du serveur effectuée par le client pendant la négociation initiale.

  1. Ignorez la validation de la valeur Common Name dans le certificat de serveur. Utilisez cet indicateur si vous fournissez une adresse IP pour votre serveur syslog.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> 
-SkipServerCNCheck

  2. Ignorez la validation du certificat de serveur.

    Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening>  
-SkipServerCertificateCheck

    Important

    Microsoft recommande de ne pas utiliser l’indicateur dans les -SkipServerCertificateCheck environnements de production.

Transfert Syslog avec TCP et sans chiffrement

Dans cette configuration, le client syslog dans Azure Stack HCI transfère les messages au serveur syslog via TCP sans chiffrement. Le client ne vérifie pas l’identité du serveur et ne fournit pas sa propre identité au serveur pour vérification.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening on> -NoEncryption

Important

Microsoft recommande de ne pas utiliser cette configuration dans les environnements de production.

Transfert Syslog avec UDP et aucun chiffrement

Dans cette configuration, le client syslog dans Azure Stack HCI transfère les messages au serveur syslog via UDP, sans chiffrement. Le client ne vérifie pas l’identité du serveur et ne fournit pas sa propre identité au serveur pour vérification.

Set-AzSSyslogForwarder -ServerName <FQDN or IP address of syslog server> -ServerPort <Port number on which the syslog server is listening> -UseUDP

Bien qu’UDP sans chiffrement soit le plus facile à configurer, il ne fournit aucune protection contre les attaques d’homme-dans-le-milieu ou les écoutes de messages.

Important

Microsoft recommande de ne pas utiliser cette configuration dans les environnements de production.

Activer le transfert syslog

Exécutez l’applet de commande suivante pour activer le transfert syslog :

Enable-AzSSyslogForwarder [-Force]

Le redirecteur Syslog sera activé avec la configuration stockée fournie par le dernier appel réussi Set-AzSSyslogForwarder . L’applet de commande échoue si aucune configuration n’a été fournie à l’aide de Set-AzSSyslogForwarder.

Désactiver le transfert syslog

Exécutez l’applet de commande suivante pour désactiver le transfert syslog :

Disable-AzSSyslogForwarder [-Force]

Paramètre pour Enable-AzSSyslogForwarder les applets de commande et Disable-AzSSyslogForwarder :

Paramètre Description Type Obligatoire
Force S’il est spécifié, un plan d’action est toujours déclenché même si l’état cible est le même que actuel. Cela peut être utile pour réinitialiser les modifications hors bande. Indicateur No

Vérifier la configuration de syslog

Une fois que vous avez correctement connecté le client syslog à votre serveur syslog, vous commencez à recevoir des notifications d’événements. Si vous ne voyez pas de notifications, vérifiez la configuration de votre redirecteur syslog de cluster en exécutant l’applet de commande suivante :

Get-AzSSyslogForwarder [-Local | -PerNode | -Cluster]

Chaque hôte a son propre agent de redirecteur syslog qui utilise une copie locale de la configuration du cluster. Ils sont toujours censés être identiques à la configuration du cluster. Vous pouvez vérifier la configuration actuelle sur chaque hôte à l’aide de l’applet de commande suivante :

Get-AzSSyslogForwarder -PerNode

Vous pouvez également utiliser l’applet de commande suivante pour vérifier la configuration sur l’hôte auquel vous êtes connecté :

Get-AzSSyslogForwarder -Local

Paramètres de l’applet de commande pour l’applet de Get-AzSSyslogForwarder commande :

Paramètre Description Type Obligatoire
Local Afficher la configuration actuellement utilisée sur l’hôte actuel. Indicateur No
PerNode Afficher la configuration actuellement utilisée sur chaque hôte. Indicateur No
Cluster Afficher la configuration globale actuelle sur Azure Stack HCI. Il s’agit du comportement par défaut si aucun paramètre n’est fourni. Indicateur No

Supprimer le transfert syslog

Exécutez la commande suivante pour supprimer la configuration du redirecteur syslog et arrêter le redirecteur syslog :

Set-AzSSyslogForwarder -Remove

Informations de référence sur le schéma de message et le journal des événements

Le document de référence suivant documente le schéma de message syslog et les définitions d’événements.

Le redirecteur syslog de l’infrastructure Azure Stack HCI envoie des messages au format suivant le protocole syslog BSD défini dans RFC3164. Cef est également utilisé pour mettre en forme la charge utile du message syslog.

Chaque message syslog est structuré en fonction de ce schéma : Priorité (PRI) | Heure | Hôte | Charge utile CEF |

La partie PRI contient deux valeurs : facilité et gravité. Les deux dépendent du type de message, comme l’événement Windows, etc.

Étapes suivantes

Pour en savoir plus :