Raccogliere i log di Azure API Management

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come esportare i log di Azure API Management in Google Security Operations utilizzando un account di archiviazione Azure.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Un tenant Azure attivo
• Accesso con privilegi ad Azure

Configura l'account di archiviazione di Azure

1. Nella console Azure, cerca Storage accounts.
2. Fai clic su + Crea.
3. Specifica i valori per i seguenti parametri di input:
   • Abbonamento: seleziona l'abbonamento.
   • Gruppo di risorse: seleziona il gruppo di risorse.
   • Regione: seleziona la regione.
   • Rendimento: seleziona il rendimento (consigliato Standard).
   • Ridondanza: seleziona la ridondanza (consigliata GRS o LRS).
   • Nome account di archiviazione: inserisci un nome per il nuovo account di archiviazione.
4. Fai clic su Review + create (Rivedi e crea).
5. Controlla la panoramica dell'account e fai clic su Crea.
6. Nella pagina Panoramica account di archiviazione, seleziona il sottomenu Chiavi di accesso in Sicurezza e networking.
7. Fai clic su Mostra accanto a key1 o key2.
8. Fai clic su Copia negli appunti per copiare la chiave.
9. Salva la chiave in un luogo sicuro per utilizzarla in un secondo momento.
10. Nella pagina Panoramica account di archiviazione, seleziona il sottomenu Endpoint in Impostazioni.
11. Fai clic su Copia negli appunti per copiare l'URL dell'endpoint Blob service, ad esempio https://<storageaccountname>.blob.core.windows.net.
12. Salva l'URL dell'endpoint in una posizione sicura per utilizzarlo in un secondo momento.

Come configurare l'esportazione dei log per i log di Azure API Management

1. Accedi al portale di Azure utilizzando il tuo account con privilegi.
2. Nel portale Azure, trova e seleziona l'istanza del servizio API Management.
3. Seleziona Monitoraggio > Impostazioni di diagnostica.
4. Fai clic su + Aggiungi impostazione di diagnostica.
   • Inserisci un nome descrittivo per l'impostazione di diagnostica.
5. Seleziona i log relativi a ApiManagement Gateway.
6. Seleziona la casella di controllo Archivia in un account di archiviazione come destinazione.
   • Specifica l'Abbonamento e l'Account di archiviazione.
7. Fai clic su Salva.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed > Aggiungi nuovo feed
• Hub dei contenuti > Pacchetti di contenuti > Inizia

Come configurare il feed Azure API Management

1. Fai clic sul pacchetto Azure Platform.
2. Individua il tipo di log Azure API Management e fai clic su Aggiungi nuovo feed.

3. Specifica i valori per i seguenti campi:

   • Tipo di origine: Microsoft Azure Blob Storage V2.
   • URI Azure: l'URL dell'endpoint blob.
     • ENDPOINT_URL/BLOB_NAME
       • Sostituisci quanto segue:
         • ENDPOINT_URL: l'URL dell'endpoint blob (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: il nome del blob (ad esempio, insights-logs-<logname>)

   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

     Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate al service account.

   • Età massima del file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.

   • Chiave condivisa: la chiave di accesso ad Azure Blob Storage.

   Opzioni avanzate

   • Nome feed: un valore precompilato che identifica il feed.
   • Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
   • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

4. Fai clic su Crea feed.

Nota: l'hub dei contenuti non è disponibile sulla piattaforma SIEM autonoma. Per eseguire l'upgrade, contatta il tuo rappresentante Google SecOps.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.