Azure Storage 감사 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google Security Operations 기술 지원 서비스 가이드라인 및 Google Security Operations 서비스 특정 약관을 참조하세요.

이 문서에서는 Azure 스토리지 계정을 사용하여 Azure 스토리지 감사 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 JSON 형식의 로그를 처리하여 통합 데이터 모델 (UDM)로 변환합니다. 원시 로그에서 필드를 추출하고, 데이터 유형 변환을 실행하고, 추가 컨텍스트 (예: 사용자 에이전트 파싱, IP 주소 분류)로 데이터를 보강하고, 추출된 필드를 해당 UDM 필드에 매핑합니다.

시작하기 전에

• Google SecOps 인스턴스가 있는지 확인합니다.
• 활성 Azure 테넌트가 있는지 확인합니다.
• Azure에 대한 권한이 있는지 확인합니다.

Azure 스토리지 계정 구성

1. Azure Console에서 스토리지 계정을 검색합니다.
2. 만들기를 클릭합니다.
3. 다음 입력 매개변수의 값을 지정합니다.
   • 구독: 구독을 선택합니다.
   • 리소스 그룹: 리소스 그룹을 선택합니다.
   • 리전: 리전을 선택합니다.
   • 실적: 실적을 선택합니다 (표준 권장).
   • 중복성: 중복성을 선택합니다 (GRS 또는 LRS 권장).
   • 스토리지 계정 이름: 새 스토리지 계정의 이름을 입력합니다.
4. 검토 + 만들기를 클릭합니다.
5. 계정 개요를 검토하고 만들기를 클릭합니다.
6. 스토리지 계정 개요 페이지의 보안 + 네트워킹에서 액세스 키 하위 메뉴를 선택합니다.
7. key1 또는 key2 옆에 있는 표시를 클릭합니다.
8. 클립보드에 복사를 클릭하여 키를 복사합니다.
9. 나중에 사용할 수 있도록 키를 안전한 위치에 저장합니다.
10. 스토리지 계정 개요 페이지의 설정에서 엔드포인트 하위 메뉴를 선택합니다.
11. 클립보드에 복사를 클릭하여 Blob 서비스 엔드포인트 URL(예: https://<storageaccountname>.blob.core.windows.net)을 복사합니다.
12. 나중에 사용할 수 있도록 엔드포인트 URL을 안전한 위치에 저장합니다.

Azure Storage 감사 로그의 로그 내보내기 구성

1. 권한이 있는 계정을 사용하여 Azure 포털에 로그인합니다.
2. Storage 계정 > 진단 설정으로 이동합니다.
3. + 진단 설정 추가를 클릭합니다.
4. blob, queue, table, file의 진단 설정을 선택합니다.
   • 각 진단 설정의 카테고리 그룹에서 allLogs 옵션을 선택합니다.
   • 각 진단 설정의 설명을 입력합니다.
5. 대상으로 스토리지 계정에 아카이브 체크박스를 선택합니다.
   • 구독 및 스토리지 계정을 지정합니다.
6. 저장을 클릭합니다.

Azure 스토리지 감사 로그를 수집하도록 Google SecOps에서 피드 구성

1. SIEM 설정 > 피드로 이동합니다.
2. 새로 추가를 클릭합니다.
3. 피드 이름 필드에 피드 이름을 입력합니다(예: Azure Storage 감사 로그).
4. 소스 유형으로 Microsoft Azure Blob Storage를 선택합니다.
5. 로그 유형으로 Azure Storage 감사를 선택합니다.
6. 다음을 클릭합니다.

7. 다음 입력 매개변수의 값을 지정합니다.

   • Azure URI: blob 엔드포인트 URL입니다.
     • ENDPOINT_URL/BLOB_NAME
       • 다음을 바꿉니다.
         • ENDPOINT_URL: blob 엔드포인트 URL (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: blob의 이름입니다 (예: <logname>-logs).
   • URI: 로그 스트림 구성 (단일 파일 | 디렉터리 | 하위 디렉터리가 포함된 디렉터리)에 따라 URI 유형을 선택합니다.

   • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.

     참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.

   • 공유 키: Azure Blob Storage의 액세스 키입니다.

   • 애셋 네임스페이스: 애셋 네임스페이스입니다.

   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

8. 다음을 클릭합니다.

9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드	UDM 매핑	논리
callerIpAddress	principal.asset.ip	IP 주소는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.asset.ip에 할당됩니다.
callerIpAddress	principal.ip	IP 주소는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.ip에 할당됩니다.
callerIpAddress	principal.port	포트 번호는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.port에 할당됩니다.
category	security_result.category_details	category 필드의 값이 security_result.category_details에 할당됩니다.
correlationId	security_result.detection_fields[0].key	리터럴 문자열 correlationId이 키 필드에 할당됩니다.
correlationId	security_result.detection_fields[0].value	correlationId 필드의 값이 security_result.detection_fields[0].value에 할당됩니다. time 필드의 값은 타임스탬프로 파싱되어 event.idm.read_only_udm.metadata.event_timestamp에 할당됩니다. category이 StorageWrite이고 principal.user.userid가 있는 경우 (properties.accountName에서 파생됨) 값은 USER_RESOURCE_UPDATE_CONTENT로 설정됩니다. category이 StorageDelete이고 principal.user.userid가 있으면 값이 USER_RESOURCE_DELETION로 설정됩니다. 그 외에는 값이 USER_RESOURCE_ACCESS로 설정됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.log_type에 할당됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.product_name에 할당됩니다. schemaVersion 필드의 값이 event.idm.read_only_udm.metadata.product_version에 할당됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.vendor_name에 할당됩니다.
location	target.location.name	location 필드의 값이 target.location.name에 할당됩니다.
operationName	additional.fields[x].key	리터럴 문자열 operationName이 키 필드에 할당됩니다.
operationName	additional.fields[x].value.string_value	operationName 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
operationVersion	additional.fields[x].key	리터럴 문자열 operationVersion이 키 필드에 할당됩니다.
operationVersion	additional.fields[x].value.string_value	operationVersion 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.accountName	principal.user.userid	properties.accountName 필드의 값이 principal.user.userid에 할당됩니다.
properties.clientRequestId	additional.fields[x].key	리터럴 문자열 clientRequestId이 키 필드에 할당됩니다.
properties.clientRequestId	additional.fields[x].value.string_value	properties.clientRequestId 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.etag	additional.fields[x].key	리터럴 문자열 etag이 키 필드에 할당됩니다.
properties.etag	additional.fields[x].value.string_value	properties.etag 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.objectKey	additional.fields[x].key	리터럴 문자열 objectKey이 키 필드에 할당됩니다.
properties.objectKey	additional.fields[x].value.string_value	properties.objectKey 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.requestMd5	additional.fields[x].key	리터럴 문자열 requestMd5이 키 필드에 할당됩니다.
properties.requestMd5	additional.fields[x].value.string_value	properties.requestMd5 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.responseMd5	additional.fields[x].key	리터럴 문자열 responseMd5이 키 필드에 할당됩니다.
properties.responseMd5	additional.fields[x].value.string_value	properties.responseMd5 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.serviceType	additional.fields[x].key	리터럴 문자열 serviceType이 키 필드에 할당됩니다.
properties.serviceType	additional.fields[x].value.string_value	properties.serviceType 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.tlsVersion	network.tls.version	properties.tlsVersion 필드의 값이 network.tls.version에 할당됩니다.
properties.userAgentHeader	network.http.parsed_user_agent	properties.userAgentHeader 필드의 값은 사용자 에이전트 문자열로 파싱되고 network.http.parsed_user_agent에 할당됩니다.
properties.userAgentHeader	network.http.user_agent	properties.userAgentHeader 필드의 값이 network.http.user_agent에 할당됩니다.
protocol	network.application_protocol	protocol 필드의 값이 network.application_protocol에 할당됩니다.
resourceId	target.resource.id	resourceId 필드의 값이 target.resource.id에 할당됩니다.
resourceId	target.resource.product_object_id	resourceId 필드의 값이 target.resource.product_object_id에 할당됩니다. 리터럴 문자열 DATABASE이 target.resource.resource_type에 할당됩니다.
resourceType	additional.fields[x].key	리터럴 문자열 resourceType이 키 필드에 할당됩니다.
resourceType	additional.fields[x].value.string_value	resourceType 필드의 값이 additional.fields[x].value.string_value에 할당됩니다. statusText이 Success이면 값은 ALLOW로 설정됩니다.
statusCode	network.http.response_code	statusCode 필드의 값이 정수로 변환되고 network.http.response_code에 할당됩니다. 리터럴 문자열 MICROSOFT_AZURE이 target.cloud.environment에 할당됩니다.
time	timestamp	time 필드의 값은 타임스탬프로 파싱되어 timestamp에 할당됩니다.
uri	network.http.referral_url	uri 필드의 값이 network.http.referral_url에 할당됩니다.

변경사항

2024-12-12

• identity.tokenHash, identity.type, identity.requester.appId, identity.requester.tenantId, identity.requester.tokenIssuer, properties.sourceAccessTier, principal.type, auth.action, auth.roleAssignmentId, auth.roleDefinitionId를 additional.fields에 매핑했습니다.
• identity.requester.upn를 src.user.userid에 매핑했습니다.
• identity.requester.objectId를 src.user.product_object_id에 매핑했습니다.

2024-12-06

• smbCommandMinor를 security_result.action_details에 매핑했습니다.

2024-07-31

• statusText 및 correlationId를 null로 초기화했습니다.

2024-04-08

• 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.