Azure Storage 감사 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.

이 문서에서는 Azure 스토리지 계정을 사용하여 Azure 스토리지 감사 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 JSON 형식의 로그를 처리하여 통합 데이터 모델 (UDM)로 변환합니다. 원시 로그에서 필드를 추출하고, 데이터 유형 변환을 실행하고, 사용자 에이전트 파싱 및 IP 주소 분석과 같은 추가 컨텍스트로 데이터를 보강하고, 추출된 필드를 해당 UDM 필드에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• 활성 Azure 테넌트
• Azure에 대한 액세스 권한 관리

Azure 스토리지 계정 구성

1. Azure 콘솔에서 스토리지 계정을 검색합니다.
2. 만들기를 클릭합니다.
3. 다음 입력 파라미터의 값을 지정합니다.
   • 구독: 구독을 선택합니다.
   • 리소스 그룹: 리소스 그룹을 선택합니다.
   • 리전: 리전을 선택합니다.
   • 성능: 성능을 선택합니다 (표준 권장).
   • 중복성: 중복성을 선택합니다 (GRS 또는 LRS 권장).
   • 스토리지 계정 이름: 새 스토리지 계정의 이름을 입력합니다.
4. 검토 + 만들기를 클릭합니다.
5. 계정 개요를 검토하고 만들기를 클릭합니다.
6. 스토리지 계정 개요 페이지의 보안 + 네트워킹에서 액세스 키 하위 메뉴를 선택합니다.
7. key1 또는 key2 옆에 있는 표시를 클릭합니다.
8. 클립보드에 복사를 클릭하여 키를 복사합니다.
9. 나중에 사용할 수 있도록 키를 안전한 위치에 저장합니다.
10. 스토리지 계정 개요 페이지의 설정에서 엔드포인트 하위 메뉴를 선택합니다.
11. 클립보드에 복사를 클릭하여 Blob 서비스 엔드포인트 URL(예: https://<storageaccountname>.blob.core.windows.net)을 복사합니다.
12. 나중에 사용할 수 있도록 엔드포인트 URL을 안전한 위치에 저장합니다.

Azure Storage 감사 로그의 로그 내보내기를 구성하는 방법

1. 권한이 있는 계정을 사용하여 Azure Portal에 로그인합니다.
2. 스토리지 계정 > 진단 설정으로 이동합니다.
3. + 진단 설정 추가를 클릭합니다.
4. blob, queue, table, file의 진단 설정을 선택합니다.
   • 각 진단 설정의 카테고리 그룹에서 allLogs 옵션을 선택합니다.
   • 각 진단 설정의 설명 이름을 입력합니다.
5. 스토리지 계정에 아카이브 체크박스를 대상으로 선택합니다.
   • 구독 및 스토리지 계정을 지정합니다.
6. 저장을 클릭합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 방법은 두 가지입니다.

• SIEM 설정 > 피드 > 새 피드 추가
• 콘텐츠 허브 > 콘텐츠 팩 > 시작하기

Azure 스토리지 감사 피드를 설정하는 방법

1. Azure 플랫폼 팩을 클릭합니다.
2. Azure Storage 감사 로그 유형을 찾아 새 피드 추가를 클릭합니다.

3. 다음 필드의 값을 지정합니다.

   • 소스 유형: Microsoft Azure Blob Storage V2
   • Azure URI: blob 엔드포인트 URL입니다.
     • ENDPOINT_URL/BLOB_NAME
       • 다음을 바꿉니다.
         • ENDPOINT_URL: blob 엔드포인트 URL (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: Blob의 이름 (예: <logname>-logs)

   • 소스 삭제 옵션: 수집 환경설정에 따라 삭제 옵션을 선택합니다.

     참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.

   • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.

   • 공유 키: Azure Blob Storage의 액세스 키입니다.

   고급 옵션

   • 피드 이름: 피드를 식별하는 미리 채워진 값입니다.
   • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
   • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

4. 피드 만들기를 클릭합니다.

참고: 콘텐츠 허브는 SIEM 독립형 플랫폼에서 사용할 수 없습니다. 업그레이드하려면 Google SecOps 담당자에게 문의하세요.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
callerIpAddress	principal.asset.ip	IP 주소는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.asset.ip에 할당됩니다.
callerIpAddress	principal.ip	IP 주소는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.ip에 할당됩니다.
callerIpAddress	principal.port	포트 번호는 grok 패턴을 사용하여 callerIpAddress 필드에서 추출되고 principal.port에 할당됩니다.
category	security_result.category_details	category 필드의 값이 security_result.category_details에 할당됩니다.
correlationId	security_result.detection_fields[0].key	리터럴 문자열 correlationId이 키 필드에 할당됩니다.
correlationId	security_result.detection_fields[0].value	correlationId 필드의 값이 security_result.detection_fields[0].value에 할당됩니다. time 필드의 값은 타임스탬프로 파싱되어 event.idm.read_only_udm.metadata.event_timestamp에 할당됩니다. category이 StorageWrite이고 principal.user.userid이 있으면 (properties.accountName에서 파생됨) 값이 USER_RESOURCE_UPDATE_CONTENT로 설정됩니다. category이 StorageDelete이고 principal.user.userid가 있으면 값은 USER_RESOURCE_DELETION로 설정됩니다. 그 외에는 값이 USER_RESOURCE_ACCESS로 설정됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.log_type에 할당됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.product_name에 할당됩니다. schemaVersion 필드의 값이 event.idm.read_only_udm.metadata.product_version에 할당됩니다. 리터럴 문자열 AZURE_STORAGE_AUDIT이 event.idm.read_only_udm.metadata.vendor_name에 할당됩니다.
location	target.location.name	location 필드의 값이 target.location.name에 할당됩니다.
operationName	additional.fields[x].key	리터럴 문자열 operationName이 키 필드에 할당됩니다.
operationName	additional.fields[x].value.string_value	operationName 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
operationVersion	additional.fields[x].key	리터럴 문자열 operationVersion이 키 필드에 할당됩니다.
operationVersion	additional.fields[x].value.string_value	operationVersion 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.accountName	principal.user.userid	properties.accountName 필드의 값이 principal.user.userid에 할당됩니다.
properties.clientRequestId	additional.fields[x].key	리터럴 문자열 clientRequestId이 키 필드에 할당됩니다.
properties.clientRequestId	additional.fields[x].value.string_value	properties.clientRequestId 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.etag	additional.fields[x].key	리터럴 문자열 etag이 키 필드에 할당됩니다.
properties.etag	additional.fields[x].value.string_value	properties.etag 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.objectKey	additional.fields[x].key	리터럴 문자열 objectKey이 키 필드에 할당됩니다.
properties.objectKey	additional.fields[x].value.string_value	properties.objectKey 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.requestMd5	additional.fields[x].key	리터럴 문자열 requestMd5이 키 필드에 할당됩니다.
properties.requestMd5	additional.fields[x].value.string_value	properties.requestMd5 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.responseMd5	additional.fields[x].key	리터럴 문자열 responseMd5이 키 필드에 할당됩니다.
properties.responseMd5	additional.fields[x].value.string_value	properties.responseMd5 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.serviceType	additional.fields[x].key	리터럴 문자열 serviceType이 키 필드에 할당됩니다.
properties.serviceType	additional.fields[x].value.string_value	properties.serviceType 필드의 값이 additional.fields[x].value.string_value에 할당됩니다.
properties.tlsVersion	network.tls.version	properties.tlsVersion 필드의 값이 network.tls.version에 할당됩니다.
properties.userAgentHeader	network.http.parsed_user_agent	properties.userAgentHeader 필드의 값은 사용자 에이전트 문자열로 파싱되어 network.http.parsed_user_agent에 할당됩니다.
properties.userAgentHeader	network.http.user_agent	properties.userAgentHeader 필드의 값이 network.http.user_agent에 할당됩니다.
protocol	network.application_protocol	protocol 필드의 값이 network.application_protocol에 할당됩니다.
resourceId	target.resource.id	resourceId 필드의 값이 target.resource.id에 할당됩니다.
resourceId	target.resource.product_object_id	resourceId 필드의 값이 target.resource.product_object_id에 할당됩니다. 리터럴 문자열 DATABASE이 target.resource.resource_type에 할당됩니다.
resourceType	additional.fields[x].key	리터럴 문자열 resourceType이 키 필드에 할당됩니다.
resourceType	additional.fields[x].value.string_value	resourceType 필드의 값이 additional.fields[x].value.string_value에 할당됩니다. statusText이 Success이면 값은 ALLOW로 설정됩니다.
statusCode	network.http.response_code	statusCode 필드의 값이 정수로 변환되어 network.http.response_code에 할당됩니다. 리터럴 문자열 MICROSOFT_AZURE이 target.cloud.environment에 할당됩니다.
time	timestamp	time 필드의 값은 타임스탬프로 파싱되어 timestamp에 할당됩니다.
uri	network.http.referral_url	uri 필드의 값이 network.http.referral_url에 할당됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.