Mengumpulkan log Azure APP Service

Dokumen ini menjelaskan cara mengekspor log Azure APP Service ke Google Security Operations menggunakan Akun Azure Storage. Parser mengubah log Azure App Service berformat JSON mentah menjadi Model Data Terpadu (UDM) terstruktur. Proses ini mengekstrak kolom yang relevan dari log mentah, melakukan pembersihan dan normalisasi data, serta memetakan informasi yang diekstrak ke kolom UDM yang sesuai, yang pada akhirnya menghasilkan objek JSON yang kompatibel dengan UDM untuk setiap entri log.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Tenant Azure yang aktif
• Akses istimewa ke Azure

Mengonfigurasi Akun Azure Storage

1. Di konsol Azure, cari Storage accounts.
2. Klik + Create.
3. Tentukan nilai untuk parameter input berikut:
   • Langganan: Pilih langganan.
   • Grup Resource: Pilih grup resource.
   • Region: Pilih region.
   • Performa: Pilih performa (Standar direkomendasikan).
   • Redundansi: Pilih redundansi (GRS atau LRS direkomendasikan).
   • Nama akun penyimpanan: Masukkan nama untuk akun penyimpanan baru.
4. Klik Review + create.
5. Tinjau ringkasan akun, lalu klik Buat.
6. Dari halaman Storage Account Overview, pilih submenu Access keys di Security + networking.
7. Klik Tampilkan di samping key1 atau key2.
8. Klik Salin ke papan klip untuk menyalin kunci.
9. Simpan kunci di lokasi yang aman untuk digunakan nanti.
10. Dari halaman Storage Account Overview, pilih submenu Endpoints di Settings.
11. Klik Salin ke papan klip untuk menyalin URL endpoint Blob service; misalnya, https://<storageaccountname>.blob.core.windows.net.
12. Simpan URL endpoint di lokasi yang aman untuk digunakan nanti.

Cara mengonfigurasi Ekspor Log untuk Log Azure App Service

1. Login ke Portal Azure menggunakan akun istimewa Anda.
2. Buka App Services, lalu pilih layanan aplikasi yang diperlukan dan sedang digunakan.
3. Pilih Monitoring > App Service Logs.
4. Aktifkan ON untuk Application Logging (blob).
5. Pilih Penyimpanan di bagian Logging Layanan Web.
6. Pilih Subscription dan Storage Account.
7. Tentukan Periode Retensi dan Kuota sesuai dengan persyaratan Anda.
8. Aktifkan AKTIF untuk Pesan error mendetail.
9. Aktifkan ON untuk Pelacakan permintaan yang gagal.
10. Klik Simpan.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

• Setelan SIEM > Feed > Tambahkan Baru
• Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed Azure App Service

1. Klik paket Azure Platform.
2. Cari jenis log Azure App Service, lalu klik Tambahkan feed baru.

3. Tentukan nilai untuk kolom berikut:

   • Jenis Sumber: Microsoft Azure Blob Storage V2.
   • URI Azure: URL endpoint blob.
     • ENDPOINT_URL/BLOB_NAME
       • Ganti kode berikut:
         • ENDPOINT_URL: URL endpoint blob (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: Nama blob (seperti, <logname>-logs)

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.

   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.

   • Shared key: Kunci akses ke Azure Blob Storage.

   Opsi lanjutan

   • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

4. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.