Azure 앱 서비스 로그 수집

다음에서 지원:

이 문서에서는 Azure 스토리지 계정을 사용하여 Azure APP Service 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 원시 JSON 형식의 Azure App Service 로그를 구조화된 통합 데이터 모델 (UDM)로 변환합니다. 원시 로그에서 관련 필드를 추출하고 데이터 정리 및 정규화를 실행하며 추출된 정보를 상응하는 UDM 필드에 매핑하여 궁극적으로 각 로그 항목에 대해 UDM을 준수하는 JSON 객체를 출력합니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • 활성 Azure 테넌트가 있는지 확인합니다.
  • Azure에 대한 권한이 있는지 확인합니다.

Azure 스토리지 계정 구성

  1. Azure Console에서 스토리지 계정을 검색합니다.
  2. + 만들기를 클릭합니다.
  3. 다음 입력 매개변수의 값을 지정합니다.
    • 구독: 구독을 선택합니다.
    • 리소스 그룹: 리소스 그룹을 선택합니다.
    • 리전: 리전을 선택합니다.
    • 실적: 실적을 선택합니다 (표준 권장).
    • 중복성: 중복성을 선택합니다 (GRS 또는 LRS 권장).
    • 스토리지 계정 이름: 새 스토리지 계정의 이름을 입력합니다.
  4. 검토 + 만들기를 클릭합니다.
  5. 계정 개요를 검토하고 만들기를 클릭합니다.
  6. 스토리지 계정 개요 페이지의 보안 + 네트워킹에서 액세스 키 하위 메뉴를 선택합니다.
  7. key1 또는 key2 옆에 있는 표시를 클릭합니다.
  8. 클립보드에 복사를 클릭하여 키를 복사합니다.
  9. 나중에 사용할 수 있도록 키를 안전한 위치에 저장합니다.
  10. 스토리지 계정 개요 페이지의 설정에서 엔드포인트 하위 메뉴를 선택합니다.
  11. 클립보드에 복사를 클릭하여 Blob 서비스 엔드포인트 URL(예: https://<storageaccountname>.blob.core.windows.net)을 복사합니다.
  12. 나중에 사용할 수 있도록 엔드포인트 URL을 안전한 위치에 저장합니다.

Azure AD 로그인 로그의 로그 내보내기 구성

  1. 권한이 있는 계정을 사용하여 Azure 포털에 로그인합니다.
  2. 앱 서비스로 이동하여 사용 중인 필수 앱 서비스를 선택합니다.
  3. 모니터링 > 앱 서비스 로그를 선택합니다.
  4. 애플리케이션 로깅 (블롭)을 사용 설정합니다.
  5. 웹 서비스 로깅에서 저장용량을 선택합니다.
  6. 구독 및 스토리지 계정을 선택합니다.
  7. 요구사항에 따라 보관 기간 및 할당량을 정의합니다.
  8. 상세 오류 메시지를 사용 설정합니다.
  9. 실패한 요청 추적을 사용 설정합니다.
  10. 저장을 클릭합니다.

Azure App Service 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Azure APP Service Logs).
  4. 소스 유형으로 Microsoft Azure Blob Storage를 선택합니다.
  5. 로그 유형으로 Azure APP Service를 선택합니다.
  6. 다음을 클릭합니다.

  7. 다음 입력 매개변수의 값을 지정합니다.

    • Azure URI: blob 엔드포인트 URL입니다.
      • ENDPOINT_URL/BLOB_NAME
        • 다음을 바꿉니다.
          • ENDPOINT_URL: blob 엔드포인트 URL (https://<storageaccountname>.blob.core.windows.net)
          • BLOB_NAME: blob의 이름입니다 (예: <logname>-logs).
    • URI: 로그 스트림 구성 (단일 파일 | 디렉터리 | 하위 디렉터리가 포함된 디렉터리)에 따라 URI 유형을 선택합니다.

    • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.

    • 공유 키: Azure Blob Storage의 액세스 키입니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  8. 다음을 클릭합니다.

  9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
AppRoleInstance read_only_udm.principal.resource.product_object_id 직접 매핑
AppRoleName read_only_udm.principal.resource.name 직접 매핑
AppVersion read_only_udm.principal.resource.attribute.labels.value 직접 매핑
카테고리 read_only_udm.metadata.product_event_type 직접 매핑
CIp read_only_udm.target.asset.ip 직접 매핑
CIp read_only_udm.target.ip 직접 매핑
ClientCity read_only_udm.principal.location.city 직접 매핑
ClientCountryOrRegion read_only_udm.principal.location.country_or_region 직접 매핑
ClientIP read_only_udm.principal.asset.ip 직접 매핑
ClientIP read_only_udm.principal.ip 직접 매핑
ClientStateOrProvince read_only_udm.principal.location.state 직접 매핑
ClientType read_only_udm.additional.fields.value.string_value 직접 매핑
ComputerName read_only_udm.principal.asset.hostname 직접 매핑
ComputerName read_only_udm.principal.hostname 직접 매핑
쿠키 read_only_udm.principal.resource.attribute.labels.value 직접 매핑
CsBytes read_only_udm.network.sent_bytes CsBytes에서 이름이 변경되었습니다.
CsHost read_only_udm.additional.fields.value.string_value 직접 매핑
CsMethod read_only_udm.network.http.method 직접 매핑
CsUriQuery read_only_udm.principal.resource.attribute.labels.value 직접 매핑
CsUriStem read_only_udm.additional.fields.value.string_value 직접 매핑
CsUriStem read_only_udm.target.url 직접 매핑
CsUsername read_only_udm.principal.user.user_display_name 직접 매핑
EventIpAddress read_only_udm.principal.asset.ip 직접 매핑
EventIpAddress read_only_udm.principal.ip 직접 매핑
EventPrimaryStampName read_only_udm.additional.fields.value.string_value 직접 매핑
EventStampName read_only_udm.additional.fields.value.string_value 직접 매핑
EventStampType read_only_udm.additional.fields.value.string_value 직접 매핑
호스트 read_only_udm.principal.asset.hostname 직접 매핑
호스트 read_only_udm.principal.hostname 직접 매핑
IKey read_only_udm.target.resource.attribute.labels.value 직접 매핑
인스턴스 read_only_udm.additional.fields.value.string_value 직접 매핑
이름 read_only_udm.additional.fields.value.string_value 직접 매핑
프로토콜 read_only_udm.additional.fields.value.string_value 직접 매핑
프로토콜 read_only_udm.network.application_protocol 프로토콜이 HTTP/1.1인 경우 HTTP에 매핑됨
리퍼러 read_only_udm.network.http.referral_url 직접 매핑
ResourceGUID read_only_udm.target.resource.product_object_id ResourceGUID에서 이름이 변경됨
SDKVersion read_only_udm.additional.fields.value.string_value 직접 매핑
SDKVersion read_only_udm.principal.resource.attribute.labels.value 직접 매핑
SPort read_only_udm.principal.port SPort에서 이름이 변경됨
ScBytes read_only_udm.network.received_bytes ScBytes에서 이름이 변경되었습니다.
ScStatus read_only_udm.network.http.response_code ScStatus에서 이름이 변경되었습니다.
TimeTaken read_only_udm.additional.fields.value.string_value 직접 매핑
유형 read_only_udm.additional.fields.value.string_value 직접 매핑
사용자 read_only_udm.principal.user.userid 직접 매핑
UserAddress read_only_udm.principal.asset.ip 유효한 IP 주소인 경우 UserAddress에서 추출됨
UserAddress read_only_udm.principal.ip 유효한 IP 주소인 경우 UserAddress에서 추출됨
UserAgent read_only_udm.network.http.user_agent 직접 매핑
UserDisplayName read_only_udm.principal.user.user_display_name 직접 매핑
카테고리 read_only_udm.metadata.product_event_type 직접 매핑
레벨 read_only_udm.security_result.severity 대문자로 표시되고 수준에서 이름이 변경됨
위치 read_only_udm.principal.location.name 직접 매핑
operationName read_only_udm.additional.fields.value.string_value 직접 매핑
record.properties.Protocol read_only_udm.additional.fields.value.string_value 직접 매핑
record.properties.Result read_only_udm.security_result.summary 직접 매핑
record.time read_only_udm.metadata.event_timestamp RFC 3339 타임스탬프로 파싱됨
resourceId read_only_udm.target.resource.attribute.labels.value 직접 매핑
resourceId read_only_udm.target.resource.product_object_id resourceId에서 이름이 변경됨
read_only_udm.metadata.event_type 사용자, 대상, 프로토콜의 존재 여부에 따라 결정됩니다. 주 구성원, 대상, Protocol=HTTP이 있는 경우 NETWORK_HTTP로 설정합니다. 주 구성원과 대상이 있는 경우 NETWORK_CONNECTION로 설정합니다. 주 구성원만 있는 경우 STATUS_UPDATE로 설정합니다. 그렇지 않으면 GENERIC_EVENT로 설정합니다.

변경사항

2024-10-18

개선사항:

  • properties.XForwardedHost를 principal.hostname 및 principal.asset.hostname에 매핑했습니다.
  • properties_category를 additional.fields에 매핑했습니다.
  • properties.roleInstance를 principal.resource.product_object_id에 매핑했습니다.
  • properties.message를 security_result.summary에 매핑했습니다.

2024-09-30

개선사항:

  • 파싱되지 않은 JSON 로그의 새 형식을 파싱하는 지원을 추가했습니다.

2024-06-24

개선사항:

  • metadata.product_name 및 metadata.vendor_name를 AZURE_APP_SERVICE에 매핑했습니다.

2024-06-07

개선사항:

  • 배열 형식이 아닌 JSON 로그에 대한 지원을 추가했습니다.
  • properties.ScSubStatus를 additional.fields에 매핑했습니다.
  • properties.ScWin32Status를 additional.fields에 매핑했습니다.

2024-04-25

개선사항:

  • properties.User를 principal.user.userid에 매핑했습니다.
  • properties.UserDisplayName를 principal.user.user_display_name에 매핑했습니다.
  • properties.UserAddress를 principal.ip에 매핑했습니다.
  • properties.Protocol, ClientBrowser, ClientModel, ClientOS, OperationId, ParentId, ItemCount를 additional.fields에 매핑했습니다.
  • CsUriQuery, SDKVersion, Cookie를 principal.resource.attribute.labels에 매핑했습니다.
  • SessionId를 network.session_id에 매핑했습니다.
  • Message를 security_result.summary에 매핑했습니다.
  • SeverityLevel를 security_result.severity_details에 매핑했습니다.

2024-02-20

개선사항:

  • record.AppRoleInstance를 principal.resource.product_object_id에 매핑했습니다.
  • record.AppRoleName를 principal.resource.name에 매핑했습니다.
  • record.ClientCity를 principal.location.city에 매핑했습니다.
  • record.ClientCountryOrRegion를 principal.location.country_or_region에 매핑했습니다.
  • record.ClientStateOrProvince를 principal.location.state에 매핑했습니다.
  • record.ClientIP를 principal.ip에 매핑했습니다.
  • Result를 security_result.summary에 매핑했습니다.
  • UserAgent를 network.http.user_agent에 매핑했습니다.
  • Referer를 network.http.referral_url에 매핑했습니다.
  • record.ResourceGUID를 target.resource.product_object_id에 매핑했습니다.
  • record.ResourceGUID이 없으면 record.resourceId을 target.resource.product_object_id에 매핑했습니다.
  • record.ResourceGUID가 있으면 record.resourceId를 additional.fields에 매핑했습니다.
  • record.Type를 additional.fields에 매핑했습니다.
  • record.ClientType를 additional.fields에 매핑했습니다.
  • record.SDKVersion를 additional.fields에 매핑했습니다.
  • record.Name를 additional.fields에 매핑했습니다.
  • record.Instance를 additional.fields에 매핑했습니다.
  • record.TimeTaken를 additional.fields에 매핑했습니다.
  • record.Cookie를 additional.fields에 매핑했습니다.
  • record.AppVersion를 principal.resource.attribute.labels에 매핑했습니다.
  • record.IKey를 target.resource.attribute.labels에 매핑했습니다.
  • record.Category를 metadata.product_event_type에 매핑했습니다.
  • CsUriStem를 target.url에 매핑했습니다.
  • CsBytes 매핑을 network.received_bytes에서 network.sent_bytes로 변경했습니다.
  • ScBytes 매핑을 network.sent_bytes에서 network.received_bytes로 변경했습니다.

2023-12-07

  • 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.