Coletar registros do Serviço de App do Azure

Este documento explica como exportar registros do Serviço de Aplicativo do Azure para o Google Security Operations usando uma conta de armazenamento do Azure. O analisador transforma registros brutos do Serviço de Aplicativo do Azure formatados em JSON em um modelo de dados unificado (UDM) estruturado. Ele extrai campos relevantes dos registros brutos, realiza limpeza e normalização de dados e mapeia as informações extraídas para os campos correspondentes da UDM, gerando um objeto JSON compatível com a UDM para cada entrada de registro.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Um locatário ativo do Azure
• Acesso privilegiado ao Azure

Configurar a conta de armazenamento do Azure

1. No console do Azure, pesquise Contas de armazenamento.
2. Clique em + Criar.
3. Especifique valores para os seguintes parâmetros de entrada:
   • Assinatura: selecione a assinatura.
   • Grupo de recursos: selecione o grupo de recursos.
   • Região: selecione a região.
   • Performance: selecione a performance (padrão recomendado).
   • Redundância: selecione a redundância (GRS ou LRS recomendado).
   • Nome da conta de armazenamento: insira um nome para a nova conta de armazenamento.
4. Clique em Revisar + criar.
5. Revise a visão geral da conta e clique em Criar.
6. Na página Visão geral da conta de armazenamento, selecione o submenu Chaves de acesso em Segurança e rede.
7. Clique em Mostrar ao lado de key1 ou key2.
8. Clique em Copiar para a área de transferência para copiar a chave.
9. Salve a chave em um local seguro para uso posterior.
10. Na página Visão geral da conta de armazenamento, selecione o submenu Endpoints em Configurações.
11. Clique em Copiar para a área de transferência para copiar o URL do endpoint do serviço de blob. Por exemplo, https://<storageaccountname>.blob.core.windows.net.
12. Salve o URL do endpoint em um local seguro para uso posterior.

Como configurar a exportação de registros para registros de login do Azure AD

1. Faça login no portal do Azure usando sua conta privilegiada.
2. Acesse Serviços de app e selecione o serviço de app necessário em uso.
3. Selecione Monitoring > App Service Logs.
4. Ative a opção ON para Geração de registros de aplicativos (blob).
5. Selecione Armazenamento em Registro de serviços da Web.
6. Selecione a Assinatura e a Conta de armazenamento.
7. Defina o período de retenção e a cota de acordo com seus requisitos.
8. Ative a opção ON para Mensagens de erro detalhadas.
9. Ative a opção Rastreamento de solicitações com falha.
10. Clique em Salvar.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Logs do serviço de aplicativo do Azure.
5. Selecione Microsoft Azure Blob Storage como o Tipo de origem.
6. Selecione Serviço de aplicativo do Azure como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   • URI do Azure: o URL do endpoint do blob.
     • ENDPOINT_URL/BLOB_NAME
       • Substitua:
         • ENDPOINT_URL: o URL do endpoint do blob (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME: o nome do blob (por exemplo, <logname>-logs)
   • URI é um: selecione o TIPO DE URI de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).

   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • Chave compartilhada: a chave de acesso ao Azure Blob Storage.

   • Namespace do recurso: o namespace do recurso.

   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• URI do Azure: o URL do endpoint do blob.
  • ENDPOINT_URL/BLOB_NAME
    • Substitua:
      • ENDPOINT_URL: o URL do endpoint do blob (https://<storageaccountname>.blob.core.windows.net)
      • BLOB_NAME: o nome do blob (por exemplo, insights-logs-<logname>)
• URI é um: selecione o TIPO DE URI de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.
• Chave compartilhada: a chave de acesso ao Azure Blob Storage.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.