Azure Application Gateway のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Azure Application Gateway ログを収集する方法について説明します。このパーサーは、単一レコードと複数レコードの両方の JSON 構造を処理し、「records」配列からフィールドを抽出し、データ型の変換を行い、フィールドを UDM にマッピングして、ネットワーク接続タイプなどのメタデータと派生フィールドでデータを拡充します。また、さまざまな operationName 値の特定のロジックを処理し、関連する IP アドレス、サブネット、その他の構成の詳細を抽出します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Azure サブスクリプションへの特権アクセス
• Azure の Azure アプリケーション ゲートウェイ環境（テナント）

Azure Storage アカウントを構成する

1. Azure コンソールで、[ストレージ アカウント] を検索します。
2. [作成] をクリックします。
3. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • リソース グループ: リソース グループを選択します。
   • Region: リージョンを選択します。
   • パフォーマンス: パフォーマンスを選択します（標準が推奨）。
   • 冗長性: 冗長性（GRS または LRS を推奨）を選択します。
   • ストレージ アカウント名: 新しいストレージ アカウントの名前を入力します。
4. [Review + create] をクリックします。
5. アカウントの概要を確認して、[作成] をクリックします。
6. [ストレージ アカウントの概要] ページで、[セキュリティとネットワーキング] のサブメニュー [アクセスキー] を選択します。
7. [key1] または [key2] の横にある [Show] をクリックします。
8. [クリップボードにコピー] をクリックして、キーをコピーします。
9. キーは後で使用できるように安全な場所に保存します。
10. [ストレージ アカウントの概要] ページで、[設定] のサブメニュー [エンドポイント] を選択します。
11. [クリップボードにコピー] をクリックして、Blob サービス エンドポイント URL をコピーします。（例: https://<storageaccountname>.blob.core.windows.net）。
12. エンドポイント URL は、後で使用できるように安全な場所に保存します。

Azure Application Gateway を構成する方法

1. Azure ポータルにログインします。
2. 目的のリソース グループに移動します。
3. [アプリケーション ゲートウェイ] を選択します（[アプリケーション ゲートウェイ] ウィンドウが表示されます）。
4. [モニタリング] セクションで、[診断設定] > [診断を有効にする] を選択します。
5. [診断設定を追加] を選択します（[診断設定] ウィンドウに診断ログの設定が表示されます）。
6. [log] セクションで、次の操作を行います。
   1. [ApplicationGatewayAccessLog] チェックボックスをオンにします。
   2. [ApplicationGatewayFirewallLog] チェックボックスをオンにします。
7. ログをストレージ アカウントに保存する手順は次のとおりです。
   1. [ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
   2. [サブスクリプション] リストで、既存のサブスクリプションを選択します。
   3. [ストレージ アカウント] リストで、既存のストレージ アカウントを選択します。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Azure Application Gateway Logs）。
5. [ソースタイプ] で [Microsoft Azure Blob Storage] を選択します。
6. [ログタイプ] として [Azure Application Gateway] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • Azure uri: Blob エンドポイント URL。
     • ENDPOINT_URL/BLOB_NAME
       • 次のように置き換えます。
         • ENDPOINT_URL: BLOB エンドポイントの URL。（https://<storageaccountname>.blob.core.windows.net）
         • BLOB_NAME: blob の名前。（insights-logs-<logname> など）
   • URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI タイプを選択します。
   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。
   • 共有キー: Azure Blob Storage のアクセスキー。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Azure URI: BLOB エンドポイント URL。
  • ENDPOINT_URL/BLOB_NAME
    • 次のように置き換えます。
      • ENDPOINT_URL: BLOB エンドポイント URL（https://<storageaccountname>.blob.core.windows.net）
      • BLOB_NAME: blob の名前（insights-logs-<logname> など）
• URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI タイプを選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。
• 共有キー: Azure Blob Storage のアクセスキー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル