Lernprogramm: Konfigurieren und Abfragen von HSM-Vorgangsüberwachungsprotokollen für Azure Cloud HSM

Azure Cloud HSM unterstützt die HSM-Vorgangsprotokollierung über Azure Monitor Diagnoseeinstellungen. Die HsmOperations Protokollkategorie enthält manipulationssichere Datensätze, die von der HSM-Firmware für Verwaltungsvorgänge generiert werden, die auf Ihren HSM-Partitionen ausgeführt werden. Senden Sie diese Datensätze sowohl an ein Speicherkonto als auch an einen Log Analytics Arbeitsbereich für zentralisierte Sammlung, Analyse, Überwachung und Aufbewahrung.

Die HSM-Vorgangsprotokollierung ist die empfohlene Protokollierungsstrategie für Sicherheit und Compliance. Es zeichnet Verwaltungsvorgänge auf, z. B. Anmeldungen, Benutzerverwaltung, Schlüsselerstellung und -löschung, Schlüsselimport und -export sowie Sicherung und Wiederherstellung. Die Protokolle werden aus jeder HSM-Partition in Batches abgerufen, und jeder Batch wird vom HSM mithilfe des Partitionszertifikatschlüssels signiert. Alle Datensätze aus einem Batch verwenden dieselbe CorrelationId. Die exportierten Datensätze enthalten auch die entsprechende Signatur für den signierten Batch und die öffentlichen HSM-Zertifikate, die verwendet werden können, um die Integrität und Authentizität des Audit-Trails zu überprüfen.

Azure Cloud HSM stellt auch die HsmServiceOperations Ereignisprotokollierungskategorie bereit. Diese Dienstvorgangsprotokolle beschreiben Anfragen, die vom Cloud HSM-Dienst erfasst werden, und können HSM-Vorgangsprotokolle zur Problembehandlung ergänzen. Sie können beide Kategorien in derselben Diagnoseeinstellung aktivieren, aber verwenden Sie HsmOperations als primäre Quelle für Überwachungsvorgänge, die vom HSM aufgezeichnet werden.

In diesem Tutorial lernen Sie:

Prerequisites

• Ein Azure-Konto mit einem aktiven Abonnement. Sie können ein Konto kostenlos erstellen.
• Eine Azure Cloud HSM-Ressource, die erfolgreich bereitgestellt wurde. Weitere Informationen finden Sie im Leitfaden zum Azure Cloud HSM-Onboarding.

HSM-Betriebsprotokolle einrichten und konfigurieren

Verwenden Sie die Befehle in den folgenden Abschnitten, um die Ressourcen einzurichten, die Sie überwachen möchten.

Erstellen Sie ein Speicherkonto, um HSM-Vorgangsprotokolle zu speichern

Um HSM-Vorgangsprotokolle in einem Speicherkonto beizubehalten, erstellen Sie zuerst eine Ressourcengruppe, und erstellen Sie dann das Speicherkonto in dieser Ressourcengruppe.

az group create --name "<resource-group>" --location "<location>"

az storage account create \
  --name "<storage-account-name>" \
  --resource-group "<resource-group>" \
  --location "<location>" \
  --sku Standard_LRS \
  --kind StorageV2

New-AzResourceGroup -Name "<resource-group>" -Location "<location>"

New-AzStorageAccount `
  -Name "<storage-account-name>" `
  -ResourceGroupName "<resource-group>" `
  -Location "<location>" `
  -SkuName Standard_LRS `
  -Kind StorageV2

Erstellen eines Log Analytics-Arbeitsbereichs

Verwenden Sie den folgenden Befehl, um einen Log Analytics Arbeitsbereich zum Speichern und Analysieren von HSM-Vorgangsprotokollen zu erstellen.

az monitor log-analytics workspace create \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --location "<location>" \
  --retention-time "<NumOfDays>"

New-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>" `
  -Location "<location>" `
  -RetentionInDays "<NumOfDays>"

Weitere Informationen zum Erstellen eines Log Analytics-Arbeitsbereichs für Azure Monitor finden Sie unter Erstellen eines Log Analytics-Arbeitsbereichs.

Aktivieren von Diagnoseeinstellungen

Um Azure Cloud HSM-Vorgangsprotokolle zu exportieren, erstellen Sie eine Diagnoseeinstellung mit aktivierter HsmOperations Kategorie. In den folgenden Beispielen werden Protokolle sowohl an ein Speicherkonto als auch an einen Log Analytics Arbeitsbereich gesendet.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

storageAccountId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

workspaceId="/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true}]'

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

$storageAccountId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

$workspaceId = "/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log $log

Um auch Dienstvorgangsprotokolle für die Problembehandlung zu sammeln, aktivieren Sie HsmServiceOperations neben HsmOperations.

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true},{"category":"HsmServiceOperations","enabled":true}]'

$hsmOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true
$serviceOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log @($hsmOperationLog, $serviceOperationLog)

Überprüfen der Diagnoseeinstellung

Listen Sie die Diagnoseeinstellungen für Ihre Cloud HSM-Ressource auf, und vergewissern Sie sich, dass die Einstellung das Speicherkonto, Log Analytics Arbeitsbereich, Dedicated den Zieltyp und die aktivierte HsmOperations Kategorie enthält. Wenn Sie Dienstvorgangsprotokolle aktiviert haben, vergewissern Sie sich auch, dass HsmServiceOperations aktiviert ist.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

az monitor diagnostic-settings list \
  --resource $resourceId \
  --output json

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

Get-AzDiagnosticSetting -ResourceId $resourceId

Überprüfen der Konfiguration der Cloud HSM-Vorgangsprotokollierung

Nachdem Sie die Diagnoseeinstellung erstellt und einen unterstützten Verwaltungsvorgang ausgeführt haben, lassen Sie Zeit, bis das HSM den signierten Überwachungsbatch veröffentlicht und Azure Monitor ihn aufnehmen kann.

Sie können Cloud HSM-Vorgangsprotokolle über das Azure Portal über den Log Analytics Arbeitsbereich abfragen. HSM-Vorgangsdatensätze werden in der CloudHsmHardwareOperationAuditLogs Tabelle gespeichert. Wenn Sie HsmServiceOperations ebenfalls aktiviert haben, werden diese Datensätze separat in der CloudHsmServiceOperationAuditLogs-Tabelle gespeichert.

Sie können auch Cloud HSM-Vorgangsereignisprotokolle abfragen, indem Sie die Azure CLI oder Azure PowerShell verwenden.

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --query customerId --output tsv)

az monitor log-analytics query \
  --workspace $workspaceCustomerId \
  --analytics-query 'CloudHsmHardwareOperationAuditLogs'

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>"

Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query 'CloudHsmHardwareOperationAuditLogs'

Registrierungsfehler

Wenn Sie die Fehlermeldung "<subscription> ist nicht für die Verwendung von microsoft.insights registriert" erhalten, ist Ihr Azure-Abonnement nicht für die Verwendung des Microsoft.Insights Ressourcenanbieters registriert. Um dieses Problem zu beheben, registrieren Sie den Microsoft.Insights Anbieter in Ihrem Abonnement.

az provider register --namespace Microsoft.Insights

az provider show --namespace Microsoft.Insights --query "registrationState" --output table

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Get-AzResourceProvider -ProviderNamespace Microsoft.Insights | Select-Object ProviderNamespace, RegistrationState

Stellen Sie nach dem Ausführen des Befehls sicher, dass der Ressourcenanbieter registriert ist. Wenn die Registrierung noch besteht, müssen Sie möglicherweise einige Augenblicke warten und erneut überprüfen.

HsM-Vorgangsprotokolle abfragen

Führen Sie die folgenden Abfragen im Log Analytics Logs-Editor im Azure-Portal aus. Um sie über die Befehlszeile auszuführen, ersetzen Sie den Abfragetext im Azure CLI-Parameter --analytics-query oder den in den vorherigen Überprüfungsbeispielen gezeigten Azure PowerShell -Query Parameter.

Verwenden Sie die folgenden Abfragen, um HSM-Verwaltungsvorgänge aus CloudHsmHardwareOperationAuditLogs abzurufen. Führen Sie zum Auflisten aller Managementvorgangsdatensätze Folgendes aus:

CloudHsmHardwareOperationAuditLogs
| where OperationName startswith "CN_"

Die Tabelle kann auch signierte Batch- und Zertifikatdatensätze enthalten, deren Vorgangsnamen mit BATCH_ beginnen. Ausführliche Informationen zu den Batchdatensätzen und Verwaltungsvorgängen, die auftreten können, finden Sie im Glossar der Vorgänge.

Anmelde- und Sitzungsereignisse

// Find login and session events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_LOGIN",
    "CN_LOGOUT",
    "CN_CLOSE_SESSION",
    "CN_CLOSE_ALL_SESSIONS",
    "CN_CLOSE_PARTITION_SESSIONS"
)
| project TimeGenerated, OperationName, ResultType, UserID, SessionHandle, HsmInstance, SequenceNumber

Ereignisse zum Erstellen und Löschen von Benutzern

// Find user creation and deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_CREATE_USER",
    "CN_CREATE_CO",
    "CN_CREATE_APPLIANCE_USER",
    "CN_CREATE_PRE_OFFICER",
    "CN_DELETE_USER"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Ereignisse für die Schlüsselerstellung

// Find key creation events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_GENERATE_KEY",
    "CN_GENERATE_KEY_PAIR",
    "CN_GENERATE_PBE_KEY",
    "CN_GEN_KEY_ENC_KEY",
    "CN_GEN_PSWD_ENC_KEY",
    "CN_DERIVE_KEY"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Ereignisse für das Löschen von Schlüsseln

// Find key deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_DESTROY_OBJECT",
    "CN_TOMBSTONE_OBJECT",
    "CN_DELETE_TOMBSTONED_OBJECT"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Glossar der Vorgänge

Die HSM-Vorgangsprotokollierung zeichnet die folgenden Batchdatensätze und HSM-Verwaltungsbefehle auf. Schreibgeschützte Abfragen und Vorgänge, die hier nicht aufgeführt sind, werden in HsmOperations nicht erfasst.

Sitzungsverwaltung

Partitionslebenszyklus

Benutzerverwaltung

Schlüsselgenerierung

Schlüsselverkapselung, Import und Export

Schlüssel- und Objektlebenszyklus

Sichern und Wiederherstellen

M-of-N-Token-Operationen

Firmware- und sichere Anwendungsvorgänge

Batchintegrität und Zertifikateinträge

Alle Datensätze in demselben Batch haben dieselbe CorrelationId. Verwenden Sie diesen Wert, um die Datensätze zu HSM-Verwaltungsvorgängen den entsprechenden Signatur- und öffentlichen Zertifikateinträgen zuzuordnen.

HSM-Vorgangsprotokolle zur Signaturüberprüfung herunterladen

Laden Sie die HSM-Vorgangsprotokolle als JSON-Datei herunter, um sie zur Signaturüberprüfung zu verwenden. Die exportierte Datei muss jeden Datensatz für jedes enthaltene CorrelationIdElement enthalten, einschließlich der Batchsignatur und Zertifikatdatensätze. Fügen Sie take oder limit diesen Abfragen nicht hinzu, da dies einen unvollständigen signierten Batch exportieren kann.

Herunterladen von Protokollen aus den letzten sieben Tagen für eine Ressource

Ersetzen Sie die Platzhalter durch die Werte für Ihre Cloud HSM-Ressource und Ihren Log Analytics-Arbeitsbereich. Die Abfrage identifiziert Batches mit Datensätzen aus den letzten sieben Tagen und exportiert dann jeden Datensatz für diese Batches, damit sie vollständig bleiben. Bei dem _ResourceId Filter wird die Groß-/Kleinschreibung nicht beachtet.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
outputFile="./logs/CloudHsmOperationLogsLast7Days.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
$outputFile = "./logs/CloudHsmOperationLogsLast7Days.json"
$query = @"
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Alle Protokolle für eine bestimmte Korrelations-ID herunterladen

Verwenden Sie diese Abfrage, um einen vollständigen signierten Batch herunterzuladen. Alle Datensätze, die den angegebenen Wert CorrelationId aufweisen, werden unabhängig von ihrer Reihenfolge in die Ausgabedatei geschrieben.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
correlationId="<correlation-id>"
outputFile="./logs/CloudHsmOperationLogsByCorrelationId.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$correlationId = "<correlation-id>"
$outputFile = "./logs/CloudHsmOperationLogsByCorrelationId.json"
$query = @"
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Nächster Schritt: Signaturüberprüfung der heruntergeladenen Protokolle

Verwenden Sie die Azure Cloud HSM-Überwachungsprotokollprogramme, um die Integrität und Authentizität der heruntergeladenen HSM-Vorgangsprotokolle zu überprüfen.

1. Wechseln Sie zum Microsoft Azure Cloud HSM SDK-Repository.
2. Öffnen Sie den Ordner Dienstprogramme.
3. Laden Sie das Paket .zip mit dem Namen AzureCloudHSM-AuditLogUtils herunter.
4. Extrahieren Sie das Paket, und befolgen Sie die darin enthaltenen Anweisungen, um die Batchsignaturen und die Zertifikatkette der heruntergeladenen Protokolldatei zu überprüfen.

Verwandte Inhalte

• Übersicht über Azure Cloud HSM
• Lernprogramm: Konfigurieren von Event Hubs für Azure Cloud HSM
• Deploy Azure Cloud HSM mithilfe des Azure Portals