Esercitazione: Configurare ed eseguire query sui log di controllo delle operazioni HSM per Azure Cloud HSM

Azure Cloud HSM supporta la registrazione delle operazioni HSM tramite le impostazioni di diagnostica di Monitoraggio di Azure. La categoria di log HsmOperations contiene record a prova di manomissione generati dal firmware del modulo di protezione hardware per le operazioni di gestione eseguite sulle partizioni del modulo di protezione hardware. Inviare questi record sia a un account di archiviazione sia a un'area di lavoro Log Analytics per raccolte, analisi, monitoraggio e conservazione centralizzate.

La registrazione delle operazioni HSM è la strategia di registrazione consigliata per la sicurezza e la conformità. Registra operazioni di gestione, ad esempio accessi, gestione degli utenti, creazione ed eliminazione delle chiavi, importazione ed esportazione delle chiavi e backup e ripristino. I log vengono recuperati da ogni partizione del modulo di protezione hardware in batch e ogni batch viene firmato dal modulo di protezione hardware usando la chiave del certificato di partizione. Tutti i record di un batch condividono lo stesso CorrelationId I record esportati includono anche la firma corrispondente per il batch firmato e i certificati pubblici HSM, che possono essere usati per verificare l'integrità e l'autenticità dell'audit trail.

Azure Cloud HSM fornisce anche la HsmServiceOperations categoria di registrazione eventi. Questi log delle operazioni del servizio descrivono le richieste osservate dal servizio HSM cloud e possono integrare i log delle operazioni del modulo di protezione hardware per la risoluzione dei problemi. È possibile abilitare entrambe le categorie nella stessa impostazione di diagnostica, ma usare HsmOperations come origine primaria per le operazioni di controllo registrate dal modulo di protezione hardware.

In questa esercitazione, imparerai a:

Prerequisites

• Un account Azure con una sottoscrizione attiva. È possibile creare un account gratuitamente.
• Una risorsa Azure Cloud HSM distribuita correttamente. Per informazioni, vedere la guida per l'integrazione Azure Cloud HSM.

Impostare e configurare i log delle operazioni del modulo di protezione hardware

Usare i comandi nelle sezioni seguenti per configurare le risorse da monitorare.

Creare un account di archiviazione per archiviare i log delle operazioni del modulo di protezione hardware

Per conservare i log delle operazioni HSM in un account di archiviazione, creare prima un gruppo di risorse e quindi creare l'account di archiviazione in tale gruppo di risorse.

az group create --name "<resource-group>" --location "<location>"

az storage account create \
  --name "<storage-account-name>" \
  --resource-group "<resource-group>" \
  --location "<location>" \
  --sku Standard_LRS \
  --kind StorageV2

New-AzResourceGroup -Name "<resource-group>" -Location "<location>"

New-AzStorageAccount `
  -Name "<storage-account-name>" `
  -ResourceGroupName "<resource-group>" `
  -Location "<location>" `
  -SkuName Standard_LRS `
  -Kind StorageV2

Creare un'area di lavoro Log Analytics

Per creare un'area di lavoro Log Analytics per l'archiviazione e l'analisi dei log delle operazioni HSM, usare il comando seguente.

az monitor log-analytics workspace create \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --location "<location>" \
  --retention-time "<NumOfDays>"

New-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>" `
  -Location "<location>" `
  -RetentionInDays "<NumOfDays>"

Per altre informazioni sulla creazione di un'area di lavoro Log Analytics per Monitoraggio di Azure, vedere Creare un'area di lavoro Log Analytics.

Abilitare le impostazioni di diagnostica

Per esportare i log delle operazioni di Azure Cloud HSM, creare un'impostazione di diagnostica con la categoria HsmOperations abilitata. Gli esempi seguenti inviano i log a un account di archiviazione e a un'area di lavoro Log Analytics.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

storageAccountId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

workspaceId="/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true}]'

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

$storageAccountId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

$workspaceId = "/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log $log

Per raccogliere anche i log delle operazioni del servizio per la risoluzione dei problemi, abilitare HsmServiceOperations insieme a HsmOperations.

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true},{"category":"HsmServiceOperations","enabled":true}]'

$hsmOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true
$serviceOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log @($hsmOperationLog, $serviceOperationLog)

Verificare l'impostazione di diagnostica

Elencare le impostazioni di diagnostica per la risorsa Cloud HSM e verificare che l'impostazione includa l'account di archiviazione, l'area di lavoro Log Analytics, Dedicated il tipo di destinazione e la categoria HsmOperations abilitata. Se sono stati abilitati i log delle operazioni del servizio, verificare anche che HsmServiceOperations sia abilitato.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

az monitor diagnostic-settings list \
  --resource $resourceId \
  --output json

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

Get-AzDiagnosticSetting -ResourceId $resourceId

Verificare la configurazione della registrazione delle operazioni di Cloud HSM

Dopo aver creato l'impostazione di diagnostica ed eseguito un'operazione di gestione supportata, consentire al modulo di protezione hardware di pubblicare il batch di controllo firmato e a Monitoraggio di Azure di acquisirlo.

È possibile eseguire query sui log delle operazioni di Cloud HSM dal portale di Azure tramite l'area di lavoro Log Analytics. I record delle operazioni HSM vengono archiviati nella CloudHsmHardwareOperationAuditLogs tabella. Se è stato abilitato HsmServiceOperationsanche , tali record vengono archiviati separatamente nella CloudHsmServiceOperationAuditLogs tabella.

È anche possibile eseguire query sui registri eventi delle operazioni del modulo di protezione hardware cloud usando il interfaccia della riga di comando di Azure o Azure PowerShell.

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --query customerId --output tsv)

az monitor log-analytics query \
  --workspace $workspaceCustomerId \
  --analytics-query 'CloudHsmHardwareOperationAuditLogs'

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>"

Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query 'CloudHsmHardwareOperationAuditLogs'

Errore di registrazione

Se viene visualizzato il messaggio di errore "<subscription> non è registrato per l'uso di microsoft.insights", la sottoscrizione Azure non è registrata per l'uso del Microsoft.Insights provider di risorse. Per risolvere questo problema, registra il provider Microsoft.Insights nella tua sottoscrizione.

az provider register --namespace Microsoft.Insights

az provider show --namespace Microsoft.Insights --query "registrationState" --output table

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Get-AzResourceProvider -ProviderNamespace Microsoft.Insights | Select-Object ProviderNamespace, RegistrationState

Dopo aver eseguito il comando, assicurarsi che il provider di risorse sia registrato. Se è ancora in fase di registrazione, può essere necessario attendere alcuni istanti e riprovare.

Eseguire query sui log delle operazioni di HSM

Eseguire le query seguenti nell'editor dei log di Log Analytics nel portale di Azure. Per eseguirli dalla riga di comando, sostituire il testo della query nel parametro interfaccia della riga di comando di Azure --analytics-query o il parametro Azure PowerShell -Query illustrato negli esempi di verifica precedenti.

Usare le query seguenti per recuperare le operazioni di gestione del modulo di protezione hardware da CloudHsmHardwareOperationAuditLogs. Per elencare tutti i record delle operazioni di gestione, eseguire:

CloudHsmHardwareOperationAuditLogs
| where OperationName startswith "CN_"

La tabella può anche contenere record di batch firmati e di certificati i cui nomi di operazione iniziano con BATCH_. Per informazioni dettagliate sui record batch e sulle operazioni di gestione che possono comparire, vedere il glossario delle operazioni.

Eventi di accesso e sessione

// Find login and session events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_LOGIN",
    "CN_LOGOUT",
    "CN_CLOSE_SESSION",
    "CN_CLOSE_ALL_SESSIONS",
    "CN_CLOSE_PARTITION_SESSIONS"
)
| project TimeGenerated, OperationName, ResultType, UserID, SessionHandle, HsmInstance, SequenceNumber

Eventi per la creazione e l'eliminazione di utenti

// Find user creation and deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_CREATE_USER",
    "CN_CREATE_CO",
    "CN_CREATE_APPLIANCE_USER",
    "CN_CREATE_PRE_OFFICER",
    "CN_DELETE_USER"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Eventi per la creazione di chiavi

// Find key creation events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_GENERATE_KEY",
    "CN_GENERATE_KEY_PAIR",
    "CN_GENERATE_PBE_KEY",
    "CN_GEN_KEY_ENC_KEY",
    "CN_GEN_PSWD_ENC_KEY",
    "CN_DERIVE_KEY"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Eventi per l'eliminazione della chiave

// Find key deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_DESTROY_OBJECT",
    "CN_TOMBSTONE_OBJECT",
    "CN_DELETE_TOMBSTONED_OBJECT"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Glossario delle operazioni

La registrazione delle operazioni HSM registra i record batch e i comandi di gestione del modulo di protezione hardware seguenti. Le query e le operazioni di sola lettura non elencate di seguito non vengono acquisite in HsmOperations.

Gestione delle sessioni

Ciclo di vita della partizione

Gestione degli utenti

Generazione della chiave

Incapsulamento della chiave, importazione ed esportazione

Ciclo di vita delle chiavi e degli oggetti

Backup e ripristino

Operazioni con token M-of-N

Operazioni del firmware e dell'applicazione sicure

Integrità del lotto e record dei certificati

Tutti i record nello stesso batch condividono un CorrelationId. Usare questo valore per associare i record dell'operazione di gestione del modulo di protezione hardware ai record di firma e certificato pubblico corrispondenti.

Scaricare i log delle operazioni HSM per la verifica della firma

Scaricare i log delle operazioni HSM come file JSON per usarli per la verifica della firma. Il file esportato deve contenere ogni record per ogni CorrelationId incluso, incluse le firme batch e i record del certificato. Non aggiungere take o limit a queste query perché così si potrebbe esportare un batch firmato incompleto.

Scaricare i log dagli ultimi sette giorni per una risorsa

Sostituire i segnaposto con i valori per la risorsa Cloud HSM e l'area di lavoro di Log Analytics. La query identifica i batch con record degli ultimi sette giorni e quindi esporta ogni record per tali batch in modo che rimangano completi. Il _ResourceId filtro non fa distinzione tra maiuscole e minuscole.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
outputFile="./logs/CloudHsmOperationLogsLast7Days.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
$outputFile = "./logs/CloudHsmOperationLogsLast7Days.json"
$query = @"
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Scaricare tutti i log per un ID di correlazione specificato

Usare questa query per scaricare un batch firmato completo. Tutti i record che hanno lo CorrelationId specificato vengono scritti nel file di output, indipendentemente dal relativo ordine.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
correlationId="<correlation-id>"
outputFile="./logs/CloudHsmOperationLogsByCorrelationId.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$correlationId = "<correlation-id>"
$outputFile = "./logs/CloudHsmOperationLogsByCorrelationId.json"
$query = @"
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Passaggio successivo: Verifica della firma dei log scaricati

Usare le utilità del log di controllo di Azure Cloud HSM per verificare l'integrità e l'autenticità dei log delle operazioni HSM scaricati.

1. Passare al repository Microsoft Azure Cloud HSM SDK.
2. Apri la cartella Utilità.
3. Scaricare il .zip pacchetto denominato AzureCloudHSM-AuditLogUtils.
4. Estrarre il pacchetto e seguire le istruzioni incluse per verificare le firme batch e la catena di certificati del file di log scaricato.

Contenuti correlati

• Panoramica di Azure Cloud HSM
• Esercitazione: Configurare Event Hubs per Azure Cloud HSM
• Deploy Azure Cloud HSM usando il portale di Azure