Samouczek: konfigurowanie i wykonywanie zapytań dotyczących dzienników inspekcji operacji modułu HSM dla Azure Cloud HSM

Azure Cloud HSM obsługuje rejestrowanie operacji HSM za pośrednictwem ustawień diagnostycznych Azure Monitor. Kategoria HsmOperations dziennika zawiera rekordy ze śladami naruszenia wygenerowane przez oprogramowanie układowe HSM na potrzeby operacji zarządzania wykonywanych na partycjach HSM. Wyślij te rekordy zarówno do konta usługi Storage, jak i obszaru roboczego Log Analytics w celu scentralizowanego zbierania, analizowania, monitorowania i przechowywania.

Rejestrowanie operacji HSM jest zalecaną strategią rejestrowania pod kątem zabezpieczeń i zgodności. Rejestruje operacje zarządzania, takie jak logowania, zarządzanie użytkownikami, tworzenie i usuwanie kluczy, importowanie i eksportowanie kluczy oraz tworzenie kopii zapasowych i przywracanie. Dzienniki są pobierane z każdej partycji HSM w partiach, a każda partia jest podpisana przez moduł HSM przy użyciu klucza certyfikatu partycji. Wszystkie rekordy z partii mają ten sam CorrelationId. Wyeksportowane rekordy obejmują również odpowiedni podpis dla podpisanej partii i certyfikaty publiczne HSM, które mogą służyć do weryfikowania integralności i autentyczności ścieżki audytu.

Azure Cloud HSM udostępnia również kategorię rejestrowania HsmServiceOperations zdarzeń. Te dzienniki operacji usługi opisują żądania obserwowane przez usługę Cloud HSM i mogą uzupełniać dzienniki operacji modułu HSM na potrzeby rozwiązywania problemów. Obie kategorie można włączyć w tym samym ustawieniu diagnostycznym, ale należy użyć HsmOperations jako podstawowego źródła dla operacji audytu zarejestrowanych przez moduł HSM.

W tym samouczku nauczysz się następujących rzeczy:

Prerequisites

• Konto platformy Azure z aktywną subskrypcją. Możesz bezpłatnie utworzyć konto.
• Zasób modułu HSM Azure w chmurze, który został pomyślnie wdrożony. Aby uzyskać informacje, zapoznaj się z przewodnikiem wprowadzającym do systemu Azure Cloud HSM.

Konfigurowanie i ustawianie dzienników operacji modułu HSM

Użyj poleceń w poniższych sekcjach, aby skonfigurować zasoby, które mają być monitorowane.

Utwórz konto magazynowe do przechowywania dzienników operacji modułu HSM

Aby zachować dzienniki operacji modułu HSM na koncie magazynu danych, najpierw utwórz grupę zasobów, a następnie utwórz konto magazynu danych w tej grupie zasobów.

az group create --name "<resource-group>" --location "<location>"

az storage account create \
  --name "<storage-account-name>" \
  --resource-group "<resource-group>" \
  --location "<location>" \
  --sku Standard_LRS \
  --kind StorageV2

New-AzResourceGroup -Name "<resource-group>" -Location "<location>"

New-AzStorageAccount `
  -Name "<storage-account-name>" `
  -ResourceGroupName "<resource-group>" `
  -Location "<location>" `
  -SkuName Standard_LRS `
  -Kind StorageV2

Tworzenie obszaru roboczego usługi Log Analytics

Aby utworzyć obszar roboczy Log Analytics do przechowywania i analizowania dzienników operacji modułu HSM, użyj następującego polecenia.

az monitor log-analytics workspace create \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --location "<location>" \
  --retention-time "<NumOfDays>"

New-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>" `
  -Location "<location>" `
  -RetentionInDays "<NumOfDays>"

Aby uzyskać więcej informacji na temat tworzenia obszaru roboczego usługi Log Analytics dla usługi Azure Monitor, zobacz Tworzenie obszaru roboczego usługi Log Analytics.

Włączanie ustawień diagnostycznych

Aby wyeksportować dzienniki operacji usługi Azure Cloud HSM, utwórz ustawienie diagnostyczne z włączoną kategorią HsmOperations. W poniższych przykładach dzienniki są wysyłane zarówno do konta magazynu danych, jak i obszaru roboczego usługi Log Analytics.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

storageAccountId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

workspaceId="/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true}]'

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

$storageAccountId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

$workspaceId = "/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log $log

Aby również zebrać dzienniki operacji usługi na potrzeby rozwiązywania problemów, włącz element HsmServiceOperations obok HsmOperationselementu .

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --export-to-resource-specific true \
  --logs '[{"category":"HsmOperations","enabled":true},{"category":"HsmServiceOperations","enabled":true}]'

$hsmOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmOperations -Enabled $true
$serviceOperationLog = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -LogAnalyticsDestinationType Dedicated `
  -Log @($hsmOperationLog, $serviceOperationLog)

Weryfikowanie ustawienia diagnostycznego

Wyświetl listę ustawień diagnostycznych zasobu Cloud HSM i upewnij się, że ustawienie zawiera konto magazynu, obszar roboczy Log Analytics, Dedicated typ docelowy i włączoną HsmOperations kategorię. Jeśli włączono dzienniki operacji usługi, upewnij się również, że HsmServiceOperations jest włączone.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

az monitor diagnostic-settings list \
  --resource $resourceId \
  --output json

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

Get-AzDiagnosticSetting -ResourceId $resourceId

Weryfikowanie konfiguracji rejestrowania operacji Cloud HSM

Po utworzeniu ustawienia diagnostycznego i wykonaniu obsługiwanej operacji zarządzania odczekaj, aż moduł HSM opublikuje podpisaną partię inspekcji oraz aż usługa Azure Monitor go zaimportował.

Dzienniki operacji modułu HSM w chmurze można przeszukiwać w portalu Azure za pośrednictwem obszaru roboczego Log Analytics. Rekordy operacji modułu HSM są przechowywane w CloudHsmHardwareOperationAuditLogs tabeli. Jeśli włączysz również opcję HsmServiceOperations, te rekordy są przechowywane oddzielnie w tabeli CloudHsmServiceOperationAuditLogs.

Możesz również wykonywać zapytania dotyczące dzienników zdarzeń operacji modułu HSM w chmurze przy użyciu Azure CLI lub Azure PowerShell.

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --query customerId --output tsv)

az monitor log-analytics query \
  --workspace $workspaceCustomerId \
  --analytics-query 'CloudHsmHardwareOperationAuditLogs'

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>"

Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query 'CloudHsmHardwareOperationAuditLogs'

Błąd rejestracji

Jeśli zostanie wyświetlony komunikat o błędzie "<subscription> nie jest zarejestrowany do używania microsoft.insights", subskrypcja Azure nie jest zarejestrowana do korzystania z Microsoft.Insights dostawcy zasobów. Aby rozwiązać ten problem, zarejestruj dostawcę Microsoft.Insights w subskrypcji.

az provider register --namespace Microsoft.Insights

az provider show --namespace Microsoft.Insights --query "registrationState" --output table

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Get-AzResourceProvider -ProviderNamespace Microsoft.Insights | Select-Object ProviderNamespace, RegistrationState

Po uruchomieniu polecenia upewnij się, że dostawca zasobów jest zarejestrowany. Jeśli nadal się rejestruje, może być konieczne chwilowe odczekanie i ponowne sprawdzenie.

Zapytania do dzienników operacji modułu HSM

Uruchom następujące zapytania w edytorze Log Analytics Logs w portalu Azure. Aby uruchomić je z wiersza polecenia, zastąp tekst zapytania w parametrze Azure CLI --analytics-query lub w parametrze Azure PowerShell -Query pokazanym w poprzednich przykładach weryfikacji.

Użyj następujących zapytań, aby pobrać operacje zarządzania modułem HSM z CloudHsmHardwareOperationAuditLogs. Aby wyświetlić listę wszystkich rekordów operacji zarządzania, uruchom polecenie:

CloudHsmHardwareOperationAuditLogs
| where OperationName startswith "CN_"

Tabela może również zawierać rekordy podpisanych partii i certyfikatów, których nazwy operacji zaczynają się od BATCH_. Aby uzyskać szczegółowe informacje na temat rejestrów partii i operacji zarządzania, które mogą występować, zapoznaj się ze słownikiem operacji.

Zdarzenia logowania i sesji

// Find login and session events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_LOGIN",
    "CN_LOGOUT",
    "CN_CLOSE_SESSION",
    "CN_CLOSE_ALL_SESSIONS",
    "CN_CLOSE_PARTITION_SESSIONS"
)
| project TimeGenerated, OperationName, ResultType, UserID, SessionHandle, HsmInstance, SequenceNumber

Zdarzenia dotyczące tworzenia i usuwania użytkowników

// Find user creation and deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_CREATE_USER",
    "CN_CREATE_CO",
    "CN_CREATE_APPLIANCE_USER",
    "CN_CREATE_PRE_OFFICER",
    "CN_DELETE_USER"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Zdarzenia związane z generowaniem kluczy

// Find key creation events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_GENERATE_KEY",
    "CN_GENERATE_KEY_PAIR",
    "CN_GENERATE_PBE_KEY",
    "CN_GEN_KEY_ENC_KEY",
    "CN_GEN_PSWD_ENC_KEY",
    "CN_DERIVE_KEY"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Zdarzenia usuwania klucza

// Find key deletion events.
CloudHsmHardwareOperationAuditLogs
| where OperationName in (
    "CN_DESTROY_OBJECT",
    "CN_TOMBSTONE_OBJECT",
    "CN_DELETE_TOMBSTONED_OBJECT"
)
| project TimeGenerated, OperationName, ResultType, UserID, HsmInstance, SequenceNumber, AdditionalInfo

Słownik operacji

Rejestrowanie operacji HSM obejmuje następujące rekordy wsadowe i polecenia zarządzania modułem HSM. Zapytania i operacje tylko do odczytu, które nie są wymienione tutaj, nie są przechwytywane w HsmOperations.

Zarządzanie sesjami

Cykl życia partycji

Zarządzanie użytkownikami

Generowanie klucza

Zawijanie kluczy, importowanie i eksportowanie

Cykl życia klucza i obiektu

Tworzenie kopii zapasowej i przywracanie

Operacje na tokenach M-of-N

Oprogramowanie układowe i operacje bezpiecznych aplikacji

Integralność partii i rekordy certyfikatów

Wszystkie rekordy w tej samej partii mają wspólny CorrelationId. Użyj tej wartości, aby skojarzyć rekordy operacji zarządzania modułem HSM z odpowiednimi rekordami podpisów i certyfikatów publicznych.

Pobieranie dzienników operacji modułu HSM na potrzeby weryfikacji podpisu

Pobierz dzienniki operacji HSM jako plik JSON, aby użyć ich do weryfikacji podpisu. Wyeksportowany plik musi zawierać każdy rekord dla każdego uwzględnionego CorrelationId, w tym rekordy podpisu partii i certyfikatu. Nie dodawaj take ani limit do tych zapytań, ponieważ może to wyeksportować niekompletną podpisaną partię.

Pobieranie dzienników z ostatnich siedmiu dni dla zasobu

Zastąp symbole zastępcze wartościami zasobu Cloud HSM i obszaru roboczego Log Analytics. Zapytanie identyfikuje partie, które mają rekordy z ostatnich siedmiu dni, a następnie eksportuje każdy rekord dla tych partii, aby pozostały one kompletne. Filtr _ResourceId jest niewrażliwy na wielkość liter.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
outputFile="./logs/CloudHsmOperationLogsLast7Days.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"
$outputFile = "./logs/CloudHsmOperationLogsLast7Days.json"
$query = @"
let recentBatches =
    CloudHsmHardwareOperationAuditLogs
    | where TimeGenerated >= ago(7d)
    | where _ResourceId =~ "$resourceId"
    | distinct CorrelationId;
CloudHsmHardwareOperationAuditLogs
| where _ResourceId =~ "$resourceId"
| where CorrelationId in (recentBatches)
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Pobierz wszystkie dzienniki dla danego identyfikatora korelacji

Użyj tego zapytania, aby pobrać jedną kompletną podpisaną partię. Wszystkie rekordy, które mają określone CorrelationId, są zapisywane do pliku wyjściowego, niezależnie od ich kolejności.

resourceGroupName="<resource-group>"
workspaceName="<workspace-name>"
correlationId="<correlation-id>"
outputFile="./logs/CloudHsmOperationLogsByCorrelationId.json"

mkdir -p ./logs

workspaceCustomerId=$(az monitor log-analytics workspace show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --query customerId \
  --output tsv)

query=$(cat <<EOF
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
EOF
)

az monitor log-analytics query \
  --workspace "$workspaceCustomerId" \
  --analytics-query "$query" \
  --output json > "$outputFile"

$resourceGroupName = "<resource-group>"
$workspaceName = "<workspace-name>"
$correlationId = "<correlation-id>"
$outputFile = "./logs/CloudHsmOperationLogsByCorrelationId.json"
$query = @"
CloudHsmHardwareOperationAuditLogs
| where CorrelationId == "$correlationId"
"@

New-Item -ItemType Directory -Force -Path "./logs" | Out-Null

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName $resourceGroupName `
  -Name $workspaceName

$response = Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query $query

$response | ConvertTo-Json -Depth 10 | Set-Content -Path $outputFile -Encoding utf8

Następny krok: Weryfikacja podpisu pobranych dzienników

Użyj narzędzi dzienników inspekcji modułu HSM w chmurze Azure, aby zweryfikować integralność i autentyczność pobranych dzienników operacji modułu HSM.

1. Przejdź do repozytorium zestawu SDK modułu HSM w chmurze Microsoft Azure.
2. Otwórz folder Narzędzia .
3. .zip Pobierz pakiet o nazwie AzureCloudHSM-AuditLogUtils.
4. Wyodrębnij pakiet i postępuj zgodnie z dołączonymi instrukcjami, aby zweryfikować sygnatury wsadowe i łańcuch certyfikatów pobranego pliku dziennika.

Treści powiązane

• Azure Cloud HSM - omówienie
• Samouczek: konfigurowanie usługi Event Hubs dla modułu HSM w chmurze Azure
• Wdrażanie modułu HSM w chmurze platformy Azure przy użyciu witryny Azure Portal