Logs de diagnóstico para perímetro de segurança de rede

Neste artigo, você aprenderá sobre os logs de diagnóstico do Perímetro de Segurança de Rede e como habilitar o registro em log. Você aprenderá sobre as categorias de logs de acesso usadas. Em seguida, você descobrirá as opções para armazenar os logs de diagnóstico e como habilitar o registro em log pelo portal do Azure.

Categorias de logs de acesso

As categorias de logs de acesso de um perímetro de segurança de rede são baseadas nos resultados da avaliação das regras de acesso. As categorias de log escolhidas nas configurações de diagnóstico são enviadas para o local de armazenamento escolhido pelo cliente. Veja a seguir as descrições de cada uma das categorias de log de acesso, incluindo os modos nos quais elas são aplicáveis:

Esquema de log de acesso

Cada recurso de PaaS associado ao perímetro de segurança de rede gera logs de acesso com o esquema de log unificado quando habilitado.

Propriedades específicas do perímetro de segurança de rede

Esta seção descreve as propriedades específicas do perímetro de segurança de rede no esquema de log.

Propriedades da fonte

Propriedades que descrevem a origem da conexão de entrada.

Propriedades de destino

Propriedades que descrevem o destino da conexão de saída.

Entrada de log de exemplo para categorias de entrada

{
  "time" : "{timestamp}",
  "timeGeneratedEndTime" : "{timestamp}",
  "count" : "{countOfAggregatedLogs}",
  "resourceId" : "/SUBSCRIPTIONS/{subsId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYPERIMETERS/{perimeterName}",
  "operationName" : "{PaaSOperationName}" ,
  "operationVersion" : "{api-version}",
  "category" : "{inboundCategory}",
  "location" : "{networksecurityperimeterRegion}",
  "properties" : {
    "serviceResourceId" : "/subscriptions/{paasSubsId}/resourceGroups/{paasResourceGroupName}/providers/{provider}/{resourceType}/{resourceName}",
    "serviceFqdn": "{PaaSResourceFQDN}",
    "accessRulesVersion" : "{accessRulesVersion}",
    "profile" : "{networksecurityperimeterProfileName}",
    "appId" : "{resourceAppId}",
    "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    "matchedRule" : {
      "accessRule" : "{matchedRuleName}",
      },
    "source" : {
      "resourceId" : "/subscriptions/{sourceSubscriptionId}/resourceGroups/{sourceResourceGroupName}/providers/{sourceProvider}/{sourceResourceType}/{sourceResourceName}",
      "ipAddress": "{sourceIPAddress}",
      "perimeterGuids" : ["{sourcePerimeterGuid}"], // Only included if request comes from perimeter
      "appId" : "{sourceAppId}",
      "port" : "{Port}",
      "protocol" : "{Protocol}",
      "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    },
  },
  "resultDescription" : "The static text description of this operation on the PaaS resource. For example, \"Get storage file.\""
}

Entrada de log de exemplo para categorias de saída

{
  "time" : "{timestamp}",
  "timeGeneratedEndTime" : "{timestamp}",
  "count" : "{countOfAggregatedLogs}",
  "resourceId" : "/SUBSCRIPTIONS/{subsId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYPERIMETERS/{perimeterName}",
  "operationName" : "{PaaSOperationName}" ,
  "operationVersion" : "{api-version}",
  "category" : "{outboundCategory}",
  "location" : "{networksecurityperimeterRegion}",
  "properties" : {
    "serviceResourceId" : "/subscriptions/{paasSubsId}/resourceGroups/{paasResourceGroupName}/providers/{provider}/{resourceType}/{resourceName}",
    "serviceFqdn": "{PaaSResourceFQDN}",
    "accessRulesVersion" : "{accessRulesVersion}",
    "profile" : "{networksecurityperimeterProfileName}",
    "appId" : "{resourceAppId}",
    "parameters" : "{{ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    "matchedRule" : {
      "accessRule" : "{matchedRuleName}",
      },
    "destination" : {
      "resourceId" : "/subscriptions/{destSubsId}/resourceGroups/{destResourceGroupName}/providers/{destProvider}/{destResourceType}/{destResourceName}",
      "fullyQualifiedDomainName" : "{destFQDN}",
      "appId" : "{destAppId}",
      "port" : "{Port}",
      "protocol" : "{Protocol}",
      "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    },
  },
  "resultDescription" : "The static text description of this operation on the PaaS resource. For example, \"Get storage file.\""
}

Opções de destino de registro em log para os logs de acesso

Os destinos para armazenar os logs de diagnóstico de um perímetro de segurança da rede incluem serviços como o workspace do Log Analytics (Nome da tabela: NSPAccessLogs), conta de Armazenamento do Azure e Hubs de Eventos do Azure. Para obter a lista completa e os detalhes dos destinos com suporte, consulte Destinos com suporte para os logs de diagnóstico.

Habilitar o log por meio do portal do Azure

Você pode habilitar o registro em log de diagnóstico para um perímetro de segurança de rede usando o portal do Azure nas configurações de diagnóstico. Ao adicionar uma configuração de diagnóstico, você pode escolher as categorias de log que quer coletar e o destino em que quer entregar os logs.

Próximas etapas