資安SOC監控,相信大家都不陌生,簡單地說,就是把資安設備日誌記錄,如防火牆、入侵偵測系統、網頁應用防火牆、防毒軟體系統及AD等日誌,進行收集、關聯分析,當分析為異常事件後,即發出資安告警,以實施防禦應變措施。
但是,當您已經上Azure雲端後,並不會有這些地端資安設備,取而代之的是使用Azure相關服務來架構雲端安全,而這些雲端服務是要如何來進行資安SOC監控呢?雲端上又有哪些日誌記錄呢?以下我們以Azure雲端環境來說明:
Azure雲端上有哪些記錄?
Azure雲端可用的記錄可分成以下三類:
- 活動記錄
Azure平台操作記錄,可提供訂用帳戶層級事件的深入解析, 例如:修改資源或啟動虛擬機器時的資訊,通常可以做為稽核使用,讓我們知道誰(Who)在什麼時間(When)做什麼事(What)。 - Azure AD記錄
包含登入Azure平台活動的歷程記錄,以及在特定使用者的 Azure Active Directory中所做變更的稽核記錄,例如:一週內有多少使用者登入?登入的狀態為何?和從哪裡登入。 - 資源記錄
資源記錄的內容會依 Azure服務和資源類型而有所不同,例如儲存體帳戶、網路安全群組等有資源記錄。
如何收集、保留及分析
根據您的監控分析需求,將Azure記錄傳送到不同目的地,以作為分析或保留用途,您可藉由建立診斷設定來設定記錄檔傳送到三個不同目的地。
- Log Analytics工作區
適用於使用Azure原生分析服務,例如Sentinel SIEM、監視器、網路監看員。 - Event Hub(事件中樞)
適用於將記錄資料傳送到Azure外部,例如協力廠商SIEM或其他Log Analytics 解決方案。 - Azure儲存體
適用於將記錄封存以進行稽核或長期保留,Azure記錄預設上不會留存太久。
Azure雲端記錄傳送、分析、計費模式
計費模式依不同傳送和分析會有不同,主要是資料量來計價,會有傳送(擷取)加上分析(目的地)資料量,計價有兩種,每GB的Pay as you go (PAYG) 的計價,和承諾量的計價。
我們以下表來說明:
透過Azure Sentinel作資安SOC監控,以PAYG的計價,每GB為$168/GB,如以每月承諾量100GB,每GB為$116/GB,每GB單價降低,適用於每月資料量至少100GB。給外部協力廠商資安SOC監控,以ArcSight SIEM為例,費用上有Event Hub、流量費和部署前端收集器SmartConnect的Functions服務費用。當然這不包括外部協力廠商的SOC服務費用。只有封存記錄不作分析,費用上只有Blob儲存費。 *表中價格數字僅供參考,實際價格以Azure價格為主。
Azure SIEM介紹 - Sentinel
Azure Sentinel 是一項雲端原生安全性資訊與事件管理員(SIEM)平台,除了Azure記錄來源外,還可使用CEF和Syslog等開放標準格式來收集分析任何來源資料,例如內部部署的記錄來源,使用內建AI來協助快速分析,並針對警示偵測、威脅可見性、主動式搜捕及回應威脅提供單一解決方案。詳細說明請參考Azure Sentinel介紹。
結語
上述以Azure雲端記錄傳送、分析、計費模式,讓您了解到如何做到雲端資安監控,而這只是雲端安全的其中一部分,旨在幫助您的雲端更安全,若想知道更多或有架構雲端安全的需求,請與我們聯繫。