概要
Cloud SIEM は、Datadog で処理されたすべてのログに検出ルールを適用し、標的型攻撃や脅威インテリジェンスに記載された IP がシステムと通信している、あるいは安全でないリソース変更などの脅威を検出します。この脅威は、トリアージするためにセキュリティシグナルエクスプローラーでセキュリティシグナルとして表面化されます。
このガイドでは、Azure Platform のログから脅威の検出を開始できるように、Datadog にログを送信するための Microsoft Azure の構成を説明します。
Azure Native インテグレーション (Datadog の US3 サイトのお客様向け) には、ログ収集の設定手順が異なります。Azure Native インテグレーションを使用する場合は、Datadog サイトドロップダウンメニューで
US3 を選択し、
Microsoft Azure ログ収集の指示に従ってください。
下のボタンをクリックし、Azure ポータルのフォームに記入してください。フォームを完了すると、アクティビティログを Datadog アカウントに送信するために必要な Azure リソースが、お客様のためにデプロイされます。
- 既存のリソースグループを選択するか、新規に作成します。
- リージョンを選択します。
- Send Activity Logs は true を選択します。
- Datadog API キーを入力します。
- リソースの名前を入力します。詳しくは、オプションパラメーターをご覧ください。
- Create + review をクリックします。
- 検証後、Create をクリックします。
デプロイが正常に完了したら、ログエクスプローラーで検索クエリに service:azure
と入力し、Azure のログを表示します。
このセクションでは、Azure Platform のログを Datadog に送信できるように、手動インストールのステップを説明します。
- リソースグループの作成
- Event Hubs ネームスペースの作成
- Azure イベントハブの作成
- Azure Function アプリの作成
- Function アプリに新しい関数を追加する
- Azure サービスのログをイベントハブに転送する
リソースグループの作成
既存のリソースグループを使用する場合は、Event Hubs ネームスペースの作成に進んでください。
- Azure Resource groups ページに移動します。
- 作成をクリックします。
- リソースグループの名前を入力します。
- オプションで、タグを追加したい場合は、Next: Tags をクリックします。
- Review + create をクリックします。
- 検証後、Create をクリックします。
Event Hubs ネームスペースの作成
- Azure Event Hubs に移動します。
- 作成をクリックします。
- Resource group ドロップダウンメニューで、Event Hub を追加するリソースグループを選択します。
- ネームスペースの名前を入力します。
- ネームスペースの場所を選択します。
注: Event Hub とログの送信元となるリソースは同じ場所になければなりません。アクティビティログや他のアカウント全体のログソースは、その限りではありません。
- 価格帯を選択します。
- スループットユニット (スタンダードティアの場合) またはプロセッシングユニット (プレミアムティアの場合) はそのままにしておいてください。
- Review + create をクリックします。
- 検証に成功したら、Create をクリックします。
- デプロイが正常に完了したら、Go to resource をクリックします。
イベントハブの作成
- 先ほど作成した Event Hubs ネームスペースで、+ Event Hub をクリックします。
- イベントハブの名前を入力します。
- オプションで、パーティションカウントと保持オプションを構成します。
- Review + create をクリックします。
- 検証に成功したら、Create をクリックします。
Azure Function アプリの作成
新しい Function アプリを作成します。既存の関数アプリを使用している場合は、Function アプリに新しい関数を追加するに進んでください。
- Function アプリに移動します。
- 作成をクリックします。
- 関数アプリのリソースグループを選択します。
- 関数アプリの名前を入力します。
- コードにデプロイする場合は選択のままにしてください。
- Runtime stack ドロップダウンメニューで、Node.js を選択します。
- 関数アプリのリージョンを選択します。
- オペレーティングシステムとプランタイプを選択します。
- Next: Storage をクリックします。
- ドロップダウンメニューで、ストレージアカウントを選択します。
- Review + create をクリックします。
- 検証に成功したら、Create をクリックします。
- デプロイが正常に完了したら、Create a function をクリックします。
Function アプリに新しい関数を追加する
- 既存のものを使用している場合は、関数アプリに移動します。左サイドメニューの ** Functions** をクリックします。
- 作成をクリックします。
- Azure Event Hub trigger を選択します。
- 新しい関数の名前を入力します。
- Event Hub connection で、New をクリックします。
- Event Hub connection ドロップダウンメニューで、先に作成したイベントハブを選択します。
- OK をクリックします。
- Event Hub name には、先ほど作成したイベントハブの名前を入力します。
- 作成をクリックします。
Datadog Azure 関数を追加する
- 新しい関数で、左側のメニューから Code + Test を選択します。
- Datadog-Azure 関数コードをコピーして
index.js
ファイルに貼り付けてください。 - 関数コードの 22 行目の
<DATADOG_API_KEY>
をお使いの Datadog API に置き換えてください。 - Datadog US1 サイトを使用していない場合は、関数コードの 23 行目で
DD_SITE
を Datadog サイトパラメーターに置き換えてください。 - Save をクリックします。
- 左サイドメニューの Integrations をクリックします。
- Azure Event Hubs をクリックします。
Event parameter name
を eventHubMessages
に設定しますEvent Hub Cardinality
は、Many
に設定する必要があります。Event Hub Data Type
を empty に設定します。- Save をクリックします。
- 関数を実行し、Datadog ログエクスプローラーでテストメッセージをチェックし、設定が正しいことを確認します。テストログイベントは、有効な JSON 形式である必要があります。例:
{
is_test:true,
name: "Datadog Test"
}
Azure サービスのログを Event Hub に転送する
Activity ログを Event Hub に転送する
- Azure Activity ログに移動します。
- Export Activity Logs をクリックします。
- Add diagnostic settings をクリックします。
- 診断設定の名前を入力します。
- Datadog に送信するログのカテゴリーを選択します。
- Stream to an event hub を選択します。
- 先に作成したイベントハブネームスペースを選択します。
- Save をクリックします。
リソースログを Event Hub に転送する
- リソースログを送信するリソースに移動します。
- 左サイドメニューの Monitor の下にある、Diagnostic settings をクリックします。
- Add diagnostic setting をクリックします。
- 診断設定の名前を入力します。
- allLogs を選択します。
- Destination details セクションで、Stream to an event hub を選択します。
- 先に作成したイベントハブネームスペースを選択します。
- Save をクリックします。
ログエクスプローラーで検索クエリに service:azure
と入力し、Azure のログを表示します。
Cloud SIEM でセキュリティシグナルのトリアージを行う
Cloud SIEM は、設定した Azure Platform ログを含む、処理されたすべてのログに対して、すぐに検出ルールを適用します。検出ルールで脅威が検出されると、セキュリティシグナルが生成され、セキュリティシグナルエクスプローラーで確認することができます。
- Cloud SIEM シグナルエクスプローラーにアクセスして、脅威の表示とトリアージを行います。詳細はセキュリティシグナルエクスプローラーをご覧ください。
- ログに適用されるすぐに使える検出ルールをご覧ください。
- 新しいルールを作成し、特定のユースケースにマッチした脅威を検出することができます。
その他の参考資料