Esercitazione: Configurare e interrogare i registri degli eventi operativi per HSM cloud di Azure

Azure cloud HSM supporta la registrazione degli eventi operativi tramite aree di lavoro Log Analytics. Questa funzionalità consente la raccolta, l'analisi e il monitoraggio centralizzati dei log nelle risorse del modulo di protezione hardware cloud.

La registrazione degli eventi operativi è fondamentale per la sicurezza complessiva di un modulo di protezione hardware. Fornisce un record trasparente e non modificabile di tutte le operazioni e di accesso, per garantire responsabilità e tracciabilità.

Acquisendo dettagli come le attività utente, le azioni di gestione delle chiavi e gli eventi di sistema, i log delle operazioni consentono di rilevare l'accesso non autorizzato, analizzare gli eventi imprevisti di sicurezza e rispettare i requisiti normativi. Svolgono anche un ruolo fondamentale nell'identificazione di anomalie che possono indicare potenziali violazioni o configurazioni errate. In questo modo, rafforzano la capacità di un'organizzazione di mantenere l'integrità e la riservatezza delle operazioni crittografiche.

In questa esercitazione, farai:

Prerequisiti

• Un account Azure con una sottoscrizione attiva. È possibile creare un account gratuitamente.
• Una risorsa HSM cloud Azure che hai distribuito, inizializzato e configurato. Per informazioni, vedere la guida per l'integrazione Azure Cloud HSM.

Impostare e configurare i log eventi delle operazioni

Usare i comandi nelle sezioni seguenti per configurare le risorse da monitorare.

Creare un account di archiviazione per archiviare i log del modulo di protezione hardware

Per creare un account di archiviazione per l'archiviazione dei log del modulo di protezione hardware, è prima necessario creare un gruppo di risorse. È anche necessario creare l'account di archiviazione all'interno di tale gruppo di risorse.

az group create --name "<resource-group>" --location "<location>"

az storage account create \
  --name "<storage-account-name>" \
  --resource-group "<resource-group>" \
  --location "<location>" \
  --sku Standard_LRS \
  --kind StorageV2

New-AzResourceGroup -Name "<resource-group>" -Location "<location>"

New-AzStorageAccount `
  -Name "<storage-account-name>" `
  -ResourceGroupName "<resource-group>" `
  -Location "<location>" `
  -SkuName Standard_LRS `
  -Kind StorageV2

Creare un'area di lavoro Log Analytics

Per creare un'area di lavoro Log Analytics per l'archiviazione e l'analisi dei log del modulo di protezione hardware, usare il comando seguente.

az monitor log-analytics workspace create \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>"

New-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>" `
  -Location "<location>"

Per altre informazioni sulla creazione di un'area di lavoro Log Analytics per Monitoraggio di Azure, vedere Creare un'area di lavoro Log Analytics.

Abilitare le impostazioni di diagnostica

Per abilitare le impostazioni di diagnostica per la registrazione degli eventi operativi di Azure Cloud HSM, utilizzare il seguente codice. Sostituire i segnaposto con i valori appropriati per l'ambiente.

resourceId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

storageAccountId="/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

workspaceId="/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

az monitor diagnostic-settings create \
  --resource $resourceId \
  --name "my-chsmAuditLogs" \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --logs '[{"category":"HsmServiceOperations","enabled":true}]'

$resourceId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/<hsm-name>"

$storageAccountId = "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

$workspaceId = "/subscriptions/<subscription-id>/resourcegroups/<resource-group>/providers/microsoft.operationalinsights/workspaces/<workspace-name>"

$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -ResourceId $resourceId `
  -Name "my-chsmAuditLogs" `
  -StorageAccountId $storageAccountId `
  -WorkspaceId $workspaceId `
  -Log $log

Verificare la configurazione della registrazione del modulo di protezione hardware cloud

Dopo aver creato l'impostazione di diagnostica, i log iniziano a passare da uno a due minuti.

È possibile eseguire query sui registri eventi delle operazioni del modulo di protezione hardware cloud dal portale di Azure tramite l'area di lavoro Log Analytics.

È anche possibile eseguire query sui registri eventi delle operazioni del modulo di protezione hardware cloud usando il interfaccia della riga di comando di Azure o Azure PowerShell.

workspaceId=$(az monitor log-analytics workspace show \
  --resource-group "<resource-group>" \
  --workspace-name "<workspace-name>" \
  --query customerId --output tsv)

az monitor log-analytics query \
  --workspace $workspaceId \
  --analytics-query "CloudHsmServiceOperationAuditLogs | take 10"

$workspace = Get-AzOperationalInsightsWorkspace `
  -ResourceGroupName "<resource-group>" `
  -Name "<workspace-name>"

Invoke-AzOperationalInsightsQuery `
  -WorkspaceId $workspace.CustomerId `
  -Query "CloudHsmServiceOperationAuditLogs | take 10"

Errore di registrazione

Se viene visualizzato il messaggio di errore "<subscription> non è registrato per l'uso di microsoft.insights", la sottoscrizione Azure non è registrata per usare il provider di risorse Microsoft.Insights. Per risolvere questo problema, è necessario registrarsi con il provider Microsoft.Insights nella sottoscrizione.

az provider register --namespace Microsoft.Insights

az provider show --namespace Microsoft.Insights --query "registrationState" --output table

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Get-AzResourceProvider -ProviderNamespace Microsoft.Insights | Select-Object ProviderNamespace, RegistrationState

Dopo aver eseguito il comando, assicurarsi che il provider di risorse sia registrato. Se è ancora in fase di registrazione, può essere necessario attendere alcuni istanti e riprovare.

Eseguire query sui log eventi dell'operazione

È possibile usare i comandi seguenti per recuperare eventi dell'operazione HSM specifici registrati nei log delle operazioni. Per elencare tutti gli eventi dell'operazione, è sufficiente eseguire CloudHsmServiceOperationAuditLogs.

Per informazioni dettagliate su altre operazioni su cui è possibile eseguire query, vedere l'elenco completo delle operazioni registrate più avanti in questo articolo.

Eventi di accesso e sessione

// Find login and session events
CloudHsmServiceOperationAuditLogs
| where OperationName in ("CN_LOGIN", "CN_AUTHORIZE_SESSION")
| project OperationName, MemberId, CallerIpAddress, TimeGenerated

Eventi per la creazione e l'eliminazione di utenti

// Find user creation and deletion events 
CloudHsmServiceOperationAuditLogs
| where OperationName in ("CN_CREATE_USER", "CN_DELETE_USER")
| project OperationName, MemberId, CallerIpAddress, TimeGenerated

Eventi per la creazione di chiavi

// Find key creation events
CloudHsmServiceOperationAuditLogs
| where OperationName in ("CN_GENERATE_KEY", "CN_GENERATE_KEY_PAIR")
| project OperationName, MemberId, CallerIpAddress, TimeGenerated

Eventi per l'eliminazione della chiave

// Find key deletion events
CloudHsmServiceOperationAuditLogs
| where OperationName == "CN_TOMBSTONE_OBJECT"
| project OperationName, MemberId, CallerIpAddress, TimeGenerated

Glossario delle operazioni

I nomi seguenti sono correlati agli eventi dell'operazione HSM.

azcloudhsm_util

azcloudhsm_mgmt

Backup e ripristino

Contenuto correlato

• Panoramica di Azure Cloud HSM
• Tutorial: Configurare l'hub eventi per Azure cloud HSM
• Tutorial: Deploy Azure Cloud HSM