Azure Monitor позволяет обнаруживать угрозы безопасности и реагировать на них

Azure Monitor - это не просто инструмент телеметрии производительности - это основная линия защиты для организаций, работающих с рабочими нагрузками в Microsoft Azure. Благодаря постоянному сбору и анализу данных из всей среды Azure, он позволяет командам безопасности обнаруживать аномалии, расследовать инциденты и реагировать на угрозы с облачной скоростью. В этой статье рассматривается, как эффективно использовать Azure Monitor для обнаружения угроз безопасности и реагирования, от настройки всеобъемлющего журнала до автоматизации рабочих процессов восстановления.

Посмотреть Azure Monitor

Azure Monitor - это услуга, охватывающая всю платформу, которая предоставляет единую стеклянную панель для мониторинга ресурсов Azure, приложений и локальных сред (через подключенные агенты). Его архитектура опирается на четыре основных столпа:

• Метрика — Численные данные временных рядов (например, процент процессора, диск IOPS), которые поддерживают обнаружение трендов в режиме реального времени.
• Logs — структурированные или свободные текстовые данные, собранные из ресурсов, приложений и операционных систем, анализируемые с помощью Kusto Query Language (KQL).
• Диагностика — журналы платформенного уровня от сервисов Azure, включая журналы активности (события контрольной плоскости) и журналы ресурсов (события плоскости данных).
• Insights — специально созданный опыт для мониторинга приложений, виртуальных машин, контейнеров и сетей.

Для обнаружения безопасности рабочее пространство Log Analytics является центральным хранилищем, где сходятся все эти данные. Каждое предупреждение, рабочая книга и правило автоматизации взаимодействуют с этим рабочим пространством, что делает его конфигурацию основой эффективной стратегии обнаружения угроз.

Как Azure Monitor отличается от Azure Sentinel

В то время как Azure Monitor превосходит телеметрию на уровне ресурсов, Azure Sentinel является специализированным решением для управления информацией и событиями в области безопасности (SIEM), построенным на основе журналов Azure Monitor. Многие организации используют оба: Azure Monitor обеспечивает оперативный мониторинг безопасности и автоматизированный ответ на известные шаблоны, в то время как Sentinel добавляет интеллект угроз, аналитику поведения пользователей и организаций (UEBA) и расширенное управление инцидентами. Для целей этой статьи мы фокусируемся на случаях использования безопасности, достижимых непосредственно в Azure Monitor, признавая, что Sentinel может расширить эти возможности, когда это необходимо.

Ключевые особенности обнаружения угроз безопасности

Для эффективного обнаружения и реагирования на угрозы необходимо четкое понимание функций Azure Monitor, связанных с безопасностью. Каждый из них играет определенную роль в жизненном цикле обнаружения-ответа.

Log Analytics и KQL

Log Analytics - это механизм запросов, который позволяет вам искать терабайты данных журнала за секунды. Например, запрос на поиск всех неудачных попыток входа в систему в последний час может выглядеть следующим образом:

SigninLogs
| where ResultType == "50057" // User account is disabled
| where TimeGenerated > ago(1h)
| project UserPrincipalName, IPAddress, TimeGenerated

KQL обеспечивает работу каждой книги, предупреждения и панели мониторинга в Azure Monitor. Аналитики безопасности должны тратить время на изучение общих шаблонов запросов для попыток грубой силы, необычных геолокаций, эскалации привилегий и эксфильтрации данных.

Группы оповещений и действий

Оповещения в Azure Monitor являются основным механизмом обнаружения угроз в режиме реального времени. Вы можете создавать правила оповещения на основе результатов поиска журналов (Log Alerts), метрических порогов (Metric Alerts) или событий журнала активности. Каждое правило связано с группой действий - набор действий по уведомлению и автоматизации, таких как электронная почта, SMS, веб-хук, создание билетов ITSM или выполнение рутинной книги Azure Automation.

Для сценариев безопасности используйте оповещения о логинах с частотными настройками до одной минуты. Например, предупреждение, которое запускает, когда в течение пяти минут происходит более десяти неудачных входов с разных IP-адресов, может указывать на распределенную атаку спрея пароля.

Рабочие книги и панели инструментов

Рабочие книги Azure Monitor предоставляют интерактивные, параметризированные отчеты, которые визуализируют данные безопасности. Центр операций по безопасности (SOC) может создать рабочую книгу, которая отображает количество предупреждений высокой степени тяжести в режиме реального времени, IP-адреса верхнего источника и графики временных рядов аномальных логинов. Рабочие книги поддерживают совместную работу команды и могут быть разделены по подпискам.

Интеграция с Microsoft Defender для облачных вычислений

Microsoft Defender for Cloud (ранее Azure Security Center и Azure Defender) отправляет свои предупреждения и рекомендации по безопасности непосредственно в журналы Azure Monitor Logs. Это означает, что вы можете писать кросс-ресурсные запросы, которые объединяют результаты Defender for Cloud (например, «Подозрительный процесс выполнен») с необработанными журналами VM (например, события ProcessCreate).

Автоматизация счетов и ручек

Важнейшей частью ответа является скорость. Беглецы Azure Automation (скрипты PowerShell или Python) могут быть вызваны оповещениями о немедленных действиях — например, изолирование скомпрометированной виртуальной машины путем применения правила сетевой безопасности или отключение учетной записи пользователя в Azure Active Directory. В сочетании с группами действий, рунбуки позволяют полностью автоматизированные игровые книги, которые выполняются в течение нескольких секунд после обнаружения.

Обнаружение угроз безопасности с помощью Azure Monitor

Эффективное обнаружение угроз зависит от сбора правильных данных и написания интеллектуальных запросов. Ниже приведены ключевые шаги и общие схемы атак, которые вы можете раскрыть.

Конфигурация сбора данных

Прежде чем что-либо обнаружить, необходимо собрать журналы из всех соответствующих источников:

• Виртуальные машины — Установите Azure Monitor Agent (AMA) на виртуальных машинах Windows и Linux. Включите сбор журналов событий Windows (Security, System, Application) и Linux Syslog. Для Linux рассмотрите возможность сбора проверенных журналов для активности пользователей.
• Azure Resources — Настройка диагностических настроек для каждой службы (например, баз данных Azure SQL, Key Vault, Storage Accounts) для потоковой передачи журналов в рабочее пространство Log Analytics.
• Группы сетевой безопасности — Включите журналы потоков NSG и отправьте их в рабочее пространство через интеграцию Network Watcher. Эти журналы показывают, кто подключился к вашим ресурсам и откуда.
• Azure Active Directory — Поток журналов входа в систему, журналов аудита и журналов предоставления в рабочее пространство.
• Приложения — Используйте Application Insights для сбора HTTP-ошибок, шаблонов вызовов зависимостей и отслеживания пользовательских событий. Необычный всплеск ошибок может сигнализировать об атаке DoS или вставке учетных данных.

KQL-запросы для общих угроз

После того, как данные будут поступать, создайте библиотеку запросов KQL, которые нацелены на сигналы высокой точности. Вот три практических примера:

Пример 1: Нападение грубой силы на RDP/SSH

Event
| where TimeGenerated > ago(10m)
| where EventID == 4625 // Failed logon on Windows
| summarize FailedAttempts = count() by Account, Computer, SourceIP = IpAddress
| where FailedAttempts > 5

Для Linux SSHD: объедините записи Syslog с функцией «автомат» и сообщением, содержащим «Неверный пароль».

Пример 2: Исходящая эксфильтрация данных через аномальный трафик

Объедините журналы потоков NSG с индикаторами Threat Intelligence:

AzureNetworkAnalytics_CL
| where FlowType_s == "FlowEvent"
| where FlowDirection_s == "Outbound"
| where FlowStatus_s == "Allowed"
| where TimeGenerated > ago(1h)
| join kind=inner (
 ThreatIntelligenceIndicator
 | where Active == true
 ) on $left.DestinationIP_s == $right.NetworkIP
| project TimeGenerated, SourceIP_s, DestinationIP_s, Bytes_s, NetworkIP, ThreatType

Для этого настройте индикаторы Threat Intelligence с помощью API Threat Intelligence — Upload Indicators или интегрируйте их со сторонними каналами.

Пример 3: Эскалация привилегий с помощью динамической обработки Suspicious PowerShell

Event
| where TimeGenerated > ago(1d)
| where EventID == 4688 // Process creation
| where CommandLine contains "powershell"
| where CommandLine contains "-EncodedCommand" or CommandLine contains "-WindowStyle Hidden"
| project TimeGenerated, Computer, UserName, CommandLine

Настройка Smart Alerts

Избегайте усталости от оповещения, настраивая свои правила. Используйте динамические пороги для метрических оповещений (например, пики исходящего трафика более 3 стандартных отклонений выше базового уровня). Для оповещений о входе в систему рассмотрите возможность использования обычного поиска журналов с частотой каждые одну или пять минут. Установите уровни серьезности: «Sev 0» для подтвержденных атак (например, предупреждение, которое соответствует известному показателю C2), «Sev 1» для подозрительного поведения, которое требует расследования (например, 5 неудавшихся входов в систему за 2 минуты с нового IP).