Azure Policy 审计日志

Azure Policy 审计日志

Azure Policy 是 Azure 云环境中的核心治理服务，它允许您创建和应用策略来强制组织标准并评估合规性。理解 Azure Policy 的工作原理，以及如何利用其审计日志，对于维护云安全、合规性以及进行有效的云安全治理至关重要。本文旨在为初学者提供对 Azure Policy 审计日志的全面介绍，涵盖其作用、数据内容、访问方法、以及实际应用场景。

什么是 Azure Policy 审计日志？

Azure Policy 审计日志记录了对 Azure Policy 资源本身所做的所有操作。它与活动日志不同，后者记录了 Azure 资源提供程序中的操作。Azure Policy 审计日志记录的是 *对策略定义、初始化、分配和豁免* 所做的更改。换句话说，它记录的是 *谁* 更改了 *什么* 策略，以及 *何时* 更改的。

这对于以下几个方面至关重要：

**合规性审计:** 证明您的策略治理操作符合内部和外部法规要求。
**安全事件调查:** 追踪策略变更，以确定潜在的安全风险或恶意活动。例如，如果一个策略被意外或恶意地修改，审计日志可以帮助您快速识别和修复问题。
**变更管理:** 了解策略配置的演变历史，从而更好地管理和维护您的治理规则。
**责任追溯:** 明确谁对策略更改负责，确保问责制。

审计日志包含哪些信息？

Azure Policy 审计日志包含以下关键信息：

**时间戳:** 记录事件发生的时间。
**操作:** 描述执行的操作，例如“Microsoft.Authorization/policyDefinitions/write”（创建策略定义）、“Microsoft.Authorization/policyAssignments/write”（分配策略）等。
**资源类型:** 指示受影响的资源类型，例如“PolicyDefinitions”、“PolicyAssignments”、“PolicyExemptions”。
**资源名称:** 受影响资源的名称。
**用户:** 执行操作的用户的身份，包括其对象 ID 和用户主体名称 (UPN)。
**Correlation ID:** 用于关联相关事件的唯一标识符。
**变更详情:** JSON 格式的详细信息，描述了所做的具体更改。这对于理解策略更改的影响至关重要。
**IP 地址:** 执行操作的用户的 IP 地址。

Azure Policy 审计日志信息
描述 \|	事件发生的时间 \|	执行的操作类型 \|	受影响的资源类型 \|	受影响资源的名称 \|	执行操作的用户 \|	关联相关事件的标识符 \|	详细的变更信息 (JSON 格式) \|	执行操作的用户的 IP 地址 \|

如何访问 Azure Policy 审计日志？

有几种方法可以访问 Azure Policy 审计日志：

**Azure 门户:** 这是最常用的方法。

   1.  登录到 Azure 门户。
   2.  搜索并选择“活动日志”。
   3.  在筛选器中，选择“服务”为“Policy”。
   4.  您可以进一步筛选日志，例如按时间范围、操作类型或用户。

**Azure Monitor 日志:** Azure Policy 审计日志会自动发送到 Azure Monitor 日志，您可以利用 Kusto 查询语言 (KQL) 进行更高级的分析和查询。这提供了强大的数据挖掘和报告功能。
**Azure CLI:** 您可以使用 Azure CLI 命令来查询审计日志。例如： `az monitor activity-log list --resource-provider Microsoft.Authorization --resource-type PolicyAssignments --start-time 2023-10-26T00:00:00Z --end-time 2023-10-27T00:00:00Z`
**PowerShell:** 您可以使用 PowerShell cmdlet 来访问审计日志。
**Event Hubs:** 可以将审计日志流式传输到 Event Hubs，以便与其他安全信息和事件管理 (SIEM) 系统集成。

使用 Azure Monitor 日志分析审计日志

Azure Monitor 日志提供了强大的工具来分析 Azure Policy 审计日志。以下是一些常见的 KQL 查询示例：

**查找所有策略定义创建事件：**

   ```kql
   AzureActivity
   | where OperationNameValue == "Microsoft.Authorization/policyDefinitions/write"
   ```

**查找特定用户创建的策略分配事件：**

   ```kql
   AzureActivity
   | where OperationNameValue == "Microsoft.Authorization/policyAssignments/write"
   | where Caller == "[email protected]"
   ```

**查找最近 24 小时内发生的策略更改：**

   ```kql
   AzureActivity
   | where TimeGenerated > ago(24h)
   | where ResourceProvider == "Microsoft.Authorization"
   ```

**查找特定策略定义的变更详情：**

   ```kql
   AzureActivity
   | where ResourceType == "PolicyDefinitions"
   | where Resource == "<Policy Definition ID>"
   | extend details = parse_json(Properties_d)
   | project TimeGenerated, OperationName, Caller, details
   ```

通过熟练使用 KQL，您可以从 Azure Policy 审计日志中提取有价值的信息，并将其用于各种安全和治理目的。还可以将这些日志与 Azure Sentinel 集成，以实现更高级的安全分析和威胁检测。