Saravanagithub10/Azure-CloudGuard

# Azure CloudGuard Azure CloudGuard 是一个 Azure 安全监控与 Incident Response 项目，旨在展示使用 Microsoft Azure 服务进行真实世界云安全操作的流程。该项目模拟了如何使用 Microsoft Sentinel 收集、分析、检测安全事件并实现自动化响应。 # 项目目标 - 配置 Azure Monitor Agent (AMA) - 使用 Data Collection Rules (DCR) 收集 Linux Syslog 日志 - 将日志存储在 Azure Log Analytics Workspace 中 - 在 Microsoft Sentinel 中创建自定义 Analytics Rules - 自动生成 Security Incidents - 使用 Logic Apps 触发自动化响应 - 针对检测到的 Incident 发送邮件通知 - 使用 Kusto Query Language (KQL) 进行调查 # 架构  # 使用的 Azure 服务 | 服务 | 用途 | |----------|----------| | Azure Virtual Machine | 生成 Linux Syslog 日志 | | Azure Monitor Agent | 收集遥测数据 | | Data Collection Rule | 定义日志收集规则 | | Log Analytics Workspace | 存储收集的日志 | | Microsoft Sentinel | SIEM 与 Incident 管理 | | Analytics Rules | 检测可疑活动 | | Automation Rules | 触发响应工作流 | | Logic Apps | 自动化邮件通知 | | Outlook Connector | 发送 Incident 邮件 | # 项目工作流 ``` Linux VM │ ▼ Azure Monitor Agent │ ▼ Data Collection Rule │ ▼ Log Analytics Workspace │ ▼ Microsoft Sentinel │ ▼ Analytics Rule │ ▼ Security Incident │ ▼ Automation Rule │ ▼ Logic App │ ▼ Email Notification ``` # 截图 ## Resource Group  ## Azure Virtual Machine  ## Data Collection Rule  ## Log Analytics Workspace  ## KQL Query 验证  ## Sentinel Analytics Rule  ## Security Incident  ## Automation Rule  ## Logic App  ## Logic App 运行历史  ## 邮件通知  # KQL 验证 Query ``` Syslog | where TimeGenerated > ago(24h) | project TimeGenerated, Computer, Facility, ProcessName, SyslogMessage | order by TimeGenerated desc ``` # 展示的技能 - Microsoft Azure - Microsoft Sentinel - Azure Monitor - Azure Monitor Agent - Data Collection Rules - Log Analytics Workspace - Kusto Query Language (KQL) - Logic Apps - Security Incident 管理 - 云安全监控 - Security Operations (SOC) # 未来改进 - Teams 通知 - Azure Functions 集成 - Defender for Cloud 集成 - Playbook 增强 - 多种 Detection Rules - Threat Intelligence 集成 # 作者 **Saravanan K** 云与 Azure 安全爱好者 LinkedIn: https://linkedin.com/in/saravanankannan10 GitHub: https://github.com/Saravanagithub10

标签：Azure, KQL, Microsoft Sentinel, 安全运营, 扫描框架, 自动化响应