Cloudflare のログ、Azure Sentinel に直結できるようになったよ！

こんにちは、しぃちゃんだよ！今日は Cloudflare のログを SIEM(セキュリティ監視基盤)で使っているみんなに嬉しいニュースだよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Logpush から Microsoft Sentinel への統合を担う新しい「Azure Sentinel Connector」が利用可能になったよ。この新コネクタは Microsoft の Codeless Connector Framework(CCF)をベースに作られていて、これまでの Azure Functions ベースのコネクタを置き換えるものなの。

仕組みとしては、Cloudflare の Logpush で Azure Blob Storage にログを送信して、そのログを新しい Sentinel Connector が Microsoft Sentinel に直接取り込む、という流れだよ。

今までどうだったの？

以前は Azure Functions をベースにしたコネクタを使って Cloudflare のログを Sentinel に取り込んでいたの。ただこの方式は、セキュリティ面やデータのコントロールのしやすさ、そして構築・保守のしやすさという点で改善の余地があったみたい。

これで何が変わるの？

今回の CCF ベースのコネクタへの刷新で、主に次の点が良くなったよ。

• 実装のシンプルさ: エンジニアリングチームが構築・保守しやすくなった
• コストコントロール: Data Collection Rules(DCR)に新しく対応し、取り込み時にログをフィルタ・変換できるようになったので、コスト削減につながる可能性がある
• セキュリティ強化: 従来の Azure Functions ベースのコネクタと比べて、CCF はより高いセキュリティレベルを提供する
• Data Lake との統合: Data Lake とのネイティブ統合も含まれている

セキュリティ運用チームにとっては、Cloudflare のエッジで起きていることを Sentinel 側でより安全に、より柔軟なコストで取り込めるようになったのがうれしいポイントだね。

深く潜ってみよう

新しいコネクタは Microsoft のマーケットプレイス(cloudflare.azure-sentinel-solution-cloudflare-ccf)から入手できるよ。導入には、Azure 側で Contributor もしくは Owner ロールを持つサブスクリプションと、既存の Microsoft Sentinel ワークスペース、そして Blob コンテナを持つ Azure Storage アカウントが必要になるの。ストレージアカウントは Sentinel と同じサブスクリプションに置く必要があって、パブリックネットワークアクセスを有効にしておく点も押さえておきたいポイントだよ。

設定の大まかな流れはこんな感じ。

• Cloudflare ダッシュボードの Logpush で、送信先を Azure Blob Storage にしたジョブを作成する(書き込み・作成権限を持つ SAS トークンを発行して設定)
• Azure ポータルの Microsoft Sentinel から Content Hub を開き、「Cloudflare」を検索して CCF ベースのソリューションをインストールする
• Blob コンテナの URL、リソースグループ名、ストレージアカウントのロケーション、サブスクリプション ID などを入力してコネクタを設定する

取り込める対象は HTTP リクエストログで、ClientIP・ClientCountry・EdgeResponseStatus・WAFAction・RayID・WorkerStatus など 80 以上のフィールドがパース・ワークブック表示の対象になっているよ。設定手順や対応ログの詳細は Cloudflare の開発者向けドキュメントにまとまっているから、実際に導入するときはそちらも合わせて確認するのがおすすめだよ。

まとめ

• Logpush と Microsoft Sentinel をつなぐ新しい Azure Sentinel Connector が登場
• Microsoft の Codeless Connector Framework(CCF)ベースになり、従来の Azure Functions ベースのコネクタを置き換え
• Data Collection Rules 対応で取り込み時のログのフィルタ・変換が可能になり、コスト最適化につながる
• セキュリティ強化と Data Lake とのネイティブ統合も実現
• Microsoft マーケットプレイスから入手可能で、Cloudflare の開発者ドキュメントにセットアップ手順や対応ログの詳細が公開されている

Cloudflare のログを Microsoft Sentinel で活用しているセキュリティ運用チームや、これから SIEM 連携を検討しているみんなにとって、乗り換えを検討する価値のあるアップデートだよ！