More than 5 years have passed since last update.

Check! Azure オートメーションランブックで OMS Search API を利用する (和訳)

Posted at 2015-07-22

Prologue - はじめに

気分転換に、久々にクイック和訳してみました。

[訳] Azure オートメーションランブックでの OMS Search API の有効利用

Leveraging the OMS Search API in an Azure Automation Runbook

The availability of the OMS Search API has enabled automation scenarios which involves alerting, notification and potential remediation based on log analytics data in Operations Management Suite (OMS).

"OMS search API の利用は、Operations Management Suite (OMS) のログ分析データに基づいたアラートや通知、潜在的な改善に関するオートメーションのシナリオを可能にします。"

In this blog post we will talk about a sample scenario for monitoring a honeypot account with an Azure Automation runbook . This runbook checks if someone has attempted to logon with this account on a specific server. A honeypot account is often used to entice malicious attackers to use a specific account for which monitoring is setup. In addition we will also look into using a Hybrid Runbook Worker for not only leveraging my on-premises resources, but also to overcome potential challenges when there is no PowerShell module to upload to Azure Automation.

"この記事では、Azure オートメーションランブックを用いて、ハニーポットアカウントを監視するサンプルのシナリオについてお話します。

このランブックは、誰かがこのアカウントで特定のサーバーにログオン未遂したかどうかをチェックします。このハニーポットアカウントは、悪意のある攻撃者を監視が設定された特定のアカウントを使わせるようにおびき寄せるために使われます。

加えて、ハイブリッドのランブックワーカーがオンプレミスのリソースに対して有効なだけでなく、Azure オートメーションにアップロードするためのPowerShellモジュールがない場合の潜在的な課題に対処することができることを確認することもできます。"

Our runbook will talk to the OMS Search API and is able to execute searches or can retrieve the results of a saved search. Based on the query results we can decide to take corrective actions or to invoke other runbooks for alerting and notification purposes. During conversations with customers we have been asked many times if OMS has similar System Center Operations Manager (SCOM) task integration to take actions based on OMS search query results. This blog post enables you to explore those options. One thing to point out though is that when using SCOM, the agent locally checks for a certain condition to be true and acts upon that, while in the OMS scenario the information gets sent to OMS first, is indexed and analyzed so that we can query against that data.

"私たちのランブックは、OMS Search API を用いて、検索を実行したり、その保存された検索の結果を収集することができます。このクエリーの結果に基づいて、私たちは見直しを行ったり、アラートや通知の目的のために他のランブックを実施することを決めることができます。

顧客との対話の間に、OMS は OMS searchの検索結果に基づいたアクションを行うための System Center Operations Manager (SCOM) のタスク連携と同じようなものなのかと、何度も聞かれます。

この記事で、あなたはこれらのオプションについて検討できるようになるでしょう。

注目すべきことのひとつは、SCOM を用いる場合でも、そのエージェントはある条件が true になるかローカルでチェックし、その上で動作し、OMS シナリオを実施している間、OMSに最初に送信されたその情報はインデックス化され、分析されるため、私たちはそのデータに対して検索することができるのです。"

As mentioned in the OMS Search API announcement you have three different options to leverage the API:

Library for .NET
REST API
ARMClient
In this blog post I’m going to use the ARMClient which you can download from Github. The ARMClient cannot really be used as a PowerShell module “as is” and uploaded to Azure Automation. This however is a great opportunity to test the Azure Automation Hybrid Runbook Worker which can overcome this challenge because the runbook is executed locally and has therefore access to local resources like our ARMClient.

"OMS Search API のアナウンスで触れられているように、このAPIを利用するには3つの異なるオプションがあります。

この記事では、GitHub からダウンロードできる ARMClient を利用します。

この ARMClient は、本当は PowerShell モジュールそのものとして使えたり、Azure オートメーションにアップロードできるものではありません。しかし、このランブックはローカルで実行されるため、私たちの ARMClient のように(Azureで使われているように)ローカルリソースにアクセスすることができます。これにより、前述の課題を解決することができる Azure オートメーションのハイブリッドのランブックワーカーをテストするのによい機会となります。"