Naplók gyűjtése szövegfájlokból az Azure Monitor-ügynökkel és a Microsoft Sentinelbe való betöltéssel

Ez a cikk azt ismerteti, hogyan használhatja az egyéni naplókat az AMA-összekötőn keresztül a naplók gyors szűrésére és betöltésére szöveges fájlformátumban a Windows vagy Linux rendszerű gépekre telepített hálózati vagy biztonsági alkalmazásokból.

Számos alkalmazás naplózza az adatokat szöveges fájlokba a szokásos naplózási szolgáltatások, például a Windows eseménynapló vagy a Syslog helyett. Az Azure Monitor Agent (AMA) használatával nem szabványos formátumú szövegfájlokban gyűjthet adatokat Windows és Linux rendszerű számítógépekről. Az AMA a gyűjtés során az adatokon végzett átalakításokat is képes befolyásolni, hogy azokat különböző mezőkbe elemezhesse.

Azokról az alkalmazásokról, amelyekhez a Microsoft Sentinel a naplógyűjtést támogató megoldásokkal rendelkezik, további információt az AMA-adatösszekötőn keresztüli egyéni naplók – Adatbetöltés konfigurálása adott alkalmazásokból a Microsoft Sentinelbe című témakörben talál.

Az egyéni naplók szövegfájlokból való betöltésével kapcsolatos általános információkért lásd : Naplók gyűjtése szövegfájlból az Azure Monitor-ügynökkel.

Előfeltételek

A kezdés előtt konfigurálnia kell az erőforrásokat és a megfelelő engedélyeket az ebben a szakaszban leírtak szerint.

A Microsoft Sentinel előfeltételei

• Telepítse az alkalmazásnak megfelelő Microsoft Sentinel-megoldást, és győződjön meg arról, hogy rendelkezik a jelen cikkben ismertetett lépések végrehajtásához szükséges engedélyekkel. Ezeket a megoldásokat a Microsoft Sentinel Tartalomközpontjában találja, és mindegyik tartalmazza az egyéni naplókat az AMA-összekötőn keresztül.

  Azoknak az alkalmazásoknak a listáját, amelyek megoldásokkal rendelkeznek a tartalomközpontban, tekintse meg az alkalmazásonkénti konkrét utasításokat. Ha nem érhető el megoldás az alkalmazáshoz, telepítse az egyéni naplókat az AMA-megoldáson keresztül.

  További információ: A Microsoft Sentinel beépített tartalmainak felderítése és kezelése.

• Rendelkezik azure-fiókkal az alábbi Azure-szerepköralapú hozzáférés-vezérlési (Azure RBAC-) szerepkörökkel:

  Beépített szerepkör	Hatókör	Ok
  - Virtuális gépek közreműködője - Azure Csatlakoztatott gép    Erőforrás-rendszergazda	Virtuális gépek (VM) Virtual Machine Scale Sets Azure Arc-kompatibilis kiszolgálók	Az ügynök üzembe helyezése
  Minden olyan szerepkör, amely tartalmazza a műveletet Microsoft.Resources/deployments/*	Előfizetés Erőforráscsoport Meglévő adatgyűjtési szabály	Azure Resource Manager-sablonok üzembe helyezése
  Figyelési közreműködő	Előfizetés Erőforráscsoport Meglévő adatgyűjtési szabály	Adatgyűjtési szabályok létrehozása vagy szerkesztése

A naplótovábbító előfeltételei

Egyes egyéni alkalmazások zárt berendezéseken vannak üzemeltetve, amelyek szükségessé teszik a naplók külső naplógyűjtőnek/továbbítónak való küldését. Ilyen esetben a következő előfeltételek vonatkoznak a naplótovábbítóra:

• A naplók gyűjtéséhez rendelkeznie kell egy kijelölt Linux rendszerű virtuális géppel, mint naplótovábbítóval.

  • Linux rendszerű virtuális gép létrehozása az Azure Portalon.
  • Támogatott Linux operációs rendszerek az Azure Monitor Agenthez.

• Ha a naplótovábbító nem Azure-beli virtuális gép, akkor az Azure Arc Connected Machine-ügynököt kell telepíteni.

• A Linux-naplótovábbító virtuális gépnek telepítve kell lennie a Python 2.7-nek vagy 3-nak. Az ellenőrzéshez használja a python --version vagy python3 --version a parancsot. Ha Python 3-at használ, győződjön meg arról, hogy a gép alapértelmezett parancsaként van beállítva, vagy a python helyett a "python3" paranccsal futtathat szkripteket.

• A naplótovábbítónak engedélyeznie kell a démont vagy rsyslog a syslog-ng démont.

• A naplótovábbító helykövetelményeiért tekintse meg az Azure Monitor-ügynök teljesítménymutatóját. Ezt a blogbejegyzést is áttekintheti, amely skálázható betöltési terveket is tartalmaz.

• A naplóforrásokat, biztonsági eszközöket és berendezéseket úgy kell konfigurálni, hogy a naplóüzeneteiket a naplótovábbító syslog démonjának küldjék el a helyi syslog démon helyett.

Gépbiztonsági előfeltételek

Konfigurálja a naplótovábbító gép biztonságát a szervezet biztonsági szabályzatának megfelelően. Konfigurálja például a hálózatot úgy, hogy megfeleljen a vállalati hálózati biztonsági szabályzatnak, és módosítsa a démon portjait és protokolljait a követelményeknek megfelelően. A gép biztonsági konfigurációjának javítása érdekében biztonságossá teheti a virtuális gépet az Azure-ban, vagy áttekintheti a hálózati biztonságra vonatkozó ajánlott eljárásokat.

Ha az eszközök azért küldenek naplókat TLS-en keresztül, mert például a naplótovábbító a felhőben van, konfigurálnia kell a syslog démont (rsyslog vagy syslog-ng) a TLS-ben való kommunikációhoz. További információk:

• Syslog-forgalom titkosítása TLS használatával – rsyslog
• Naplóüzenetek titkosítása TLS használatával – syslog-ng

Az adatösszekötő konfigurálása

Az egyéni naplók AMA-adatösszekötőn keresztüli beállítási folyamata a következő lépéseket tartalmazza:

1. Hozza létre a céltáblát a Log Analyticsben (vagy speciális vadászatban, ha a Defender portálon van).

   A tábla nevének végződnie kell _CL , és csak a következő két mezőből állhat:

   • TimeGenerated (DateTime típusú): a naplóüzenet létrehozásának időbélyege.
   • RawData (karakterlánc típusú): a naplóüzenet teljes egészében.
     (Ha naplókat gyűjt egy naplótovábbítótól, és nem közvetlenül az alkalmazást üzemeltető eszközről, nevezze el ezt a mezőt Üzenet a RawData helyett.)

2. Telepítse az Azure Monitor-ügynököt, és hozzon létre egy adatgyűjtési szabályt (DCR) az alábbi módszerek valamelyikével:

   • Azure vagy Defender portál
   • Azure Resource Manager-sablon

3. Ha naplókat gyűjt egy naplótovábbító használatával, konfigurálja a syslog démont a gépen, hogy más forrásokból érkező üzeneteket hallgasson, és nyissa meg a szükséges helyi portokat. További információ: A naplótovábbító konfigurálása a naplók elfogadásához.

Válassza ki a megfelelő lapot az utasításokhoz.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Naplók elfogadására konfigurálja a naplótovábbítót

Ha naplókat gyűjt egy berendezésből egy naplótovábbító használatával, konfigurálja a naplótovábbító syslog démonját, hogy figyelje a többi gép üzeneteit, és nyissa meg a szükséges helyi portokat.

1. Másolja ki a következő parancssort:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. Jelentkezzen be a naplótovábbító gépre, ahol most telepítette az AMA-t.

3. Illessze be az utolsó lépésben másolt parancsot a telepítési szkript elindításához.
   A szkript konfigurálja a rsyslog syslog-ng démont a szükséges protokoll használatára, és újraindítja a démont. A szkript megnyitja az 514-ös portot, hogy az UDP- és TCP-protokollokban is figyelje a bejövő üzeneteket. A beállítás módosításához tekintse meg a syslog démon konfigurációs fájlját a számítógépen futó démontípusnak megfelelően:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Ha Python 3-at használ, és nincs beállítva alapértelmezett parancsként a gépen, helyettesítse python3 python a beillesztett parancsot. Lásd a naplótovábbító előfeltételeit.

   Feljegyzés

   A teljes lemezes forgatókönyvek elkerülése érdekében, ha az ügynök nem tud működni, javasoljuk, hogy állítsa be a syslog-ng rsyslog konfigurációt a szükségtelen naplók tárolására. A teljes lemezes forgatókönyv megzavarja a telepített AMA működését. További információ: RSyslog vagy Syslog-ng.

A biztonsági eszköz vagy berendezés konfigurálása

A biztonsági alkalmazás vagy berendezés konfigurálására vonatkozó konkrét utasításokért lásd : Egyéni naplók az AMA-adatösszekötőn keresztül – Adatbetöltés konfigurálása a Microsoft Sentinelnek adott alkalmazásokból

További információért forduljon a megoldásszolgáltatóhoz, vagy ha az információ nem érhető el a berendezéshez vagy az eszközhöz.

Kapcsolódó tartalom

• Adatgyűjtési szabályok az Azure Monitorban
• Naplók gyűjtése szövegfájlból az Azure Monitor-ügynökkel