VMware vCenter-Connector für Microsoft Sentinel

  • Artikel

Mit dem vCenter-Connector können Sie Ihre vCenter-Serverprotokolle auf einfache Weise mit Microsoft Sentinel verbinden. So erhalten Sie einen besseren Einblick in die Rechenzentren Ihrer Organisation und können Ihre Sicherheitsprozesse verbessern.

Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.

Connectorattribute

Connectorattribut BESCHREIBUNG
Log Analytics-Tabellen vCenter_CL
Unterstützung für Datensammlungsregeln Derzeit nicht unterstützt
Unterstützt von Microsoft Corporation

Abfragebeispiele

Ereignisse gesamt nach Ereignisname

vCenter 

| summarize count() by EventType

An-/Abmelden bei vCenter Server

vCenter 

| where EventType in ('UserLogoutSessionEvent','UserLoginSessionEvent') 

| summarize count() by EventType,EventID,UserName,UserAgent 

| top 10 by count_

Installationsanweisungen des Anbieters

HINWEIS: Damit dieser Datenconnector wie erwartet funktioniert, ist er von einem Parser abhängig, der auf einer Kusto-Funktion basiert, die als Teil der Lösung bereitgestellt wird. Um den Funktionscode in Log Analytics anzuzeigen, öffnen Sie das Blatt „Log Analytics/Microsoft Sentinel-Protokolle“, klicken Sie auf „Functions“, suchen Sie nach dem Alias „VMware vCenter“, und laden Sie den Funktionscode, oder klicken Sie hier. Geben Sie in der zweiten Zeile der Abfrage die Hostnamen Ihrer VMware vCenter-Geräte und alle anderen eindeutigen Bezeichner für den Protokollstream ein. Die Aktivierung der Funktion dauert in der Regel 10 bis 15 Minuten nach der Installation/Aktualisierung der Lösung.

  1. Wenn Sie die vCenter-Lösung von ContentHub nicht installiert haben, führen Sie diese Schritte aus, um den Kusto-Funktionsalias vCenter zu verwenden.
  1. Installieren und Onboarding des Agents für Linux

In der Regel sollten Sie den Agent auf einem anderen Computer als dem installieren, auf dem die Protokolle generiert werden.

Syslog-Protokolle werden nur von Linux-Agents gesammelt.

  1. Konfigurieren der zu erfassenden Protokolle

Führen Sie die folgenden Konfigurationsschritte aus, um vCenter-Serverprotokolle in Microsoft Sentinel abzurufen. Weitere Informationen zu diesen Schritten finden Sie in der Azure Monitor-Dokumentation. Bei vCenter Server-Protokollen treten beim Analysieren der Daten durch OMS-Agent-Daten mit den Standardeinstellungen Probleme auf. Daher empfehlen wir, die Protokolle mithilfe der folgenden Anweisungen in der benutzerdefinierten Tabelle vCenter_CL zu erfassen.

  1. Melden Sie sich bei dem Server an, auf dem Sie den OMS-Agent installiert haben.

  2. Laden Sie die Konfigurationsdatei herunter: vCenter.conf wget -v https://aka.ms/sentinel-vcenteroms-conf -O vcenter.conf.

  3. Kopieren Sie vcenter.conf in diesen Ordner: /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp vcenter.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Bearbeiten Sie vcenter.conf wie folgt:

    a. vcenter.conf verwendet standardmäßig Port 22033. Stellen Sie sicher, dass dieser Port nicht von einer anderen Quelle auf Ihrem Server verwendet wird.

    b. Wenn Sie den Standardport für vcenter.conf ändern möchten, stellen Sie sicher, dass Sie nicht die Standardports der Azure-Agents für Überwachung und Protokollanalyse verwenden. (Beispielsweise verwendet CEF TCP-Port 25226 oder 25224.)

    c. Ersetzen Sie workspace_id durch den tatsächlichen Wert Ihrer Arbeitsbereichs-ID (Zeilen 13, 14, 15, 18).

  5. Speichern Sie die Änderungen, und starten Sie den Azure Log Analytics-Agent für Linux mit dem folgenden Befehl neu: sudo /opt/microsoft/omsagent/bin/service_control restart.

  6. Ändern Sie die Datei /etc/rsyslog.conf: Fügen Sie die folgende Vorlage vorzugsweise am Anfang/vor diesem Anweisungsabschnitt hinzu: $template vcenter,"%timestamp% %hostname% %msg%\n".

  7. Erstellen Sie eine benutzerdefinierte Konfigurationsdatei (beispielsweise 10-vcenter.conf) in /etc/rsyslog.d/, und fügen Sie die folgenden Filterbedingungen hinzu.

    Bei einer hinzugefügten Anweisung müssen Sie einen Filter erstellen, der die Protokolle von vCenter Server angibt, die an die benutzerdefinierte Tabelle weitergeleitet werden sollen.

    Referenz: Filterbedingungen – Dokumentation zu rsyslog 8.18.0.master

    Hier sehen Sie ein Beispiel für eine Filterung, die definiert werden kann. Das Beispiel ist nicht abschließend und erfordert zusätzliche Tests für jede Installation. wenn $rawmsg contains "vcenter-server" dann @@127.0.0.1:22033;vcenter & stop wenn $rawmsg contains "vpxd" dann @@127.0.0.1:22033;vcenter & stop

  8. Restart rsyslog systemctl restart rsyslog

  9. Konfigurieren und Verbinden der vCenter-Geräte

Befolgen Sie diese Anweisungen, um vCenter für die Weiterleitung von Syslog-Nachrichten zu konfigurieren. Verwenden Sie die IP-Adresse oder den Hostnamen für das Linux-Gerät mit installiertem Linux-Agent als Ziel-IP-Adresse.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.