Oktatóanyag: Syslog-adatok továbbítása Log Analytics-munkaterületre a Microsoft Sentinellel az Azure Monitor Agent használatával

  • Cikk

Ebben az oktatóanyagban egy Linux rendszerű virtuális gépet (VM) konfigurál a Syslog-adatok a munkaterületre való továbbításához az Azure Monitor Agent használatával. Ezekkel a lépésekkel olyan Linux-alapú eszközökről gyűjthet és figyelhet adatokat, amelyeken nem telepíthet ügynököt, például tűzfalhálózati eszközt.

Konfigurálja a Linux-alapú eszközt úgy, hogy adatokat küldjön egy Linux rendszerű virtuális gépre. A virtuális gépen futó Azure Monitor-ügynök továbbítja a Syslog-adatokat a Log Analytics-munkaterületre. Ezután a Microsoft Sentinel vagy az Azure Monitor használatával monitorozza az eszközt a Log Analytics-munkaterületen tárolt adatokból.

Eben az oktatóanyagban az alábbiakkal fog megismerkedni:

  • Adatgyűjtési szabály létrehozása.
  • Ellenőrizze, hogy fut-e az Azure Monitor-ügynök.
  • Naplófogadás engedélyezése az 514-ös porton.
  • Ellenőrizze, hogy a Rendszernapló-adatok továbbítva lesznek-e a Log Analytics-munkaterületre.

Előfeltételek

Az oktatóanyag lépéseinek elvégzéséhez a következő erőforrásokkal és szerepkörökvel kell rendelkeznie:

Adatgyűjtési szabály létrehozása

Tekintse meg az adatgyűjtési szabály létrehozása című témakör részletes utasításait.

Ellenőrizze, hogy az Azure Monitor-ügynök fut-e

A Microsoft Sentinelben vagy az Azure Monitorban ellenőrizze, hogy az Azure Monitor Agent fut-e a virtuális gépen.

  1. A Azure Portal keresse meg és nyissa meg a Microsoft Sentinelt vagy az Azure Monitort.

  2. Ha Microsoft Sentinelt használ, válassza ki a megfelelő munkaterületet.

  3. Az Általános területen válassza a Naplók elemet.

  4. Zárja be a Lekérdezések lapot, hogy megjelenjen az Új lekérdezés lap.

  5. Futtassa a következő lekérdezést, amelyben a számítógép értékét a Linux rendszerű virtuális gép nevére cseréli.

    Heartbeat
| where Computer == "vm-linux"
| take 10

Naplófogadás engedélyezése az 514-ös porton

Ellenőrizze, hogy a naplóadatokat gyűjtő virtuális gép engedélyezi-e a fogadást az 514-ös TCP- vagy UDP-porton a Syslog forrásától függően. Ezután konfigurálja a virtuális gépen a beépített Linux Syslog démont, hogy figyelje az eszközökről érkező Syslog-üzeneteket. A lépések elvégzése után konfigurálja a Linux-alapú eszközt úgy, hogy naplókat küldjön a virtuális gépnek.

Az alábbi két szakasz bemutatja, hogyan adhat hozzá bejövő portszabályt egy Azure-beli virtuális géphez, és hogyan konfigurálhatja a beépített Linux Syslog démont.

Bejövő Syslog-forgalom engedélyezése a virtuális gépen

Ha Syslog-adatokat továbbít egy Azure-beli virtuális gépre, az alábbi lépésekkel engedélyezheti a fogadást az 514-ös porton.

  1. A Azure Portal keresse meg és válassza ki a Virtual Machines.

  2. Válassza ki a virtuális gépet.

  3. A Beállítások területen válassza a Hálózat lehetőséget.

  4. Kattintson a Bejövőport-szabály hozzáadása elemre.

  5. Írja be a következő értékeket.

    Mező Érték
    Célporttartományok 514
    Protokoll TCP vagy UDP a Syslog forrásától függően
    Művelet Engedélyezés
    Name AllowSyslogInbound

    A többi mezőnél használja az alapértelmezett beállításokat.

  6. Válassza a Hozzáadás lehetőséget.

A Linux Syslog démon konfigurálása

Megjegyzés

A teljes lemezes forgatókönyvek elkerülése érdekében, ha az ügynök nem tud működni, javasoljuk, hogy állítsa be a vagy rsyslog a syslog-ng konfigurációt úgy, hogy ne tárolja a felesleges naplókat. A teljes lemezes forgatókönyv megszakítja a telepített Azure Monitor-ügynök működését. További információ az rsyslog-ról vagy a syslog-ng-ről.

Csatlakozzon a Linux rendszerű virtuális géphez, és futtassa a következő parancsot a Linux Syslog démon konfigurálásához:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py

Ez a szkript az rsyslog.d és a syslog-ng esetében is végezhet módosításokat.

Annak ellenőrzése, hogy a Rendszernapló adatai továbbítva lesznek-e a Log Analytics-munkaterületre

Miután konfigurálta a Linux-alapú eszközt, hogy naplókat küldjön a virtuális gépnek, ellenőrizze, hogy az Azure Monitor Agent syslog-adatokat továbbít-e a munkaterületre.

  1. A Azure Portal keresse meg és nyissa meg a Microsoft Sentinelt vagy az Azure Monitort.

  2. Ha Microsoft Sentinelt használ, válassza ki a megfelelő munkaterületet.

  3. Az Általános területen válassza a Naplók elemet.

  4. Zárja be a Lekérdezések lapot, hogy megjelenjen az Új lekérdezés lap.

  5. Futtassa a következő lekérdezést, amelyben a számítógép értékét a Linux rendszerű virtuális gép nevére cseréli.

    Syslog
| where Computer == "vm-linux"
| summarize by HostName

Az erőforrások eltávolítása

Értékelje ki, hogy szüksége van-e olyan erőforrásokra, mint a létrehozott virtuális gép. A futtatásból kilépő erőforrások pénzbe kerülhetnek. Törölje a szükségtelen erőforrásokat egyenként. Az erőforráscsoportot az összes létrehozott erőforrás törléséhez is törölheti.

Következő lépések

További információk:

Adatgyűjtési szabályok az Azure MonitorbanSyslog-események gyűjtése az Azure Monitor-ügynökkel