[非推奨] Illumio Core via Legacy Agent connector for Microsoft Sentinel
Illumio Core データ コネクタは、Illumio Core のログを Microsoft Sentinel に取り込む機能を提供します。
コネクタの属性
| コネクタ属性 | 説明 |
|---|---|
| Log Analytics テーブル | CommonSecurityLog (IllumioCore) |
| データ収集ルールのサポート | ワークスペース変換 DCR |
| サポートしているもの | Microsoft |
クエリのサンプル
上位 10 個のイベントの種類
IllumioCoreEvent
| where isnotempty(EventType)
| summarize count() by EventType
| top 10 by count_
ベンダーのインストール手順
注: このデータ コネクタは、ソリューションの一部としてデプロイされている Kusto 関数に基づくパーサーを利用して正常に動作します。 Log Analytics で関数コードを表示するには、[Log Analytics/Microsoft Sentinel Logs] (Log Analytics/Microsoft Sentinel ログ) ブレードを開き、[関数] をクリックしてエイリアス IllumioCoreEvent を検索し、関数コードを読み込むか、こちら をクリックします。通常、ソリューションのインストールまたは更新後、関数がアクティブ化されるまでに 10 分から 15 分かかり、Illumio Core のイベントが Microsoft Sentinel 情報モデル (ASIM) にマップされます。
- Linux Syslog エージェントの構成
Linux エージェントをインストールし、Common Event Format (CEF) Syslog メッセージを収集して Microsoft Sentinel に転送するようにエージェントを構成します。
すべてのリージョンのデータが選択したワークスペースに格納されることに注目してください
1.1 Linux コンピューターを選択または作成する
Microsoft Sentinel によって、セキュリティ ソリューションと Microsoft Sentinel の間のプロキシとして使用される Linux コンピューターを選択または作成します。このコンピューターは、オンプレミス環境、Azure またはその他のクラウド上に配置することができます。
1.2 Linux コンピューターに CEF コレクターをインストールする
Linux コンピューターに Microsoft Monitoring Agent をインストールし、必要なポートでリッスンして Microsoft Sentinel ワークスペースにメッセージを転送するようにコンピューターを構成します。 CEF コレクターにより、ポート 514 TCP で CEF メッセージが収集されます。
- コマンド python -version を使用して、コンピューターに Python がインストールされていることを確認します。
- マシンに対する管理者特権のアクセス許可 (sudo) が必要です。
次のコマンドを実行し、CEF コレクターをインストールして適用します。
sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}
- CEF を使用してログを送信するように Ilumio Core を構成する
2.1 イベントの形式を構成する
PCE Web コンソール メニューから、[Settings] (設定) > [Event Settings] (イベントの設定) を選んで、現在の設定を表示します。
設定を変更するには、[Edit] (編集) をクリックします。
[Event Format] (イベントの形式) を CEF に設定します。
(省略可能) [Event Severity] (イベントの重大度) と [Retention Period] (保持期間) を構成します。
2.2 外部 Syslog サーバーへのイベントの転送を構成する
PCE Web コンソール メニューから、[Settings] (設定) > [Event Settings] (イベントの設定) を選びます。
[追加] をクリックします。
[リポジトリの追加] をクリックします。
[Add Repository] (リポジトリの追加) ダイアログに入力します。
[OK] をクリックしてイベント転送の構成を保存します。
接続の検証
手順に従って接続を検証します。
Log Analytics を開き、CommonSecurityLog スキーマを使用してログが受信されているかどうかを確認します。
接続によってデータがワークスペースにストリーミングされるまで約 20 分かかる場合があります。
ログが受信されない場合は、次の接続検証スクリプトを実行します。
- コマンド python -version を使用して、コンピューターに Python がインストールされていることを確認します
- コンピューターに対する管理者特権のアクセス許可 (sudo) が必要です
次のコマンドを実行して、接続を検証します。
sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}
- コンピューターをセキュリティで保護する
必ず、組織のセキュリティ ポリシーに従ってコンピューターのセキュリティを構成してください
次の手順
詳細については、Azure Marketplace の関連ソリューションに関するページを参照してください。