Configurar o carregamento automático de logs usando o Docker local no Windows

  • Artigo

Você pode configurar o carregamento automático de logs para relatórios contínuos no Defender for Cloud Apps usando um Docker no Windows.

Pré-requisitos

  • Especificações da arquitetura:

    • Sistema operacional: um dos seguintes:

      • Windows 10 (atualização de criadores de outono)

      • Windows Sever versão 1709+ (SAC)

      • Windows Server 2019 (LTSC)

    • Espaço em disco: 250 GB

    • Núcleos da CPU: 2

    • Arquitetura da CPU: Intel 64 e AMD 64

    • Memória RAM: 4 GB

    Para obter uma lista das arquiteturas do Docker suportadas, consulte a documentação de instalação do Docker.

  • Defina o firewall conforme descrito em Requisitos de rede

  • A virtualização no sistema operacional deve ser habilitada com o Hyper-V

Importante

  • Clientes corporativos com mais de 250 usuários ou mais de US$ 10 milhões em receita anual precisam de uma assinatura paga para usar o Docker Desktop para Windows. Para obter mais informações, consulte Visão geral da assinatura do Docker.
  • Um usuário deve estar conectado para que o Docker colete logs. Recomendamos aconselhar os usuários do Docker a se desconectarem sem sair.
  • O Docker para Windows não é oficialmente suportado em cenários de virtualização VMWare.
  • O Docker para Windows não é oficialmente suportado em cenários de virtualização aninhada. Se você ainda planeja usar a virtualização aninhada, consulte o guia oficial do Docker.
  • Para obter informações sobre considerações adicionais de configuração e implementação para o Docker para Windows, consulte Instalar o Docker Desktop no Windows.

Nota

Se você tiver um coletor de log existente e quiser removê-lo antes de implantá-lo novamente, ou se simplesmente quiser removê-lo, execute os seguintes comandos:

docker stop <collector_name>
docker rm <collector_name>

Desempenho do recoletor de registos

O recoletor de registos pode processar com êxito uma capacidade de registos de até 50 GB por hora. Os principais limites do processo de recolha de registos são:

  • Largura de banda da rede - A largura de banda da rede determina a velocidade de carregamento do log.

  • Desempenho de E/S da máquina virtual - Determina a velocidade com que os logs são gravados no disco do coletor de logs. O recoletor de registos tem um mecanismo de segurança incorporado que monitoriza a taxa a que os registos são recebidos e compara-a com a taxa de carregamento. Em caso de congestionamento, o recoletor começa a largar ficheiros de registo. Se a configuração normalmente exceder 50 GB por hora, é recomendável dividir o tráfego entre vários coletores de log.

Instalação e configuração

Passo 1 – configuração do portal Web: definir origens de dados e ligá-los a um recoletor de registo

  1. No Portal do Microsoft Defender, selecione Configurações. Em seguida, escolha Cloud Apps.

  2. Em Cloud Discovery, selecione Carregamento automático de registos. Em seguida, selecione a guia Fontes de dados .

  3. Para cada firewall ou proxy a partir do qual você deseja carregar logs, crie uma fonte de dados correspondente.

    1. Selecione +Adicionar fonte de dados.
      Add a data source.
    2. Dê um nome ao proxy ou à firewall.
      Add name for data source.
    3. Selecione a aplicação na lista Origem. Se você selecionar Formato de log personalizado para trabalhar com um dispositivo de rede que não esteja listado, consulte Trabalhando com o analisador de log personalizado para obter instruções de configuração.
    4. Compare o registo com o exemplo do formato de registo esperado. Se o formato do arquivo de log não corresponder a este exemplo, você deverá adicionar sua fonte de dados como Outro.
    5. Defina o tipo de recetor como FTP, FTPS, Syslog – UDP ou Syslog – TCP ou Syslog – TLS.

    Nota

    A integração com protocolos de transferência seguros (FTPS e Syslog – TLS) geralmente requer configurações adicionais ou seu firewall/proxy.

    f. Repita este processo para cada firewall e proxy cujos registos podem ser utilizados para detetar o tráfego na sua rede. É recomendável configurar uma fonte de dados dedicada por dispositivo de rede para permitir que você:

    • Monitore o status de cada dispositivo separadamente, para fins de investigação.
    • Explore o Shadow IT Discovery por dispositivo, se cada dispositivo for usado por um segmento de usuário diferente.

  4. Aceda ao separador Recoletores de registos, na parte superior.

    1. Selecione Adicionar coletor de log.
    2. Dê um nome ao recoletor de registos.
    3. Digite o endereço IP do host (endereço IP privado) da máquina que você usará para implantar o Docker. O endereço IP do host pode ser substituído pelo nome da máquina, se houver um servidor DNS (ou equivalente) que resolverá o nome do host.
    4. Selecione todas as fontes de dados que você deseja conectar ao coletor e selecione Atualizar para salvar a configuração. Select data source to connect.

  5. Serão apresentadas mais informações sobre a implementação. Copie o comando run da caixa de diálogo. Você pode usar o ícone Copiar para área de transferência, copy to clipboard icon.. Precisará do mesmo mais tarde.

  6. Exporte a configuração de fonte de dados esperada. Esta configuração descreve como você deve definir a exportação de log em seus dispositivos.

    Create log collector.

    Nota

    • Um único recoletor de registos consegue processar várias origens de dados.
    • Copie o conteúdo da tela porque você precisará das informações ao configurar o coletor de logs para se comunicar com o Defender for Cloud Apps. Se selecionou Syslog, estas informações incluirão informações sobre que porta o serviço de escuta do Syslog que está a escutar.
    • Para usuários que enviam dados de log via FTP pela primeira vez, recomendamos alterar a senha para o usuário FTP. Para obter mais informações, consulte Alterando a senha do FTP.

Etapa 2 – Implantação local da sua máquina

As etapas a seguir descrevem a implantação no Windows. As etapas de implantação para outras plataformas são ligeiramente diferentes.

  1. Abra um terminal do PowerShell como administrador em sua máquina Windows.

  2. Execute o seguinte comando para baixar o arquivo de script PowerShell do instalador do Windows Docker: Invoke-WebRequest https://adaprodconsole.blob.core.windows.net/public-files/LogCollectorInstaller.ps1 -OutFile (Join-Path $Env:Temp LogCollectorInstaller.ps1)

    Para validar se o instalador está assinado pela Microsoft, consulte Validar assinatura do instalador.

  3. Para habilitar a execução de scripts do PowerShell, execute Set-ExecutionPolicy RemoteSigned

  4. Executar: & (Join-Path $Env:Temp LogCollectorInstaller.ps1) instala o cliente Docker na sua máquina.

    Docker is installed.

    Depois de executar o comando, a máquina será reiniciada automaticamente.

  5. Quando a máquina estiver em funcionamento novamente, execute o mesmo comando no PowerShell: & (Join-Path $Env:Temp LogCollectorInstaller.ps1)

    Run PowerShell command again.

  6. Execute o instalador do Docker. Selecione Usar WSL 2 em vez de Hyper-V (recomendado):

    Installing Docker desktop.

    Após a conclusão da instalação, a máquina será reiniciada automaticamente.

  7. Após a conclusão da reinicialização, abra o cliente Docker e percorra o contrato de assinatura do Docker:

    Accept Docker service agreement.

  8. Se a instalação do WSL2 não for concluída, a seguinte mensagem pop-up será exibida:

    WSL 2 installation is incomplete.

  9. Conclua a instalação baixando o pacote conforme explicado em Baixar o pacote de atualização do kernel Linux.

  10. Abra o cliente Docker Desktop novamente e verifique se ele foi iniciado:

    Open the Docker Desktop client.

  11. Execute o CMD como administrador e digite o comando run gerado no portal. Se você precisar configurar um proxy, adicione o endereço IP do proxy e o número da porta. Por exemplo, se os detalhes do proxy forem 192.168.10.1:8080, o comando run atualizado será:

    (echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='192.168.1.1'" -e "PROXY=192.168.10.1:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter

    Create log collector.

  12. Verifique se o coletor está sendo executado corretamente com o seguinte comando: docker logs <collector_name>

Você deve ver a mensagem: Concluído com sucesso!

Verify that collector is running properly.

Etapa 3 - Configuração local de seus dispositivos de rede

Configure seus firewalls e proxies de rede para exportar periodicamente logs para a porta Syslog dedicada do diretório FTP de acordo com as instruções na caixa de diálogo. Por exemplo:

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Etapa 4 - Verificar a implantação bem-sucedida no portal

Verifique o status do coletor na tabela Coletor de log e verifique se o status é Conectado. Se for Criado, é possível que a conexão e a análise do coletor de logs não tenham sido concluídas.

Verify that the collector status is Connected.

Você também pode ir para o log de governança e verificar se os logs estão sendo carregados periodicamente para o portal.

Como alternativa, você pode verificar o status do coletor de log de dentro do contêiner do docker usando os seguintes comandos:

  1. Entre no contêiner usando este comando: docker exec -it <Container Name> bash
  2. Verifique o status do coletor de log usando este comando: collector_status -p

Se você tiver problemas durante a implantação, consulte Solução de problemas do Cloud Discovery.

Opcional - Criar relatórios contínuos personalizados

Verifique se os logs estão sendo carregados no Defender for Cloud Apps e se os relatórios são gerados. Após a verificação, crie relatórios personalizados. Você pode criar relatórios de descoberta personalizados com base em grupos de usuários do Microsoft Entra. Por exemplo, se você quiser ver o uso da nuvem do seu departamento de marketing, importe o grupo de marketing usando o recurso importar grupo de usuários. Em seguida, crie um relatório personalizado para esse grupo. Você também pode personalizar um relatório com base na marca de endereço IP ou intervalos de endereços IP.

  1. No Portal do Microsoft Defender, selecione Configurações. Em seguida, escolha Cloud Apps.

  2. Em Cloud Discovery, selecione Relatórios contínuos.

  3. Selecione o botão Criar relatório e preencha os campos.

  4. Em Filtros, você pode filtrar os dados por fonte de dados, por grupo de usuários importados ou por tags e intervalos de endereços IP.

    Nota

    Ao aplicar filtros em relatórios contínuos, a seleção será incluída, não excluída. Por exemplo, se você aplicar um filtro em um determinado grupo de usuários, somente esse grupo de usuários será incluído no relatório.

    Custom continuous report.

Opcional - Validar a assinatura do instalador

Para certificar-se de que o instalador do docker está assinado pela Microsoft:

  1. Clique com o botão direito do mouse no arquivo e selecione Propriedades.

  2. Selecione Assinaturas digitais e certifique-se de que diz Esta assinatura digital está OK.

  3. Certifique-se de que a Microsoft Corporation está listada como a única entrada em Nome do signatário.

    Digital signature valid.

    Se a assinatura digital não for válida, dirá Esta assinatura digital não é válida:

    Digital signature not valid.

Próximos passos

Modificar a configuração FTP do coletor de log

Se tiver algum problema, estamos aqui para ajudar. Para obter assistência ou suporte para o problema do seu produto, abra um ticket de suporte.