Azure'da Docker kullanarak otomatik günlük yüklemeyi yapılandırma

Bu makalede, Ubuntu'da Docker veya Azure'da CentOS kullanarak Bulut için Defender Uygulamalarında sürekli raporlar için otomatik günlük yüklemelerinin nasıl yapılandırıldığı açıklanır.

Önkoşullar

Başlamadan önce ortamınızın aşağıdaki gereksinimleri karşıladığından emin olun:

Gereksinim	Açıklama
OS	Aşağıdakilerden biri: - Ubuntu 14.04, 16.04, 18.04 ve 20.04 - CentOS 7.2 veya üzeri
Disk alanı	250 GB
CPU çekirdekleri	2
CPU mimarisi	Intel 64 ve AMD 64
RAM	4 GB
Güvenlik duvarı yapılandırması	Ağ gereksinimlerinde tanımlandığı gibi

Günlük toplayıcılarınızı performansa göre planlama

Her günlük toplayıcısı, en fazla 10 veri kaynağından oluşan saatte 50 GB'a kadar günlük kapasitesini başarıyla işleyebilir. Günlük toplama işleminde başlıca darboğazlar şunlardır:

• Ağ bant genişliği - Ağ bant genişliğiniz günlük karşıya yükleme hızını belirler.

• Sanal makinenin G/Ç performansı - Günlüklerin günlük toplayıcısının diskine yazıldığı hızı belirler. Günlük toplayıcının, günlüklerin ulaşma hızını izleyen ve bunu karşıya yükleme hızıyla karşılaştıran yerleşik bir güvenlik mekanizması vardır. Tıkanıklık durumlarında, günlük toplayıcı günlük dosyalarını bırakmaya başlar. Kurulumunuz genellikle saatte 50 GB'ı aşıyorsa trafiği birden çok günlük toplayıcısı arasında bölmenizi öneririz.

10'dan fazla veri kaynağına ihtiyacınız varsa, veri kaynaklarını birden çok günlük toplayıcısı arasında bölmenizi öneririz.

Veri kaynaklarınızı tanımlama

1. Microsoft Defender Portalı'nda Cloud Apps Cloud Discovery > Otomatik günlük yüklemesini Ayarlar > seçin.>

2. Veri kaynakları sekmesinde, günlükleri karşıya yüklemek istediğiniz her güvenlik duvarı veya ara sunucu için eşleşen bir veri kaynağı oluşturun:

   1. Veri Kaynağı ekle'yi seçin.

   2. Veri kaynağı ekle iletişim kutusunda, veri kaynağınız için bir ad girin ve ardından kaynak ve alıcı türünü seçin.

      Kaynak seçmeden önce Beklenen günlük dosyasının örneğini görüntüle'yi seçin ve günlüğünüzü beklenen biçimle karşılaştırın. Günlük dosyası biçiminiz bu örnekle eşleşmiyorsa veri kaynağınızı Diğer olarak ekleyin.

      Listelenmeyen bir ağ gereci ile çalışmak için Diğer Müşteri günlük biçimi veya Diğer > (yalnızca el ile) seçeneğini belirleyin. Daha fazla bilgi için bkz . Özel günlük ayrıştırıcısıyla çalışma.

   Not

   Güvenli aktarım protokolleriyle (FTPS ve Syslog – TLS) tümleştirmek için genellikle ek ayarlar veya güvenlik duvarınız/proxy'niz gerekir.

Ağınızdaki trafiği algılamak üzere günlüklerini kullanabileceğiniz her güvenlik duvarı ve ara sunucu için bu işlemi yineleyin.

Araştırma amacıyla her cihazın durumunu ayrı ayrı izlemenizi ve her cihaz farklı bir kullanıcı kesimi tarafından kullanılıyorsa cihaz başına Gölge BT Bulma'yı keşfetmenizi sağlayan, ağ cihazı başına ayrılmış bir veri kaynağı ayarlamanızı öneririz.

Günlük toplayıcı oluşturma

1. Microsoft Defender Portalı'nda Cloud Apps Cloud Discovery > Otomatik günlük yüklemesini Ayarlar > seçin.>

2. Günlük toplayıcıları sekmesinde Günlük toplayıcı ekle'yi seçin.

3. Günlük toplayıcı oluştur iletişim kutusunda aşağıdaki ayrıntıları girin:

   • Günlük toplayıcınız için bir ad
   • Docker'ı dağıtmak için kullanacağınız makinenin özel IP adresi olan ana bilgisayar IP adresi. Ana bilgisayar adını çözümlemek için bir DNS sunucusu veya eşdeğeri varsa, ana bilgisayar IP adresi makine adıyla da değiştirilebilir.

   Ardından veri kaynakları kutusunu seçerek toplayıcıya bağlanmak istediğiniz veri kaynaklarını seçin ve değişikliklerinizi kaydetmek için Güncelleştir'i seçin. Her günlük toplayıcısı birden çok veri kaynağını işleyebilir.

   Günlük toplayıcısı oluştur iletişim kutusu, toplayıcı yapılandırmasını içeri aktarma komutu da dahil olmak üzere diğer dağıtım ayrıntılarını gösterir. Örneğin:

   

4. Panonuza kopyalamak için komutun yanındaki Kopyala simgesini seçin.

   Günlük toplayıcı oluştur iletişim kutusunda görüntülenen ayrıntılar, seçilen kaynak ve alıcı türlerine bağlı olarak farklılık gösterir. Örneğin, Syslog'ı seçtiyseniz, iletişim kutusu syslog dinleyicisinin hangi bağlantı noktasında dinlediğiyle ilgili ayrıntıları içerir.

   Günlük toplayıcıyı Bulut için Defender Uygulamalarıyla iletişim kuracak şekilde yapılandırırken ihtiyacınız olacak şekilde ekranın içeriğini kopyalayın ve yerel olarak kaydedin.

5. Kaynak yapılandırmayı bir öğesine aktarmak için Dışarı Aktar'ı seçin. Gereçlerinizde günlük dışarı aktarmanın nasıl yapılandırıldığını açıklayan CSV dosyası.

İpucu

FTP aracılığıyla günlük verilerini ilk kez gönderen kullanıcılar için FTP kullanıcısının parolasını değiştirmenizi öneririz. Daha fazla bilgi için bkz . FTP parolasını değiştirme.

Azure'da makinenizi dağıtma

Bu yordamda makinenizin Ubuntu ile nasıl dağıtılacağı açıklanmaktadır. Diğer platformlar için dağıtım adımları biraz farklıdır.

1. Azure ortamınızda yeni bir Ubuntu makinesi oluşturun.

2. Makine açıldıktan sonra bağlantı noktalarını açın:

   1. Makine görünümünde Ağ'a gidip ilgili arabirimi çift tıklayarak seçin.

   2. Ağ güvenlik grubu'na gidin ve ilgili ağ güvenlik grubunu seçin.

   3. Gelen güvenlik kuralları'na gidin ve Ekle'ye tıklayın.

   4. Aşağıdaki kuralları ekleyin ( Gelişmiş modda):

      Veri Akışı Adı	Hedef bağlantı noktası aralıkları	Protokol	Kaynak	Hedef
      caslogcollector_ftp	21	TCP	Your appliance's IP address's subnet	Tümü
      caslogcollector_ftp_passive	20000-20099	TCP	Your appliance's IP address's subnet	Tümü
      caslogcollector_syslogs_tcp	601-700	TCP	Your appliance's IP address's subnet	Tümü
      caslogcollector_syslogs_udp	514-600	UDP	Your appliance's IP address's subnet	Tümü

   Daha fazla bilgi için bkz . Güvenlik kurallarıyla çalışma.

3. Makineye geri dönün ve Bağlan'a tıklayarak makinede bir terminal açın.

4. kullanarak sudo -ikök ayrıcalıklara geçin.

5. Yazılım lisans koşullarını kabul ediyorsanız, ortamınıza uygun komutları çalıştırarak eski sürümleri kaldırın ve Docker CE'yi yükleyin:

   CentOS

   1. Docker'ın eski sürümlerini kaldırma: yum erase docker docker-engine docker.io

   2. Docker altyapısı önkoşullarını yükleme: yum install -y yum-utils

   3. Docker deposu ekleme:

      yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
      yum makecache
      

   4. Docker altyapısını yükleyin: yum -y install docker-ce

   5. Docker'ı başlatma

      systemctl start docker
      systemctl enable docker
      

   6. Docker yüklemesini test edin: docker run hello-world

   Ubuntu

   1. Docker'ın eski sürümlerini kaldırma: apt-get remove docker docker-engine docker.io

   2. Ubuntu 14.04'e yüklüyorsanız linux-image-extra paketini yükleyin.

      apt-get update -y
      apt-get install -y linux-image-extra-$(uname -r) linux-image-extra-virtual
      

   3. Docker altyapısı önkoşullarını yükleme:

      apt-get update -y
      (apt-get install -y apt-transport-https ca-certificates curl software-properties-common && curl -fsSL https://download.docker.com/linux/ubuntu/gpg | apt-key add - )
      

   4. apt-key parmak izi UID'sinin olduğunu docker@docker.comdoğrulayın: apt-key fingerprint | grep uid

   5. Docker altyapısını yükleyin:

      add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
      apt-get update -y
      apt-get install -y docker-ce
      

   6. Docker yüklemesini test edin: docker run hello-world

6. Daha önce günlük toplayıcısı oluştur iletişim kutusundan kopyaladığınız komutu çalıştırın. Örneğin:

   (echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='192.168.1.1'" -e "PROXY=192.168.10.1:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
   

7. Günlük toplayıcısının düzgün çalıştığını doğrulamak için şu komutu çalıştırın: Docker logs <collector_name>. Sonuçları almanız gerekir: Başarıyla tamamlandı!

Şirket içi ağ gereci ayarlarını yapılandırma

Ağ güvenlik duvarlarınızı ve proxy'lerinizi, günlükleri iletişim kutusundaki yönergelere göre FTP dizininin ayrılmış Syslog bağlantı noktasına düzenli aralıklarla dışarı aktaracak şekilde yapılandırın. Örneğin:

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Bulut için Defender Uygulamalarında dağıtımınızı doğrulama

Günlük toplayıcı tablosunda toplayıcı durumunu denetleyin ve durumun Bağlan emin olun. Oluşturulduysa, günlük toplayıcı bağlantısı ve ayrıştırma tamamlanmamış olabilir.

Örneğin:

Ayrıca İdare günlüğüne gidebilir ve günlüklerin düzenli aralıklarla portala yüklendiğini doğrulayabilirsiniz.

Alternatif olarak, aşağıdaki komutları kullanarak docker kapsayıcısının içinden günlük toplayıcı durumunu de kontrol edebilirsiniz:

1. Şu komutu kullanarak kapsayıcıda oturum açın: docker exec -it <Container Name> bash
2. Şu komutu kullanarak günlük toplayıcı durumunu doğrulayın: collector_status -p

Dağıtım sırasında sorun yaşıyorsanız bkz . Cloud Discovery Sorunlarını Giderme.

İsteğe bağlı - Özel sürekli raporlar oluşturma

Günlüklerin Bulut için Defender Uygulamalarına yüklendiğini ve raporların oluşturulduğunu doğrulayın. Doğrulamadan sonra özel raporlar oluşturun. Microsoft Entra kullanıcı gruplarını temel alan özel bulma raporları oluşturabilirsiniz. Örneğin, pazarlama departmanınızın bulut kullanımını görmek istiyorsanız, kullanıcı grubunu içeri aktar özelliğini kullanarak pazarlama grubunu içeri aktarın. Ardından bu grup için özel bir rapor oluşturun. Ayrıca bir raporu IP adresi etiketine veya IP adresi aralıklarına göre özelleştirebilirsiniz.

1. Microsoft Defender Portalı'nda Ayarlar'ı seçin. Ardından Cloud Apps'i seçin.

2. Cloud Discovery'nin altında Sürekli raporlar'ı seçin.

3. Rapor oluştur düğmesine tıklayın ve alanları doldurun.

4. Filtreler altında verileri veri kaynağına, içeri aktarılan kullanıcı grubuna veya IP adresi etiketlerine ve aralıklarına göre filtreleyebilirsiniz.

   Not

   Sürekli raporlara filtre uygulanırken, seçim dahil edilir, dışlanmaz. Örneğin, belirli bir kullanıcı grubuna filtre uygularsanız rapora yalnızca o kullanıcı grubu eklenir.

   

Günlük toplayıcınızı kaldırma

Mevcut bir günlük toplayıcınız varsa ve yeniden dağıtmadan önce kaldırmak istiyorsanız veya yalnızca kaldırmak istiyorsanız aşağıdaki komutları çalıştırın:

docker stop <collector_name>
docker rm <collector_name>

Sonraki adımlar

Günlük toplayıcı FTP yapılandırmasını değiştirme

Herhangi bir sorunla karşılaşırsanız size yardımcı olmak için buradayız. Ürün sorununuzla ilgili yardım veya destek almak için lütfen bir destek bileti açın.