Raccogliere log da file di testo con l'agente di Monitoraggio di Azure e inserirli in Microsoft Sentinel

Creare la regola di raccolta dati

Per iniziare, aprire il connettore dati Log personalizzati tramite AMA in Microsoft Sentinel e creare una regola di raccolta dati.

1. Per Microsoft Sentinel nel portale di Azure, in Configurazione selezionare Connettori dati.
   Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Configurazione>Connettori dati.

2. Digitare custom nella casella Cerca . Nei risultati selezionare il connettore Log personalizzati tramite AMA.

3. Selezionare Apri la pagina del connettore nel riquadro dei dettagli.

   

4. Nell'area Configurazione selezionare +Crea regola di raccolta dati.

   

5. Nella scheda Basic (Informazioni di base ):

   • Digitare un nome DCR.
   • Selezionare la propria sottoscrizione.
   • Selezionare il gruppo di risorse in cui individuare il DCR.

   

6. Selezionare Avanti: Risorse >.

Definire le risorse della macchina virtuale

Nella scheda Risorse selezionare i computer da cui raccogliere i log. Si tratta dei computer in cui è installata l'applicazione o di quelli contenenti il server d'inoltro dei log. Se il computer che si sta cercando non viene visualizzato nell'elenco, potrebbe non essere una macchina virtuale di Azure con l'agente di Azure Connected Machine installato.

1. Usare i filtri o la casella di ricerca disponibili per trovare il computer che si sta cercando. Espandere una sottoscrizione nell'elenco per visualizzare i gruppi di risorse, poi un gruppo di risorse per visualizzare le macchine virtuali.

2. Selezionare il computer da cui raccogliere i log. La casella di controllo viene visualizzata accanto al nome della macchina virtuale quando si passa il puntatore del mouse su di essa.

   

   Se nei computer selezionati non è già installato, l'agente di Monitoraggio di Azure viene installato quando viene creata e distribuita la regola di raccolta dati.

3. Esaminare le modifiche e selezionare Avanti: Raccogliere>.

Configurare la regola di raccolta dati per l'applicazione

1. Nella scheda Raccolta selezionare l'applicazione o il tipo di dispositivo nell'elenco a discesa Selezionare il tipo di dispositivo (facoltativo) oppure lasciare l'impostazione Nuova tabella personalizzata se l'applicazione o il dispositivo non è elencato.

2. Se si sceglie una delle applicazioni o dei dispositivi elencati, il campo Nome tabella viene popolato automaticamente con il nome di tabella corretto. Se si sceglie Personalizzata nuova tabella, immettere un nome di tabella in Nome tabella. Il nome deve terminare con il suffisso _CL.

3. Nel campo Modello di file immettere il percorso e il nome file dei file di log di testo da raccogliere. Per trovare i nomi e i percorsi di file predefiniti per ogni applicazione o tipo di dispositivo, vedere Istruzioni specifiche per ogni tipo di applicazione. Non è necessario usare i nomi o i percorsi di file predefiniti ed è possibile usare caratteri jolly nel nome file.

4. Nel campo Trasforma , se si sceglie una nuova tabella personalizzata nel passaggio 1, immettere una query Kusto che applica una trasformazione di propria scelta ai dati.

   Se nel passaggio 1 è stata scelta una delle applicazioni o uno dei dispositivi elencati, questo campo viene popolato automaticamente con la trasformazione corretta. NON modificare la trasformazione visualizzata. A seconda del tipo scelto, questo valore deve essere uno dei seguenti:

   • source (valore predefinito - nessuna trasformazione)
   • source | project-rename Message=RawData (per i dispositivi che inviano log a un server d'inoltro)

5. Esaminare le selezioni e selezionare Avanti: Rivedi e crea.

Rivedere e creare la regola

Dopo aver completato tutte le schede, esaminare gli elementi inseriti e creare la regola di raccolta dati.

1. Nella scheda Rivedi e crea selezionare Crea.

   

   Il connettore installa l'agente di Monitoraggio di Azure nei computer selezionati durante la creazione del DCR.

2. Controllare le notifiche nel portale di Azure o nel portale di Microsoft Defender per verificare quando viene creato il DCR e l'agente è installato.

3. Selezionare Aggiorna nella pagina del connettore per vedere il DCR nell'elenco.

Installare l'agente di Monitoraggio di Azure

Seguire le istruzioni appropriate nella documentazione di Monitoraggio di Azure per installare l'agente di Monitoraggio di Azure nel computer che ospita l'applicazione o nel server d'inoltro dei log. Seguire le istruzioni per Windows o per Linux, come appropriato.

• Installare l'AMA con PowerShell
• Installare l'ama usando l'interfaccia della riga di comando di Azure
• Installare l'ama usando un modello di Azure Resource Manager

Creare regole di raccolta dati usando l'API di inserimento log di Monitoraggio di Azure. Per altre informazioni, vedere Regole di raccolta dati in Monitoraggio di Azure.

Creare la regola di raccolta dati

Usare il modello di ARM seguente per creare o modificare una regola di raccolta dati per la raccolta dei file di log di testo:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Sostituire i valori {PLACE_HOLDER} con i valori seguenti:

Associare la regola di raccolta dati all'agente di Monitoraggio di Azure

Se si crea la regola di raccolta dati usando un modello di Resource Manager, è comunque necessario associare la regola di raccolta dati agli agenti che la useranno. È possibile modificare il DCR nel portale di Azure e selezionare gli agenti come descritto in Definire le risorse VM.