Прием сообщений системного журнала и CEF для Microsoft Sentinel с помощью агента мониторинга Azure

Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

В этой статье показано, как использовать системный журнал через AMA и общий формат событий (CEF) через соединители AMA для фильтрации и приема сообщений системного журнала и CEF с Linux компьютеров, сетевых устройств и устройств безопасности. Дополнительные сведения об этих соединителях данных см. в статье Системный журнал и общий формат событий (CEF) через соединители AMA для Microsoft Sentinel.

Примечание.

Аналитика контейнеров поддерживает автоматический сбор событий системного журнала с Linux узлов в кластерах AKS. Дополнительные сведения см . в статье Сбор системных журналов с помощью Аналитики контейнеров.

Предварительные условия

Перед началом работы необходимо настроить ресурсы и назначенные соответствующие разрешения, как описано в этом разделе.

предварительные требования Microsoft Sentinel

Установите соответствующее решение Microsoft Sentinel и убедитесь, что у вас есть разрешения на выполнение действий, описанных в этой статье.

Установите соответствующее решение из центра содержимого в Microsoft Sentinel. Дополнительные сведения см. в статье Обнаружение и управление Microsoft Sentinel готового содержимого.
Определите, какой соединитель данных требуется для решения Microsoft Sentinel системный журнал через AMA или общий формат событий (CEF) через AMA, а также необходимо ли установить решение Syslog или Common Event Format. Чтобы выполнить это требование, выполните следующие задачи:
- В центре содержимого выберите Управление в установленном решении и просмотрите указанный соединитель данных.
- Если с решением не установлен системный журнал через AMA или общий формат событий (CEF) через AMA, определите, нужно ли установить решение Syslog или Common Event Format, найдя (модуль) или устройство в одной из следующих статей:
  - CEF через соединитель данных AMA— настройка определенных (модуль) или устройства для приема данных Microsoft Sentinel
  - Системный журнал через соединитель данных AMA— настройка определенного (модуль) или устройства для приема данных Microsoft Sentinel
  Затем установите решение Syslog или Common Event Format из концентратора содержимого, чтобы получить связанный соединитель данных AMA.

Используйте учетную запись Azure со следующими Azure ролями управления доступом на основе ролей (Azure RBAC).

Встроенная роль	Scope	Reason
- Участник виртуальной машины - Azure подключенный компьютер Администратор ресурсов	Виртуальные машины Масштабируемые наборы виртуальных машин серверы с поддержкой Arc Azure	Развертывание агента
Любая роль, включающая действие Microsoft.Resources/deployments/*	Подписка Группа ресурсов Существующее правило сбора данных	Развертывание шаблонов Azure Resource Manager
Участник мониторинга	Подписка Группа ресурсов Существующее правило сбора данных	Создание или изменение правил сбора данных

Предварительные требования для средства пересылки журналов

Если вы собираете сообщения из средства пересылки журналов, действуют следующие предварительные требования.

Для сбора журналов должна быть назначена виртуальная машина Linux в качестве средства пересылки журналов.
- Создайте виртуальную машину Linux в портал Azure.
- Поддерживаемые Linux операционных систем для агента Azure Monitor.
Если средство пересылки журналов не является Azure виртуальной машиной, на нем должен быть установлен агент Azure Arc Connected Machine.
На виртуальной машине сервера пересылки журналов Linux должен быть установлен Python 2.7 или 3. python --version Используйте команду или python3 --version для проверка. Если вы используете Python 3, убедитесь, что он задан как команда по умолчанию на компьютере, или запустите скрипты с помощью команды python3, а не python.
В сервере пересылки журналов должна быть включена syslog-ng управляющая программа или rsyslog .
Требования к пространству для средства пересылки журналов см. в статье Производительность производительности агента мониторинга Azure. Вы также можете просмотреть эту запись блога, в которой представлены макеты для масштабируемого приема.
Источники журналов, устройства безопасности и устройства должны быть настроены для отправки сообщений журнала в управляемую программу syslog сервера пересылки журналов, а не в локальную управляемую программу системного журнала.

Примечание.

При развертывании AMA в масштабируемом наборе виртуальных машин (VMSS) настоятельно рекомендуется использовать подсистему балансировки нагрузки, которая поддерживает метод циклического перебора, чтобы обеспечить распределение нагрузки между всеми развернутыми экземплярами.

Предварительные требования к безопасности компьютера

Настройте безопасность компьютера в соответствии с политикой безопасности вашей организации. Например, настройте сеть в соответствии с политикой безопасности корпоративной сети и измените порты и протоколы в управляющей программе в соответствии с требованиями. Чтобы улучшить конфигурацию безопасности компьютера, защитите виртуальную машину в Azure или ознакомьтесь с рекомендациями по обеспечению безопасности сети.

Если устройства отправляют журналы системного журнала и CEF по протоколу TLS, так как, например, средство пересылки журналов находится в облаке, необходимо настроить управляющая программа системного журнала (rsyslog или syslog-ng) для обмена данными по протоколу TLS. Дополнительные сведения см. в разделе:

Настройка соединителя данных

Процесс настройки системного журнала через AMA или общий формат событий (CEF) через соединители данных AMA включает следующие действия.

Установите агент мониторинга Azure и создайте правило сбора данных (DCR) с помощью любого из следующих методов:
- Azure или портал Defender
- API приема журналов мониторинга Azure
Если вы собираете журналы с других компьютеров с помощью средства пересылки журналов, запустите сценарий установки в средстве пересылки журналов, чтобы настроить управляемую программу системного журнала для прослушивания сообщений с других компьютеров и открыть необходимые локальные порты.

Выберите соответствующую вкладку для получения инструкций.

Azure или портал Defender
API приема журналов

Создание правила сбора данных (DCR)

Чтобы приступить к работе, откройте системный журнал через AMA или общий формат событий (CEF) через соединитель данных AMA в Microsoft Sentinel и создайте правило сбора данных (DCR).

Для Microsoft Sentinel в портал Azure в разделе Конфигурация выберите Соединители данных.
Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Коннекторы данных конфигурации>.
Для syslog введите Syslog в поле Поиска . В результатах выберите соединитель Системный журнал через AMA .
Для параметра CEF введите CEF в поле Поиска . В результатах выберите соединитель Общий формат событий (CEF) через AMA .
Выберите Открыть страницу соединителя в области сведений.
В области Конфигурация выберите +Создать правило сбора данных.
На вкладке Базовый :
- Введите имя DCR.
- Выберите свою подписку.
- Выберите группу ресурсов, в которой вы хотите найти DCR.
Выберите Далее: ресурсы >.

Определение ресурсов виртуальной машины

На вкладке Ресурсы выберите компьютеры, на которых требуется установить AMA. В данном случае это компьютер сервера пересылки журналов. Если средство пересылки журналов не отображается в списке, в нем может не быть установлен агент Azure Connected Machine.

Используйте доступные фильтры или поле поиска, чтобы найти виртуальную машину средства пересылки журналов. Разверните подписку в списке, чтобы просмотреть ее группы ресурсов, и группу ресурсов, чтобы увидеть ее виртуальные машины.
Выберите виртуальную машину сервера пересылки журналов, на которой требуется установить AMA. Поле проверка появится рядом с именем виртуальной машины при наведении на него указателя мыши.
Просмотрите изменения и нажмите кнопку Далее: собрать >.

Выбор средств и уровней серьезности

Имейте в виду, что использование одной и той же возможности для сообщений системного журнала и CEF может привести к дублированию приема данных. Дополнительные сведения см. в разделе Предотвращение дублирования приема данных.

На вкладке Сбор выберите минимальный уровень журнала для каждого объекта. При выборе уровня журнала Microsoft Sentinel собирает журналы для выбранного уровня и других уровней с более высоким уровнем серьезности. Например, если выбрать LOG_ERR, Microsoft Sentinel собирает журналы для уровней LOG_ERR, LOG_CRIT, LOG_ALERT и LOG_EMERG.
Просмотрите выбранные варианты и выберите Далее: Просмотр и создание.

Просмотр и создание правила

После завершения всех вкладок просмотрите введенные данные и создайте правило сбора данных.

На вкладке Просмотр и создание выберите Создать.

Соединитель устанавливает агент мониторинга Azure на компьютерах, выбранных при создании DCR.
Проверьте уведомления на портале портал Azure или Microsoft Defender, чтобы узнать, когда создается DCR и установлен агент.
Выберите Обновить на странице соединителя, чтобы увидеть DCR, отображаемый в списке.

Установка агента мониторинга Azure

Следуйте инструкциям из документации по мониторингу Azure, чтобы установить агент Azure Monitor в сервере пересылки журналов. Не забудьте использовать инструкции для Linux, а не для Windows.

Правила сбора данных (DCR) можно создать с помощью API приема журналов мониторинга Azure. Дополнительные сведения см. в статье Правила сбора данных в Azure Monitor.

Создание правила сбора данных

Создайте JSON-файл для правила сбора данных, создайте запрос API и отправьте запрос.

Подготовьте файл DCR в формате JSON. Содержимое этого файла является текстом запроса в запросе API.

Пример см. в разделе Syslog/CEF DCR, текст запроса на создание. Чтобы собрать сообщения системного журнала и CEF в одном правиле сбора данных, см. примеры потоков Syslog и CEF в одном DCR.
- Убедитесь, что в streams поле задано значение Microsoft-Syslog для сообщений системного журнала или значение Microsoft-CommonSecurityLog для сообщений CEF.
- Добавьте уровни фильтра и журнала объектов в facilityNames параметры и logLevels . См. раздел Примеры объектов и уровней журналов.
Создайте запрос API в выбранном клиенте REST API.
1. Для URL-адреса и заголовка запроса скопируйте следующий URL-адрес и заголовок запроса.
```
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
```
  - Замените соответствующие значения {subscriptionId} заполнителями и {resourceGroupName} .
  - Введите выбранное имя для DCR вместо {dataCollectionRuleName} заполнителя.
2. Скопируйте и вставьте содержимое созданного вами JSON-файла DCR (на шаге 1 выше) в текст запроса.
отправить запрос.

Пример ответа, который необходимо получить, см. в статье Syslog/CEF DCR.

Связывание DCR с сервером пересылки журналов

Теперь необходимо создать ассоциацию DCR (DCRA), которая связывает DCR с ресурсом виртуальной машины, на котором размещен сервер пересылки журналов.

Создайте запрос API в выбранном клиенте REST API.
Для URL-адреса и заголовка запроса скопируйте следующий URL-адрес запроса и заголовок.
```
PUT 
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
```
- Замените соответствующие значения {subscriptionId}заполнителями , {resourceGroupName}и {virtualMachineName} .
- Введите выбранное имя для DCR вместо {dataCollectionRuleAssociationName} заполнителя.
Скопируйте следующий текст запроса для текста запроса.
```
{
  "properties": {
    "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
  }
}
```
- Замените соответствующие значения {subscriptionId} заполнителями и {resourceGroupName} .
- Введите выбранное имя для DCR вместо {dataCollectionRuleName} заполнителя.
отправить запрос.

Примеры разделов объектов и уровней журналов

Просмотрите эти примеры параметров уровней обслуживания и журналов. Поле name содержит имя фильтра.

Для приема сообщений CEF значение для "streams" должно быть "Microsoft-CommonSecurityLog" вместо "Microsoft-Syslog".

В этом примере события собираются cronиз объектов , local0daemon, local3 и uucp с уровнями Warningжурналов , Error, Critical, Alertи Emergency :

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

Потоки системного журнала и CEF в одном DCR

В этом примере показано, как можно собирать сообщения системного журнала и CEF в одном DCR.

DCR собирает сообщения о событиях CEF для:

Объекты authpriv и mark с уровнями Infoжурналов , NoticeWarning, , Error, Criticalи EmergencyAlert
Объект daemon с уровнями Warningжурнала , Error, Critical, Alertи Emergency

Он собирает сообщения о событиях системного журнала для:

Объекты kern, local0, local5и news с уровнями Criticalжурналов , Alertи Emergency
Объекты mail и uucp с Emergency уровнем журнала

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Запуск скрипта установки

Если вы используете средство пересылки журналов, настройте управляющая программа syslog для прослушивания сообщений с других компьютеров и откройте необходимые локальные порты.

На странице соединителя скопируйте командную строку, которая отображается в разделе Выполните следующую команду, чтобы установить и применить сборщик CEF:.

Или скопируйте его отсюда:
```
sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
```
Войдите на компьютер переадресации журналов, где вы только что установили AMA.
Вставьте команду, скопированную на последнем шаге, чтобы запустить сценарий установки.
Скрипт настраивает управляемую rsyslog программу или syslog-ng для использования требуемого протокола и перезапускает управляемую программу. Скрипт открывает порт 514 для прослушивания входящих сообщений по протоколам UDP и TCP. Чтобы изменить этот параметр, обратитесь к файлу конфигурации управляющей программы syslog в соответствии с типом управляющей программы, запущенной на компьютере:
- Rsyslog: /etc/rsyslog.conf
- Syslog-ng: /etc/syslog-ng/syslog-ng.conf
Если вы используете Python 3 и он не задан в качестве команды по умолчанию на компьютере, замените python3 на python в вставленной команде. См. раздел Предварительные требования для средства пересылки журналов.

Примечание.

Чтобы избежать сценариев с полным диском , в которых агент не может работать, рекомендуется настроить конфигурацию syslog-ng или rsyslog не для хранения ненужных журналов. Сценарий полного диска нарушает функцию установленного AMA. Дополнительные сведения см. в разделе RSyslog или Syslog-ng.
Проверьте состояние службы.

Проверьте состояние службы AMA в сервере пересылки журналов:
```
sudo systemctl status azuremonitoragent.service
```
Проверьте состояние службы rsyslog:
```
sudo systemctl status rsyslog.service
```
Для сред syslog-ng проверка:
```
sudo systemctl status syslog-ng.service
```

Настройка устройства безопасности или (модуль)

Инструкции по настройке устройства безопасности или (модуль) см. в одной из следующих статей:

За дополнительными сведениями о (модуль) или устройстве обратитесь к поставщику решений.

Тестирование соединителя

Убедитесь, что сообщения журнала с Linux компьютера или устройств безопасности и устройств приема в Microsoft Sentinel.

Чтобы проверить, запущена ли управляющая программа системного журнала на порту UDP и что AMA прослушивает, выполните следующую команду:
```
 netstat -lnptv
```
Вы увидите rsyslog управляющую программу или syslog-ng , прослушивающую порт 514.
Чтобы записать сообщения, отправленные из средства ведения журнала или подключенного устройства, выполните следующую команду в фоновом режиме:
```
sudo tcpdump -i any port 514 or 28330 -A -vv &
```
После завершения проверки остановите .tcpdump Введите fgи нажмите клавиши CTRL+C.

Отправка тестовых сообщений

Чтобы отправить демонстрационные сообщения, выполните одно из следующих действий.

Используйте служебную nc программу netcat. В этом примере служебная программа считывает данные, опубликованные echo с помощью команды, с выключенным переключателем newline. Затем служебная программа записывает данные на UDP-порт 514 на локальном узле без истечения времени ожидания. Чтобы выполнить служебную программу netcat, может потребоваться установить другой пакет.
```
echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
```
logger Используйте команду . В этом примере сообщение записывается в local 4 объект с уровнем Warningсерьезности для порта 514на локальном узле в формате CEF RFC. Флаги -t и --rfc3164 используются для соответствия ожидаемому формату RFC.
```
logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
```
Проверьте прием Cisco ASA с помощью следующей команды:
```
echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
```
После выполнения этих команд сообщения поступают на порт 514 и перенаправяются на порт 28330.
После отправки тестовых сообщений отправьте запрос к рабочей области Log Analytics. Для отображения журналов в рабочей области может потребоваться до 20 минут.

Для журналов CEF:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Для журналов Cisco ASA:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Дополнительные сведения об устранении неполадок

Если вы не видите трафик через порт 514 или тестовые сообщения не были приема, см. статью Устранение неполадок с системным журналом и CEF через соединители AMA для Microsoft Sentinel для устранения неполадок.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-04-23