Руководство по пересылке данных системного журнала в рабочую область Log Analytics с помощью Microsoft Sentinel с помощью агента мониторинга Azure

В этом руководстве описана настройка виртуальной машины Linux для пересылки данных системного журнала в рабочую область с помощью агента мониторинга Azure. Эти действия позволяют собирать и отслеживать данные с Linux устройств, на которых невозможно установить агент, например сетевое устройство брандмауэра.

Примечание.

Аналитика контейнеров теперь поддерживает автоматический сбор событий системного журнала из Linux узлов в кластерах AKS. Дополнительные сведения см. в статье Сбор системных журналов с помощью Аналитики контейнеров.

Настройте устройство на основе Linux для отправки данных на виртуальную машину Linux. Azure агент монитора на виртуальной машине перенаправит данные системного журнала в рабочую область Log Analytics. Затем используйте Microsoft Sentinel или Azure Monitor, чтобы отслеживать устройство из данных, хранящихся в рабочей области Log Analytics.

В этом руководстве рассказывается, как:

  • Создайте правило сбора данных.
  • Убедитесь, что агент мониторинга Azure запущен.
  • Включите прием журналов через порт 514.
  • Убедитесь, что данные системного журнала пересылаются в рабочую область Log Analytics.

Предварительные условия

Чтобы выполнить действия, описанные в этом руководстве, необходимо иметь следующие ресурсы и роли:

Создание DCR и добавление ресурсов

Чтобы создать DCR и добавить ресурсы, выполните действия, описанные в следующих статьях:

Настройка источника данных Syslog

На вкладке Сбор и доставка DCR выберите Linux Syslog в раскрывающемся списке Тип источника данных.

Выберите минимальный уровень журнала для каждого объекта или NONE , чтобы не собирать события для этого объекта. Можно настроить сразу несколько объектов, установив их флажок, а затем выбрав уровень журнала в разделе Задание минимального уровня журнала для выбранных средств.

Снимок экрана: страница для выбора типа источника данных и минимального уровня журнала.

Все журналы с выбранным уровнем серьезности и выше собираются для объекта. Ниже приведены поддерживаемые уровни серьезности и их относительная серьезность.

  1. Отладка
  2. Информация
  3. Примечание.
  4. Предупреждение
  5. Error
  6. Critical
  7. Оповещение
  8. Emergency

Добавление назначений

Данные системного журнала можно отправлять только в рабочую область Log Analytics, где они хранятся в таблице Syslog . Добавьте назначение типа Azure Мониторинг журналов и выберите рабочую область Log Analytics. Хотя вы можете добавить несколько рабочих областей, имейте в виду, что это приведет к отправке повторяющихся данных в каждую из них, что приведет к дополнительным затратам.

Снимок экрана: настройка назначения Azure мониторинг журналов в правиле сбора данных.

Проверка сбора данных

Чтобы убедиться, что данные собираются, проверка для записей в таблице Syslog. На виртуальной машине или в рабочей области Log Analytics в портал Azure выберите Журналы и нажмите кнопку Таблицы. В категории Виртуальные машины нажмите кнопку Запустить рядом с элементом Системный журнал.

Снимок экрана: записи, возвращенные из таблицы Syslog.

Полную процедуру настройки сбора данных системного журнала см. в разделе Сбор событий системного журнала с помощью агента мониторинга Azure.

Убедитесь, что агент мониторинга Azure запущен

В Microsoft Sentinel или мониторе Azure убедитесь, что агент Azure Monitor запущен на виртуальной машине.

  1. В портал Azure найдите и откройте Microsoft Sentinel или монитор Azure.

  2. Если вы используете Microsoft Sentinel, выберите соответствующую рабочую область.

  3. В разделе Общие выберите Журналы.

  4. Закройте страницу Запросы , чтобы появилась вкладка Новый запрос .

  5. Выполните следующий запрос, в котором замените значение компьютера именем виртуальной машины Linux.

    Heartbeat
| where Computer == "vm-linux"
| take 10

Включение приема журналов через порт 514

Убедитесь, что виртуальная машина, которая собирает данные журнала, разрешает прием через порт 514 TCP или UDP в зависимости от источника syslog. Затем настройте встроенную управляемую программу Linux Syslog на виртуальной машине для прослушивания сообщений Системного журнала с устройств. После выполнения этих действий настройте устройство на основе Linux для отправки журналов на виртуальную машину.

Примечание.

Если брандмауэр работает, необходимо создать правило, которое позволит удаленным системам обращаться к прослушивателю системного журнала управляющей программы: systemctl status firewalld.service

  1. Добавление для tcp 514 (зона, порт или протокол могут отличаться в зависимости от сценария) firewall-cmd --zone=public --add-port=514/tcp --permanent
  2. Добавление для udp 514 (зона, порт или протокол могут отличаться в зависимости от сценария) firewall-cmd --zone=public --add-port=514/udp --permanent
  3. Перезапустите службу брандмауэра, чтобы убедиться, что новые правила вступили в силу systemctl restart firewalld.service

В следующих двух разделах описывается добавление правила входящего порта для виртуальной машины Azure и настройка встроенной управляющей программы Linux Syslog.

Разрешить входящий трафик системного журнала на виртуальной машине

Если вы пересылаете данные системного журнала на виртуальную машину Azure, выполните следующие действия, чтобы разрешить прием через порт 514.

  1. В портал Azure найдите и выберите Виртуальные машины.

  2. Выберите виртуальную машину.

  3. В разделе Параметры выберите Сеть.

  4. Выберите Добавить правило входящего порта.

  5. Введите указанные ниже значения.

    Поле Значение
    Диапазоны портов назначения 514
    Протокол TCP или UDP в зависимости от источника системного журнала
    Действие Разрешить
    Имя AllowSyslogInbound

    Используйте значения по умолчанию для остальных полей.

  6. Нажмите Добавить.

Настройка управляющей программы syslog Linux

Подключитесь к виртуальной машине Linux и настройте управляемую программу syslog Linux. Например, выполните следующую команду, адаптируя ее по мере необходимости для сетевой среды:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py

Этот скрипт может вносить изменения как для rsyslog.d, так и для syslog-ng.

Примечание.

Чтобы избежать сценариев с полным диском , в которых агент не может функционировать, необходимо задать конфигурацию syslog-ng или rsyslog так, чтобы не хранить журналы, которые не нужны агенту. Сценарий полного диска нарушает функцию установленного агента мониторинга Azure. Дополнительные сведения о rsyslog или syslog-ng.

Проверка перенаправления данных системного журнала в рабочую область Log Analytics

После настройки устройства на основе Linux для отправки журналов на виртуальную машину убедитесь, что агент Azure Monitor перенаправлял данные системного журнала в рабочую область.

  1. В портал Azure найдите и откройте Microsoft Sentinel или монитор Azure.

  2. Если вы используете Microsoft Sentinel, выберите соответствующую рабочую область.

  3. В разделе Общие выберите Журналы.

  4. Закройте страницу Запросы , чтобы появилась вкладка Новый запрос .

  5. Выполните следующий запрос, в котором замените значение компьютера именем виртуальной машины Linux.

    Syslog
| where Computer == "vm-linux"
| summarize by HostName

Очистка ресурсов

Оцените, нужны ли вам такие ресурсы, как созданная виртуальная машина. Ресурсы, которые вы оставляете, могут стоить вам денег. Удалите ресурсы, которые вам не нужны по отдельности. Вы также можете удалить группу ресурсов, чтобы удалить все созданные ресурсы.

Связанные материалы

  • Last updated on