Пользовательские журналы через соединитель данных AMA— настройка приема данных для Microsoft Sentinel из определенных приложений

Настраиваемые журналы Microsoft Sentinel через соединитель данных AMA поддерживает сбор журналов из текстовых файлов из нескольких различных сетевых приложений и устройств безопасности.

В этой статье содержатся сведения о конфигурации, уникальные для каждого конкретного приложения безопасности, которые необходимо предоставить при настройке этого соединителя данных. Эти сведения предоставляются поставщиками приложений. Обратитесь к поставщику за обновлениями, за дополнительными сведениями или когда сведения недоступны для приложения безопасности. Полные инструкции по установке и настройке соединителя см. в статье Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и прием для Microsoft Sentinel, но уникальные сведения для каждого приложения см. в этой статье.

В этой статье также показано, как принимать данные из этих приложений в рабочую область Microsoft Sentinel без использования соединителя. Эти шаги включают установку агента мониторинга Azure. После установки соединителя используйте инструкции, соответствующие приложению, как показано далее в этой статье, чтобы завершить настройку.

Устройства, с которых вы собираете пользовательские текстовые журналы, делятся на две категории:

  • Приложения, установленные на компьютерах с Windows или Linux

    Приложение хранит файлы журналов на компьютере, где оно установлено. Для сбора этих журналов на том же компьютере установлен агент Azure Monitor.

  • Автономные устройства на закрытых (обычно Linux) устройствах

    Эти устройства хранят свои журналы на внешнем сервере системного журнала. Для сбора этих журналов на этом внешнем сервере системного журнала установлен агент Azure Monitor, который часто называется сервером пересылки журналов.

Дополнительные сведения о связанном решении Microsoft Sentinel для каждого из этих приложений можно найти в Azure Marketplace пошаблону решениядля типов> продуктов или просмотреть решение в центре содержимого в Microsoft Sentinel.

Важно!

После 31 марта 2027 г. Microsoft Sentinel больше не будут поддерживаться в портал Azure и будут доступны только на портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel в портал Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender. Начиная с июля 2025 г. многие новые клиенты автоматически подключены и перенаправляются на портал Defender.

Если вы по-прежнему используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender. Дополнительные сведения см. в статье Время перемещения: портал Azure списания Microsoft Sentinel для повышения безопасности.

Общие инструкции

Действия по сбору журналов с компьютеров, на котором размещены приложения и устройства, соответствуют общей схеме:

  1. Создайте целевую таблицу в одном из следующих расположений:

    • На портале Defender используйте страницу Расширенная охота .
    • В портал Azure используйте Log Analytics.

  2. Создайте правило сбора данных (DCR) для приложения или (модуль).

  3. Разверните агент мониторинга Azure на компьютере, на котором размещено приложение, или на внешнем сервере (сервер пересылки журналов), который собирает журналы с устройств, если он еще не развернут.

  4. Настройте ведение журнала в приложении. Если (модуль), настройте его для отправки журналов на внешний сервер (сервер пересылки журналов), где установлен агент Azure Monitor.

Эти общие шаги (за исключением последнего) автоматизированы при использовании пользовательских журналов через соединитель данных AMA и подробно описаны в статье Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и прием для Microsoft Sentinel.

Конкретные инструкции для каждого типа приложения

Сведения для каждого приложения, необходимые для выполнения этих действий, приведены в оставшейся части этой статьи. Некоторые из этих приложений работают на автономных устройствах и требуют другого типа конфигурации, начиная с использования средства пересылки журналов.

Каждый раздел приложения содержит следующие сведения:

  • Уникальные параметры для предоставления конфигурации пользовательских журналов через соединитель данных AMA, если вы используете его.
  • Структура процедуры, необходимой для приема данных вручную без использования соединителя. Дополнительные сведения об этой процедуре см. в статье Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и прием Microsoft Sentinel.
  • Конкретные инструкции по настройке самих исходных приложений или устройств и (или) ссылки на инструкции на веб-сайтах поставщиков. Эти действия необходимо выполнить независимо от того, используете соединитель или нет.

HTTP-сервер Apache

Выполните следующие действия, чтобы принимать сообщения журнала с HTTP-сервера Apache:

  1. Имя таблицы: ApacheHTTPServer_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "C:\Server\bin\log\Apache24\logs\*.log"
    • Linux:"/var/log/httpd/*.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

Apache Tomcat

Выполните следующие действия, чтобы принимать сообщения журнала из Apache Tomcat:

  1. Имя таблицы: Tomcat_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Linux:"/var/log/tomcat/*.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

Cisco Meraki

Выполните следующие действия, чтобы принять сообщения журнала от Cisco Meraki:

  1. Имя таблицы: meraki_CL

  2. Расположение хранилища журналов. Создайте файл журнала на внешнем сервере системного журнала. Предоставьте управляемой программе системного журнала разрешения на запись в файл. Установите AMA на внешнем сервере системного журнала, если он еще не установлен. Введите это имя файла и путь в поле Шаблон файла в соединителе или вместо {LOCAL_PATH_FILE} заполнителя в DCR.

  3. Настройте управляемую программу системного журнала для экспорта сообщений журнала Meraki во временный текстовый файл, чтобы AMA могла их собирать.

    1. Создайте пользовательский файл конфигурации для управляющей программы rsyslog и сохраните его в /etc/rsyslog.d/10-meraki.conf. Добавьте следующие условия фильтрации в этот файл конфигурации:

      if $rawmsg contains "flows" then {
    action(type="omfile" file="<LOG_FILE_Name>")
    stop
}
if $rawmsg contains "urls" then { 
    action(type="omfile" file="<LOG_FILE_Name>") 
    stop 
} 
if $rawmsg contains "ids-alerts" then { 
    action(type="omfile" file="<LOG_FILE_Name>") 
    stop 
} 
if $rawmsg contains "events" then { 
    action(type="omfile" file="<LOG_FILE_Name>") 
    stop 
} 
if $rawmsg contains "ip_flow_start" then { 
    action(type="omfile" file="<LOG_FILE_Name>") 
    stop 
} 
if $rawmsg contains "ip_flow_end" then { 
    action(type="omfile" file="<LOG_FILE_Name>") 
    stop 
}

      (Замените <LOG_FILE_Name> именем созданного файла журнала.)

      Дополнительные сведения об условиях фильтрации для rsyslog см. в статье rsyslog: условия фильтрации. Мы рекомендуем протестировать и изменить конфигурацию в зависимости от конкретной установки.

    2. Перезапустите rsyslog. Типичный синтаксис команды — systemctl restart rsyslog.

  4. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    • Замените имя столбца именем "RawData""Message"столбца .

    • Замените значение transformKql значением "source""source | project-rename Message=RawData".

    • Замените {TABLE_NAME} заполнители и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  5. Настройте компьютер, на котором установлен агент мониторинга Azure, чтобы открыть порты системного журнала, и настройте управляемую программу системного журнала для приема сообщений из внешних источников. Подробные инструкции и скрипт для автоматизации этой конфигурации см. в статье Настройка средства пересылки журналов для приема журналов.

  6. Настройка и подключение устройств Cisco Meraki. Следуйте инструкциям, предоставленным Cisco для отправки сообщений системного журнала. Используйте IP-адрес или имя узла виртуальной машины, на которой установлен агент мониторинга Azure.

К началу страницы

Платформа корпоративных приложений JBoss

Выполните следующие действия, чтобы принимать сообщения журнала из платформы приложений JBoss Enterprise:

  1. Имя таблицы: JBossLogs_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns) — только Linux:

    • Автономный сервер: "{EAP_HOME}/standalone/log/server.log"
    • Управляемый домен: "{EAP_HOME}/domain/servers/{SERVER_NAME}/log/server.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

JuniperIDP

Выполните следующие действия, чтобы принимать сообщения журнала из JuniperIDP:

  1. Имя таблицы: JuniperIDP_CL

  2. Расположение хранилища журналов. Создайте файл журнала на внешнем сервере системного журнала. Предоставьте управляемой программе системного журнала разрешения на запись в файл. Установите AMA на внешнем сервере системного журнала, если он еще не установлен. Введите это имя файла и путь в поле Шаблон файла в соединителе или вместо {LOCAL_PATH_FILE} заполнителя в DCR.

  3. Настройте управляемую программу системного журнала для экспорта сообщений журнала JuniperIDP во временный текстовый файл, чтобы AMA могла их собирать.

    1. Создайте пользовательский файл конфигурации для управляющей программы rsyslog в /etc/rsyslog.d/ папке со следующими условиями фильтрации:

       # Define a new ruleset
ruleset(name="<RULESET_NAME>") { 
    action(type="omfile" file="<LOG_FILE_NAME>") 
} 

 # Set the input on port and bind it to the new ruleset 
input(type="imudp" port="<PORT>" ruleset="<RULESET_NAME>")

      (Замените <parameters> фактическими именами представленных объектов. <> LOG_FILE_NAME — это файл, созданный на шаге 2.)

    2. Перезапустите rsyslog. Типичный синтаксис команды — systemctl restart rsyslog.

  4. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    • Замените имя столбца именем "RawData""Message"столбца .

    • Замените {TABLE_NAME} заполнители и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

    • Замените значение "source" transformKql следующим запросом Kusto (заключен в двойные кавычки):

      source | parse RawData with tmp_time " " host_s " " ident_s " " tmp_pid " " msgid_s " " extradata | extend dvc_os_s = extract("\\[(junos\\S+)", 1, extradata) | extend event_end_time_s = extract(".*epoch-time=\"(\\S+)\"", 1, extradata) | extend message_type_s = extract(".*message-type=\"(\\S+)\"", 1, extradata) | extend source_address_s = extract(".*source-address=\"(\\S+)\"", 1, extradata) | extend destination_address_s = extract(".*destination-address=\"(\\S+)\"", 1, extradata) | extend destination_port_s = extract(".*destination-port=\"(\\S+)\"", 1, extradata) | extend protocol_name_s = extract(".*protocol-name=\"(\\S+)\"", 1, extradata) | extend service_name_s = extract(".*service-name=\"(\\S+)\"", 1, extradata) | extend application_name_s = extract(".*application-name=\"(\\S+)\"", 1, extradata) | extend rule_name_s = extract(".*rule-name=\"(\\S+)\"", 1, extradata) | extend rulebase_name_s = extract(".*rulebase-name=\"(\\S+)\"", 1, extradata) | extend policy_name_s = extract(".*policy-name=\"(\\S+)\"", 1, extradata) | extend export_id_s = extract(".*export-id=\"(\\S+)\"", 1, extradata) | extend repeat_count_s = extract(".*repeat-count=\"(\\S+)\"", 1, extradata) | extend action_s = extract(".*action=\"(\\S+)\"", 1, extradata) | extend threat_severity_s = extract(".*threat-severity=\"(\\S+)\"", 1, extradata) | extend attack_name_s = extract(".*attack-name=\"(\\S+)\"", 1, extradata) | extend nat_source_address_s = extract(".*nat-source-address=\"(\\S+)\"", 1, extradata) | extend nat_source_port_s = extract(".*nat-source-port=\"(\\S+)\"", 1, extradata) | extend nat_destination_address_s = extract(".*nat-destination-address=\"(\\S+)\"", 1, extradata) | extend nat_destination_port_s = extract(".*nat-destination-port=\"(\\S+)\"", 1, extradata) | extend elapsed_time_s = extract(".*elapsed-time=\"(\\S+)\"", 1, extradata) | extend inbound_bytes_s = extract(".*inbound-bytes=\"(\\S+)\"", 1, extradata) | extend outbound_bytes_s = extract(".*outbound-bytes=\"(\\S+)\"", 1, extradata) | extend inbound_packets_s = extract(".*inbound-packets=\"(\\S+)\"", 1, extradata) | extend outbound_packets_s = extract(".*outbound-packets=\"(\\S+)\"", 1, extradata) | extend source_zone_name_s = extract(".*source-zone-name=\"(\\S+)\"", 1, extradata) | extend source_interface_name_s = extract(".*source-interface-name=\"(\\S+)\"", 1, extradata) | extend destination_zone_name_s = extract(".*destination-zone-name=\"(\\S+)\"", 1, extradata) | extend destination_interface_name_s = extract(".*destination-interface-name=\"(\\S+)\"", 1, extradata) | extend packet_log_id_s = extract(".*packet-log-id=\"(\\S+)\"", 1, extradata) | extend alert_s = extract(".*alert=\"(\\S+)\"", 1, extradata) | extend username_s = extract(".*username=\"(\\S+)\"", 1, extradata) | extend roles_s = extract(".*roles=\"(\\S+)\"", 1, extradata) | extend msg_s = extract(".*message=\"(\\S+)\"", 1, extradata) | project-away RawData

      На следующем снимке экрана показан полный запрос в предыдущем примере в более удобочитаемом формате:

      Снимок экрана: развернутый запрос Kusto с разрывами строк для удобства чтения.

      Дополнительные сведения о следующих элементах, используемых в предыдущих примерах, см. в документации kusto:

      Дополнительные сведения о KQL см. в статье Общие сведения о язык запросов Kusto (KQL).

      Другие ресурсы

  5. Настройте компьютер, на котором установлен агент мониторинга Azure, чтобы открыть порты системного журнала, и настройте управляемую программу системного журнала для приема сообщений из внешних источников. Подробные инструкции и скрипт для автоматизации этой конфигурации см. в статье Настройка средства пересылки журналов для приема журналов.

  6. Инструкции по настройке (модуль) поставщика удостоверений Juniper для отправки сообщений системного журнала на внешний сервер см. в разделе SRX начало работы — настройка системного ведения журнала.

К началу страницы

Аудит MarkLogic

Выполните следующие действия, чтобы принимать сообщения журнала из MarkLogic Audit:

  1. Имя таблицы: MarkLogicAudit_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "C:\Program Files\MarkLogic\Data\Logs\AuditLog.txt"
    • Linux:"/var/opt/MarkLogic/Logs/AuditLog.txt"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  4. Настройка Аудита MarkLogic для записи журналов: (из документации по MarkLogic)

    1. В браузере перейдите к интерфейсу MarkLogic Администратор.
    2. Откройте экран Конфигурация аудита в разделе Группы > group_name > Аудит.
    3. Пометьте переключатель Аудит включено. Убедитесь, что он включен.
    4. Настройте нужные события аудита и (или) ограничения.
    5. Проверьте, нажав кнопку ОК.
    6. Дополнительные сведения и параметры конфигурации см. в документации по MarkLogic.

К началу страницы

Аудит MongoDB

Выполните следующие действия, чтобы принять сообщения журнала из аудита MongoDB:

  1. Имя таблицы: MongoDBAudit_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "C:\data\db\auditlog.json"
    • Linux:"/data/db/auditlog.json"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  4. Настройка MongoDB для записи журналов:

    1. Для Windows измените файл mongod.cfgконфигурации . Для Linux — mongod.conf.
    2. Задайте для dbpath параметра значение data/db.
    3. Задайте для path параметра значение /data/db/auditlog.json.
    4. Дополнительные параметры и сведения см. в документации по MongoDB.

К началу страницы

HTTP-сервер NGINX

Выполните следующие действия, чтобы принимать сообщения журнала с HTTP-сервера NGINX:

  1. Имя таблицы: NGINX_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Linux:"/var/log/nginx.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

Oracle WebLogic Server

Выполните следующие действия, чтобы принимать сообщения журнала из Oracle WebLogic Server:

  1. Имя таблицы: OracleWebLogicServer_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "{DOMAIN_NAME}\Servers\{SERVER_NAME}\logs*.log"
    • Linux:"{DOMAIN_HOME}/servers/{SERVER_NAME}/logs/*.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

События PostgreSQL

Выполните следующие действия, чтобы принимать сообщения журнала из событий PostgreSQL:

  1. Имя таблицы: PostgreSQL_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "C:\*.log"
    • Linux:"/var/log/*.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  4. Измените файл postgresql.conf конфигурации событий PostgreSQL, чтобы вывести журналы в файлы.

    1. Установить log_destination='stderr'
    2. Установить logging_collector=on
    3. Дополнительные параметры и сведения см. в документации по PostgreSQL.

К началу страницы

Обнаружение угроз SecurityBridge для SAP

Выполните следующие действия, чтобы принять сообщения журнала из SecurityBridge Threat Detection for SAP:

  1. Имя таблицы: SecurityBridgeLogs_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Linux:"/usr/sap/tmp/sb_events/*.cef"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

SquidProxy

Выполните следующие действия, чтобы принять сообщения журнала из SquidProxy:

  1. Имя таблицы: SquidProxy_CL

  2. Расположение хранилища журналов. Журналы хранятся в виде текстовых файлов на хост-компьютере приложения. Установите AMA на том же компьютере для сбора файлов.

    Расположение файлов по умолчанию (filePatterns):

    • Windows: "C:\Squid\var\log\squid\*.log"
    • Linux:"/var/log/squid/*.log"

  3. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    Замените заполнители {TABLE_NAME} и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

К началу страницы

Ubiquiti UniFi

Выполните следующие действия, чтобы принимать сообщения журнала из Ubiquiti UniFi:

  1. Имя таблицы: Ubiquiti_CL

  2. Расположение хранилища журналов. Создайте файл журнала на внешнем сервере системного журнала. Предоставьте управляемой программе системного журнала разрешения на запись в файл. Установите AMA на внешнем сервере системного журнала, если он еще не установлен. Введите это имя файла и путь в поле Шаблон файла в соединителе или вместо {LOCAL_PATH_FILE} заполнителя в DCR.

  3. Настройте управляемую программу системного журнала для экспорта сообщений журнала Ubiquiti во временный текстовый файл, чтобы AMA могла их собирать.

    1. Создайте пользовательский файл конфигурации для управляющей программы rsyslog в /etc/rsyslog.d/ папке со следующими условиями фильтрации:

       # Define a new ruleset
ruleset(name="<RULESET_NAME>") { 
    action(type="omfile" file="<LOG_FILE_NAME>") 
} 

 # Set the input on port and bind it to the new ruleset 
input(type="imudp" port="<PORT>" ruleset="<RULESET_NAME>")

      (Замените <parameters> фактическими именами представленных объектов. <> LOG_FILE_NAME — это файл, созданный на шаге 2.)

    2. Перезапустите rsyslog. Типичный синтаксис команды — systemctl restart rsyslog.

  4. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    • Замените имя столбца именем "RawData""Message"столбца .

    • Замените значение transformKql значением "source""source | project-rename Message=RawData".

    • Замените {TABLE_NAME} заполнители и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  5. Настройте компьютер, на котором установлен агент мониторинга Azure, чтобы открыть порты системного журнала, и настройте управляемую программу системного журнала для приема сообщений из внешних источников. Подробные инструкции и скрипт для автоматизации этой конфигурации см. в статье Настройка средства пересылки журналов для приема журналов.

  6. Настройте и подключите контроллер Ubiquiti.

    1. Следуйте инструкциям, предоставленным Ubiquiti , чтобы включить системный журнал и при необходимости выполнить отладку журналов.
    2. Выберите Параметры > Удаленное ведение журнала конфигурации контроллера системных >> параметров и включите системный журнал.

К началу страницы

VMware vCenter

Выполните следующие действия, чтобы принимать сообщения журнала из VMware vCenter:

  1. Имя таблицы: vcenter_CL

  2. Расположение хранилища журналов. Создайте файл журнала на внешнем сервере системного журнала. Предоставьте управляемой программе системного журнала разрешения на запись в файл. Установите AMA на внешнем сервере системного журнала, если он еще не установлен. Введите это имя файла и путь в поле Шаблон файла в соединителе или вместо {LOCAL_PATH_FILE} заполнителя в DCR.

  3. Настройте управляемую программу системного журнала для экспорта сообщений журнала vCenter во временный текстовый файл, чтобы AMA могла их собирать.

    1. Измените файл /etc/rsyslog.conf конфигурации, добавив следующую строку шаблона перед разделом директивы :

      $template vcenter,"%timestamp% %hostname% %msg%\ n"

    2. Создайте пользовательский файл конфигурации для управляющей программы rsyslog, сохраненную в соответствии /etc/rsyslog.d/10-vcenter.conf со следующими условиями фильтрации:

      if $rawmsg contains "vpxd" then {
    action(type="omfile" file="/<LOG_FILE_NAME>")
    stop
}
if $rawmsg contains "vcenter-server" then { 
    action(type="omfile" file="/<LOG_FILE_NAME>") 
    stop 
}

      (Замените <LOG_FILE_NAME> именем созданного файла журнала.)

    3. Перезапустите rsyslog. Типичный синтаксис команды — sudo systemctl restart rsyslog.

  4. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    • Замените имя столбца именем "RawData""Message"столбца .

    • Замените значение transformKql значением "source""source | project-rename Message=RawData".

    • Замените {TABLE_NAME} заполнители и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

    • DataCollectionEndpointId должен быть заполнен вашим DCE. Если у вас его нет, определите новый. Инструкции см. в разделе Создание конечной точки сбора данных .

  5. Настройте компьютер, на котором установлен агент мониторинга Azure, чтобы открыть порты системного журнала, и настройте управляемую программу системного журнала для приема сообщений из внешних источников. Подробные инструкции и скрипт для автоматизации этой конфигурации см. в статье Настройка средства пересылки журналов для приема журналов.

  6. Настройте и подключите устройства vCenter.

    1. Следуйте инструкциям, предоставленным VMware для отправки сообщений системного журнала.
    2. Используйте IP-адрес или имя узла компьютера, на котором установлен агент мониторинга Azure.

К началу страницы

Zscaler Private Access (ZPA)

Выполните следующие действия, чтобы принимать сообщения журнала из Zscaler Private Access (ZPA):

  1. Имя таблицы: ZPA_CL

  2. Расположение хранилища журналов. Создайте файл журнала на внешнем сервере системного журнала. Предоставьте управляемой программе системного журнала разрешения на запись в файл. Установите AMA на внешнем сервере системного журнала, если он еще не установлен. Введите это имя файла и путь в поле Шаблон файла в соединителе или вместо {LOCAL_PATH_FILE} заполнителя в DCR.

  3. Настройте управляемую программу системного журнала для экспорта сообщений журнала ZPA во временный текстовый файл, чтобы AMA могла их собирать.

    1. Создайте пользовательский файл конфигурации для управляющей программы rsyslog в /etc/rsyslog.d/ папке со следующими условиями фильтрации:

       # Define a new ruleset
ruleset(name="<RULESET_NAME>") { 
    action(type="omfile" file="<LOG_FILE_NAME>") 
} 

 # Set the input on port and bind it to the new ruleset 
input(type="imudp" port="<PORT>" ruleset="<RULESET_NAME>")

      (Замените <parameters> фактическими именами представленных объектов.)

    2. Перезапустите rsyslog. Типичный синтаксис команды — systemctl restart rsyslog.

  4. Создайте DCR в соответствии с инструкциями в разделе Сбор журналов из текстовых файлов с помощью агента мониторинга Azure и приема Microsoft Sentinel.

    • Замените имя столбца именем "RawData""Message"столбца .

    • Замените значение transformKql значением "source""source | project-rename Message=RawData".

    • Замените {TABLE_NAME} заполнители и {LOCAL_PATH_FILE} в шаблоне DCR значениями в шагах 1 и 2. Замените остальные заполнители, как указано.

  5. Настройте компьютер, на котором установлен агент мониторинга Azure, чтобы открыть порты системного журнала, и настройте управляемую программу системного журнала для приема сообщений из внешних источников. Подробные инструкции и скрипт для автоматизации этой конфигурации см. в статье Настройка средства пересылки журналов для приема журналов.

  6. Настройте и подключите приемник ZPA.

    1. Следуйте инструкциям, предоставленным ZPA. Выберите JSON в качестве шаблона журнала.
    2. Выберите Параметры > Удаленное ведение журнала конфигурации контроллера системных >> параметров и включите системный журнал.

К началу страницы

Связанные материалы

  • Last updated on