Системный журнал через соединитель данных AMA— настройка определенного (модуль) или устройства для приема данных Microsoft Sentinel

Соединитель данных Syslog через AMA в Microsoft Sentinel собирает журналы со многих устройств и устройств безопасности. В этой статье перечислены предоставленные поставщиком инструкции по установке для конкретных устройств безопасности и устройств, использующих этот соединитель данных. Обратитесь к поставщику за обновлениями, дополнительными сведениями или сведениями о том, где сведения недоступны для (модуль) безопасности или устройства.

Чтобы перенаправить данные в рабочую область Log Analytics для Microsoft Sentinel, выполните действия, описанные в статье Прием сообщений системного журнала и CEF для Microsoft Sentinel с помощью агента мониторинга Azure. После выполнения этих действий установите syslog через соединитель данных AMA в Microsoft Sentinel. Затем используйте инструкции соответствующего поставщика, приведенные в этой статье, чтобы завершить настройку.

Дополнительные сведения о связанном решении Microsoft Sentinel для каждого из этих устройств или устройств, выполните поиск в Azure Marketplace пошаблону решениядля типов> продуктов или просмотрите решение в центре содержимого в Microsoft Sentinel.

Важно!

Решения, предоставляемые сторонними поставщиками, могут по-прежнему ссылаться на устаревший соединитель агента Log Analytics . Эти соединители не поддерживаются для новых развертываний. Вы можете продолжать использовать те же решения с соединителем данных Syslog через AMA .

Barracuda CloudGen Firewall

Следуйте инструкциям , чтобы настроить потоковую передачу системного журнала. Используйте IP-адрес или имя узла для Linux компьютера с установленным агентом Microsoft Sentinel для IP-адреса назначения.

Ежевика CylancePROTECT

Следуйте этим инструкциям, чтобы настроить CylancePROTECT для пересылки системного журнала. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Инфраструктура, ориентированная на приложения Cisco (ACI)

Настройте систему Cisco ACI для отправки журналов через системный журнал на удаленный сервер, где устанавливается агент. Выполните следующие действия , чтобы настроить назначение системного журнала, группу назначения и источник системного журнала.

Этот соединитель данных был разработан с помощью Cisco ACI Release 1.x.

Подсистема служб идентификации Cisco (ISE)

Следуйте этим инструкциям, чтобы настроить удаленные расположения сборок системного журнала в развертывании Cisco ISE.

Cisco Stealthwatch

Выполните следующие действия по настройке, чтобы получить журналы Cisco Stealthwatch в Microsoft Sentinel.

  1. Войдите в консоль управления Stealthwatch (SMC) с правами администратора.

  2. В строке меню выберите Управлениеответами конфигурации>.

  3. В разделе Действия в меню Управление ответами выберите Добавить > сообщение системного журнала.

  4. В окне Добавление действия с сообщениями системного журнала настройте параметры.

  5. Введите следующий настраиваемый формат:

    |Lancope|Stealthwatch|7.3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}

  6. Выберите настраиваемый формат в списке и ОК.

  7. Выберите Правила управления ответами>.

  8. Выберите Добавить и Разместить оповещение.

  9. Укажите имя правила в поле Имя .

  10. Создайте правила, выбрав значения в меню Тип и Параметры . Чтобы добавить дополнительные правила, щелкните значок с многоточием. Для оповещения узла объедините как можно больше типов в инструкции.

Этот соединитель данных был разработан с помощью Cisco Stealthwatch версии 7.3.2

Cisco Unified Computing Systems (UCS)

Следуйте этим инструкциям, чтобы настроить Cisco UCS для пересылки системного журнала. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним CiscoUCS. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Устройство веб-безопасности Cisco (WSA)

Настройте Cisco для пересылки журналов через системный журнал на удаленный сервер, где устанавливается агент. Выполните следующие действия , чтобы настроить Cisco WSA для пересылки журналов через системный журнал.

Выберите Отправить системный журнал в качестве метода извлечения.

Этот соединитель данных был разработан с помощью AsyncOS 14.0 для устройства веб-безопасности Cisco

Контроллер доставки приложений Citrix (ADC)

Настройте Citrix ADC (прежнее название NetScaler) для пересылки журналов через системный журнал.

  1. Перейдите на вкладку > Конфигурация Вкладка Системный > аудит > Серверы системного журнала >
  2. Укажите имя действия системного журнала.
  3. Задайте IP-адрес удаленного сервера системного журнала и порт.
  4. Задайте для параметра Тип транспортазначение TCP или UDP в зависимости от конфигурации удаленного сервера системного журнала.

Дополнительные сведения см. в документации по Citrix ADC (бывший NetScaler).

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения. Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним CitrixADCEvent. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Для этого средства синтаксического анализа требуется список отслеживания с именем Sources_by_SourceType.

и. Если список отслеживания еще не создан, создайте список отслеживания из Microsoft Sentinel в портал Azure.

ii. Откройте список отслеживания Sources_by_SourceType и добавьте записи для этого источника данных.

ii. Значение SourceType для CitrixADC — CitrixADC. Дополнительные сведения см. в статье Управление средствами синтаксического анализа расширенной информационной модели безопасности (ASIM).

Защита от потери данных Digital Guardian

Выполните следующие действия, чтобы настроить Digital Guardian для пересылки журналов через системный журнал.

  1. Войдите в консоль управления Digital Guardian.
  2. ВыберитеЭкспорт> данных рабочей области>Создать экспорт.
  3. В списке Источники данных выберите Оповещения или События в качестве источника данных.
  4. В списке Тип экспорта выберите Системный журнал.
  5. В списке Тип выберите UDP или TCP в качестве транспортного протокола.
  6. В поле Сервер введите IP-адрес удаленного сервера системного журнала.
  7. В поле Порт введите 514 (или другой порт, если сервер системного журнала настроен на использование неразрешимого порта).
  8. В списке Уровень серьезности выберите уровень серьезности.
  9. Установите флажок Активно проверка.
  10. Нажмите кнопку Далее.
  11. В списке доступных полей добавьте поля оповещения или события для экспорта данных.
  12. Выберите критерии для полей в экспорте данных и Далее.
  13. Выберите группу для условий и Далее.
  14. Выберите Тестовый запрос.
  15. Нажмите кнопку Далее.
  16. Сохраните экспорт данных.

Интеграция ESET Protect

Настройте ESET PROTECT для отправки всех событий через системный журнал.

  1. Следуйте этим инструкциям, чтобы настроить выходные данные системного журнала. Обязательно выберите BSD в качестве формата и TCP в качестве транспорта.
  2. Следуйте этим инструкциям , чтобы экспортировать все журналы в системный журнал. Выберите JSON в качестве выходного формата.

Exabeam Расширенная аналитика

Следуйте этим инструкциям, чтобы отправлять данные журнала действий Exabeam Расширенная аналитика через системный журнал.

Этот соединитель данных был разработан с помощью Exabeam Расширенная аналитика i54 (Syslog)

Forescout

Выполните следующие действия, чтобы получить журналы Forescout в Microsoft Sentinel.

  1. Выберите устройство для настройки.
  2. Следуйте этим инструкциям, чтобы перенаправить оповещения с платформы Forescout на сервер системного журнала.
  3. Настройте параметры на вкладке Триггеры системного журнала .

Этот соединитель данных был разработан с помощью подключаемого модуля Forescout Syslog версии 3.6.

Gitlab

Следуйте этим инструкциям, чтобы отправлять данные журнала аудита Gitlab через системный журнал.

Привязка ISC

  1. Следуйте этим инструкциям, чтобы настроить привязку ISC для пересылки журналов syslog: DNS.
  2. Настройте syslog для отправки трафика системного журнала агенту. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Операционная система сетевого удостоверения Infoblox (NIOS)

Следуйте этим инструкциям, чтобы включить переадресацию журналов Infoblox NIOS. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним Infoblox. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Для этого средства синтаксического анализа требуется список отслеживания с именем Sources_by_SourceType.

и. Если список отслеживания еще не создан, создайте список отслеживания из Microsoft Sentinel в портал Azure.

ii. Откройте список отслеживания Sources_by_SourceType и добавьте записи для этого источника данных.

ii. Значение SourceType для InfobloxNIOS — InfobloxNIOS.

Дополнительные сведения см. в статье Управление средствами синтаксического анализа расширенной информационной модели безопасности (ASIM).

Ivanti Unified Endpoint Management

Следуйте инструкциям, чтобы настроить действия с оповещениями для отправки журналов на сервер системного журнала.

Этот соединитель данных был разработан с помощью Ivanti Unified Endpoint Management Release 2021.1 версии 11.0.3.374

Juniper SRX

  1. Выполните следующие инструкции, чтобы настроить Juniper SRX для пересылки системного журнала:

  2. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Платформа безопасности сети McAfee

Выполните следующие действия по настройке, чтобы получить журналы McAfee® Network Security Platform в Microsoft Sentinel.

  1. Перенаправка оповещений от менеджера на сервер системного журнала.

  2. Необходимо добавить профиль уведомлений системного журнала. Чтобы убедиться, что события правильно отформатированы, при создании профиля введите следующий текст в текстовое поле Сообщение:

    <SyslogAlertForwarderNSP>:|SENSOR_ALERT_UUID|ALERT_TYPE|ATTACK_TIME|ATTACK_NAME|ATTACK_ID |ATTACK_SEVERITY|ATTACK_SIGNATURE|ATTACK_CONFIDENCE|ADMIN_DOMAIN|SENSOR_NAME|INTERFACE |SOURCE_IP|SOURCE_PORT|DESTINATION_IP|DESTINATION_PORT|CATEGORY|SUB_CATEGORY |DIRECTION|RESULT_STATUS|DETECTION_MECHANISM|APPLICATION_PROTOCOL|NETWORK_PROTOCOL|

Этот соединитель данных был разработан с помощью McAfee® Network Security Platform версии 10.1.x.

McAfee ePolicy Orchestrator

Обратитесь к поставщику за рекомендациями по регистрации сервера системного журнала.

Microsoft Sysmon for Linux

Этот соединитель данных зависит от средства синтаксического анализа ASIM на основе функций Kusto, которые будут работать должным образом. Разверните средства синтаксического анализа.

Развертываются следующие функции:

  • vimFileEventLinuxSysmonFileCreated, vimFileEventLinuxSysmonFileDeleted
  • vimProcessCreateLinuxSysmon, vimProcessTerminateLinuxSysmon
  • vimNetworkSessionLinuxSysmon

Подробнее

Насуни

Следуйте инструкциям в руководстве по консоли управления Nasuni , чтобы настроить устройства Nasuni Edge для пересылки событий системного журнала. Используйте IP-адрес или имя узла Linux устройства с агентом мониторинга Azure в поле Конфигурация серверов для параметров системного журнала.

Openvpn

Установите агент на сервере, где перенаправляются OpenVPN. Журналы сервера OpenVPN записываются в общий файл системного журнала (в зависимости от используемого Linux дистрибутива: например, /var/log/messages).

Аудит базы данных Oracle

Выполните следующие действия.

  1. Создайте базу данных Oracle . Выполните следующие действия.
  2. Войдите в созданную базу данных Oracle. Выполните следующие действия.
  3. Включение единого ведения журнала в системном журнале с помощью alter the system (Изменить систему), чтобы включить единое ведение журнала. Выполните следующие действия.
  4. Создайте и включите политику аудита для унифицированного аудита. Выполните следующие действия.
  5. Включение системного журнала и записи Просмотр событий для единого журнала аудита Выполните следующие действия.

Pulse Connect Secure

Следуйте инструкциям, чтобы включить потоковую передачу журналов в системном журнале Pulse Connect Secure. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним PulseConnectSecure. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

RSA SecurID

Выполните следующие действия, чтобы получить журналы диспетчера проверки подлинности RSA® SecurID в Microsoft Sentinel. Следуйте этим инструкциям , чтобы перенаправить оповещения из диспетчера на сервер системного журнала.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним RSASecurIDAMEvent. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Этот соединитель данных был разработан с помощью RSA SecurID Authentication Manager версии 8.4 и 8.5.

Брандмауэр Sophos XG

Следуйте этим инструкциям, чтобы включить потоковую передачу системного журнала. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа. Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним SophosXGFirewall. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Symantec Endpoint Protection

Следуйте этим инструкциям, чтобы настроить Symantec Endpoint Protection для пересылки системного журнала. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа. Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним SymantecEndpointProtection. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Symantec ProxySG

  1. Войдите в консоль управления Blue Coat.

  2. ВыберитеФорматыведения журнала> доступа к конфигурации>.

  3. Выберите Создать.

  4. Введите уникальное имя в поле Имя формата .

  5. Установите переключатель в поле Строка настраиваемого формата и вставьте следующую строку в поле.

    1 $(date) $(time) $(time-taken) $(c-ip) $(cs-userdn) $(cs-auth-groups) $(x-exception-id) $(sc-filter-result) $(cs-categories) $(quot)$(cs(Referer))$(quot) $(sc-status) $(s-action) $(cs-method) $(quot)$(rs(Content-Type))$(quot) $(cs-uri-scheme) $(cs-host) $(cs-uri-port) $(cs-uri-path) $(cs-uri-query) $(cs-uri-extension) $(quot)$(cs(User-Agent))$(quot) $(s-ip) $(sr-bytes) $(rs-bytes) $(x-virus-id) $(x-bluecoat-application-name) $(x-bluecoat-application-operation) $(cs-uri-port) $(x-cs-client-ip-country) $(cs-threat-risk)

  6. Нажмите OK.

  7. Выберите Применитьn.

  8. Следуйте этим инструкциям, чтобы включить потоковую передачу журналов Access в системном журнале. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним SymantecProxySG. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

Symantec VIP

Следуйте этим инструкциям, чтобы настроить шлюз Symantec VIP Enterprise для пересылки системного журнала. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним SymantecVIP. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

VMware ESXi

  1. Выполните следующие инструкции, чтобы настроить VMware ESXi для пересылки системного журнала:

  2. Используйте IP-адрес или имя узла для устройства Linux с установленным агентом Linux в качестве IP-адреса назначения.

Примечание.

Функциональность этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto, который является неотъемлемой частью его работы. Это средство синтаксического анализа развертывается в рамках установки решения.

Обновите средство синтаксического анализа и укажите имя узла исходных компьютеров, передающих журналы, в первой строке средства синтаксического анализа.

Чтобы получить доступ к коду функции в Log Analytics, перейдите в раздел Log Analytics/Microsoft Sentinel Журналы, выберите Функции и найдите псевдоним VMwareESXi. Кроме того, можно напрямую загрузить код функции. Обновление может занять около 15 минут после установки. Хотя решение ссылается на устаревший соединитель агента Log Analytics , вы можете продолжать использовать то же решение, включая средство синтаксического анализа, с помощью соединителя данных Syslog через AMA .

WatchGuard Firebox

Следуйте этим инструкциям, чтобы отправить данные журнала WatchGuard Firebox через системный журнал.

Связанные материалы

  • Last updated on