Создание snapshot отчетов об обнаружении облака

Важно отправить журнал вручную и позволить Microsoft Defender для облачных приложений проанализировать его, прежде чем пытаться использовать автоматический сборщик журналов. Сведения о том, как работает сборщик журналов и ожидаемый формат журнала, включая обязательные атрибуты и условия журнала трафика, см. в разделе "Использование журналов трафика для обнаружения облака " далее в этой статье.

Если у вас еще нет журнала и вы хотите просмотреть пример того, как должен выглядеть журнал, скачайте пример файла журнала. Следуйте процедуре создания отчёта о снимке состояния, чтобы увидеть, как должен выглядеть ваш журнал.

Чтобы создать отчет snapshot, выполните приведенные далее действия.

1. Соберите файлы журналов брандмауэра и прокси-сервера, через которые пользователи этой организации выходят в Интернет. Обязательно собирайте журналы во время пикового трафика, отражающие все действия пользователей в этой организации.

2. На портале Microsoft Defender в разделе Облачные приложения выберите Обнаружение облаков.

3. В правом верхнем углу откройте меню Действия и выберите Создать отчёт о моментальном снимке Cloud Discovery.

   

4. Нажмите кнопку Далее.

5. Введите имя отчета и описание.

   

6. Выберите Источник из которого вы хотите отправить файлы журнала. Если источник не поддерживается (полный список поддерживаемых брандмауэров и прокси-серверов см. в разделе Поддерживаемые брандмауэры и прокси-серверы ), можно создать пользовательское средство синтаксического анализа. Дополнительные сведения см. в разделе Использование настраиваемого средства синтаксического анализа журналов.

7. Проверьте, правильно ли отформатирован журнал в соответствии с образцом журнала, который вы можете скачать. В разделе Проверить формат журнала выберите Формат журнала а затем выберите Скачать образец журнала. Сравните свой журнал с предоставленным образцом, чтобы проверить, совместим ли он.

   

   Примечание.

   Формат образца FTP поддерживается в снимках и при автоматической загрузке, а syslog поддерживается только при автоматической загрузке. При скачивании примера журнала загружается пример журнала FTP.

8. Отправьте журналы трафика , которые вы хотите отправить. Вы можете отправить до 20 файлов одновременно. Также поддерживаются сжатые и заархивированные файлы.

   

9. Выберите Отправить журналы.

10. После завершения отправки в правом верхнем углу экрана появится сообщение о состоянии, сообщающее о том, что журнал успешно отправлен.

11. После отправки файлов журнала потребуется некоторое время для их разбора и анализа. После завершения обработки файлов журналов вы получите электронное письмо с уведомлением об этом.

12. В строке состояния в верхней части панели мониторинга Cloud Discovery появится баннер уведомления. Баннер информирует вас о состоянии обработки файлов журналов.

13. После успешной отправки журналов вы увидите уведомление о том, что обработка файла журнала успешно завершена. На этом этапе отчет можно просмотреть, щелкнув ссылку в строке состояния. Или на портале Microsoft Defender выберите Параметры.

14. Затем в разделе Cloud Discovery выберите Отчеты о моментальных снимках и выберите отчет snapshot.

    

Использование журналов трафика для обнаружения в облаке

Cloud Discovery использует данные в журналах трафика. Чем подробнее ваш лог, тем лучше обзор. Для облачного обнаружения требуются данные веб-трафика со следующими атрибутами:

• Дата транзакции
• Исходный IP-адрес
• Исходный пользователь — настоятельно рекомендуется
• IP-адрес назначения
• Рекомендуемый URL-адрес назначения (URL-адреса обеспечивают более высокую точность обнаружения облачных приложений, чем IP-адреса)
• Общий объем данных (сведения о данных очень ценны)
• Объем отправленных или скачанных данных (предоставляет сведения о шаблонах использования облачных приложений).
• Предпринятое действие (разрешено или заблокировано)

Обнаружение в облаке не может отображать или анализировать атрибуты, которые не включены в журналы. Например, стандартный формат журнала брандмауэра Cisco ASA не содержит количество отправленных байтов на транзакцию, имя пользователя и целевой URL-адрес (только целевой IP-адрес). Поэтому эти атрибуты не будут отображаться в данных обнаружения облака для этих журналов, а видимость облачных приложений будет ограничена. Для межсетевых экранов Cisco ASA необходимо установить информационный уровень 6.

Чтобы успешно создать отчет об обнаружении облака, журналы трафика должны соответствовать следующим условиям:

1. Поддерживаемые брандмауэры и прокси-серверы для облачного обнаружения.
2. Формат журнала соответствует ожидаемому стандартному формату (формат проверяется при загрузке инструментом журнала).
3. События не старше 90 дней.
4. Файл журнала действителен и содержит сведения об исходящем трафике.
5. Настройте устройство так, чтобы оно пересылало только журналы трафика. Включение несвязанных журналов в конфигурацию может увеличить объем поступающего трафика.

Дальнейшие действия

Если у вас возникнут какие-либо проблемы, мы здесь, чтобы помочь. Чтобы получить помощь или поддержку по проблеме с продуктом, отправьте запрос в службу поддержки.