Syslog tramite il connettore dati AMA - Configurare un'appliance o un dispositivo specifico per l'inserimento dati di Microsoft Sentinel

La raccolta di log da molti dispositivi e appliance di sicurezza è supportata da Syslog tramite il connettore dati AMA in Microsoft Sentinel. Questo articolo elenca le istruzioni di installazione fornite dal provider per dispositivi e dispositivi di sicurezza specifici che usano questo connettore dati. Contattare il provider per gli aggiornamenti, altre informazioni o la posizione in cui le informazioni non sono disponibili per l'appliance di sicurezza o il dispositivo.

Per inoltrare i dati all'area di lavoro Log Analytics per Microsoft Sentinel, completare i passaggi descritti in Inserire messaggi syslog e CEF a Microsoft Sentinel con l'agente di Monitoraggio di Azure. Al termine di questi passaggi, installare Syslog tramite il connettore dati AMA in Microsoft Sentinel. Usare quindi le istruzioni del provider appropriato in questo articolo per completare la configurazione.

Per altre informazioni sulla soluzione Microsoft Sentinel correlata per ognuna di queste appliance o dispositivi, cercare i modelli di soluzione tipo di>prodotto in Azure Marketplace o esaminare la soluzione dall'hub contenuto in Microsoft Sentinel.

Barracuda CloudGen Firewall

Seguire le istruzioni per configurare lo streaming syslog. Usare l'indirizzo IP o il nome host per il computer Linux con l'agente di Microsoft Sentinel installato per l'indirizzo IP di destinazione.

Blackberry CylancePROTECT

Seguire queste istruzioni per configurare CylancePROTECT per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Cisco Application Centric Infrastructure (ACI)

Configurare il sistema Cisco ACI per inviare i log tramite syslog al server remoto in cui si installa l'agente. Seguire questa procedura per configurare la destinazione Syslog, il gruppo di destinazione e l'origine Syslog.

Questo connettore dati è stato sviluppato usando Cisco ACI Release 1.x.

Cisco Identity Services Engine (ISE)

Seguire queste istruzioni per configurare i percorsi di raccolta syslog remoti nella distribuzione cisco ISE.

Cisco Stealthwatch

Completare i passaggi di configurazione seguenti per ottenere i log di Cisco Stealthwatch in Microsoft Sentinel.

1. Accedere a Stealthwatch Management Console (SMC) come amministratore.

2. Nella barra dei menu selezionare Configuration Response Management(Gestione risposta configurazione>).

3. Nella sezione Azioni del menu Gestione risposta selezionare Aggiungi > messaggio Syslog.

4. Nella finestra Aggiungi azione messaggio Syslog configurare i parametri.

5. Immettere il formato personalizzato seguente:

   |Lancope|Stealthwatch|7.3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}

6. Selezionare il formato personalizzato dall'elenco e OK.

7. Selezionare Regole di gestione > delle risposte.

8. Selezionare Aggiungi allarme host.

9. Specificare un nome di regola nel campo Nome.

10. Creare regole selezionando i valori nei menu Tipo e Opzioni . Per aggiungere altre regole, selezionare l'icona con i puntini di sospensione. Per un allarme host, combinare il maggior numero possibile di tipi in un'istruzione.

Questo connettore dati è stato sviluppato con Cisco Stealthwatch versione 7.3.2

Cisco Unified Computing Systems (UCS)

Seguire queste istruzioni per configurare Cisco UCS per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Cisco Web Security Appliance (WSA)

Configurare Cisco per inoltrare i log tramite syslog al server remoto in cui si installa l'agente. Seguire questa procedura per configurare Cisco WSA per inoltrare i log tramite Syslog

Selezionare Syslog Push come metodo di recupero.

Questo connettore dati è stato sviluppato con AsyncOS 14.0 per Cisco Web Security Appliance

Citrix Application Delivery Controller (ADC)

Configurare Citrix ADC (ex NetScaler) per inoltrare i log tramite Syslog.

1. Passare alla scheda > Configurazione Controllo sistema > > Dei server Syslog >
2. Specificare il nome dell'azione Syslog.
3. Impostare l'indirizzo IP del server e della porta Syslog remoti.
4. Impostare Tipo di trasporto come TCP o UDP a seconda della configurazione del server syslog remoto.
5. Per altre informazioni, vedere la documentazione di Citrix ADC (ex NetScaler).

Digital Guardian Data Loss Prevention

Completare i passaggi seguenti per configurare Digital Guardian per l'inoltro dei log tramite Syslog:

1. Accedere alla Console di gestione di Digital Guardian.
2. Selezionare Area di lavoro>Esportazione dati>Crea esportazione.
3. Nell'elenco Origini dati selezionare Avvisi o Eventi come origine dati.
4. Nell'elenco Tipo di esportazione selezionare Syslog.
5. Nell'elenco Tipo selezionare UDP o TCP come protocollo di trasporto.
6. Nel campo Server digitare l'indirizzo IP del server syslog remoto.
7. Nel campo Porta digitare 514 o un'altra porta se il server syslog è stato configurato per l'uso della porta non predefinita.
8. Nell'elenco Livello di gravità selezionare un livello di gravità.
9. Selezionare la casella di controllo Attivo.
10. Selezionare Avanti.
11. Nell'elenco dei campi disponibili aggiungere i campi Avviso o Evento per l'esportazione dei dati.
12. Selezionare criteri per i campi nell'esportazione dei dati e Avanti.
13. Selezionare un gruppo per i criteri e Avanti.
14. Selezionare Query di test.
15. Selezionare Avanti.
16. Salvare l'esportazione dati.

Integrazione di ESET Protect

Configurare ESET PROTECT per inviare tutti gli eventi tramite Syslog.

1. Seguire queste istruzioni per configurare l'output syslog. Assicurarsi di selezionare BSD come formato e TCP come trasporto.
2. Seguire queste istruzioni per esportare tutti i log in syslog. Selezionare JSON come formato di output.

Exabeam Advanced Analytics

Seguire queste istruzioni per inviare i dati del log attività di Exabeam Advanced Analytics tramite syslog.

Questo connettore dati è stato sviluppato usando Exabeam Advanced Analytics i54 (Syslog)

Forescout

Completare i passaggi seguenti per ottenere i log di Forescout in Microsoft Sentinel.

1. Selezionare un'appliance da configurare.
2. Seguire queste istruzioni per inoltrare avvisi dalla piattaforma Forescout a un server syslog.
3. Configurare le impostazioni nella scheda Trigger Syslog.

Questo connettore dati è stato sviluppato usando la versione del plug-in Forescout Syslog: v3.6

Gitlab

Seguire queste istruzioni per inviare i dati dei log di controllo gitlab tramite syslog.

ISC Bind

1. Seguire queste istruzioni per configurare l'associazione ISC per inoltrare syslog: log DNS.
2. Configurare syslog per inviare il traffico syslog all'agente. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Infoblox Network Identity Operating System (NIOS)

Seguire queste istruzioni per abilitare l'inoltro syslog dei log NIOS di Infoblox. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Ivanti Unified Endpoint Management

Seguire le istruzioni per configurare azioni di avviso per inviare i log al server syslog.

Questo connettore dati è stato sviluppato usando Ivanti Unified Endpoint Management Release 2021.1 Versione 11.0.3.374

Juniper SRX

1. Completare le istruzioni seguenti per configurare Juniper SRX per inoltrare syslog:

   • Log del traffico (log dei criteri di sicurezza)
   • Log di sistema

2. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

McAfee Network Security Platform

Completare i passaggi di configurazione seguenti per ottenere i log di McAfee® Network Security Platform in Microsoft Sentinel.

1. Inoltrare avvisi dal gestore a un server syslog.

2. È necessario aggiungere un profilo di notifica syslog. Durante la creazione del profilo, per assicurarsi che gli eventi siano formattati correttamente, immettere il testo seguente nella casella di testo Messaggio:

   <SyslogAlertForwarderNSP>:|SENSOR_ALERT_UUID|ALERT_TYPE|ATTACK_TIME|ATTACK_NAME|ATTACK_ID |ATTACK_SEVERITY|ATTACK_SIGNATURE|ATTACK_CONFIDENCE|ADMIN_DOMAIN|SENSOR_NAME|INTERFACE |SOURCE_IP|SOURCE_PORT|DESTINATION_IP|DESTINATION_PORT|CATEGORY|SUB_CATEGORY |DIRECTION|RESULT_STATUS|DETECTION_MECHANISM|APPLICATION_PROTOCOL|NETWORK_PROTOCOL|

Questo connettore dati è stato sviluppato con McAfee® Network Security Platform versione: 10.1.x.

McAfee ePolicy Orchestrator

Per indicazioni su come registrare un server syslog, contattare il provider.

Microsoft Sysmon per Linux

Per funzionare come previsto, questo connettore di dati dipende dai parser ASIM basati sulle Funzioni Kusto. Distribuire i parser.

Vengono distribuite le funzioni seguenti:

• vimFileEventLinuxSysmonFileCreated, vimFileEventLinuxSysmonFileDeleted
• vimProcessCreateLinuxSysmon, vimProcessTerminateLinuxSysmon
• vimNetworkSessionLinuxSysmon

Altre informazioni

Nasuni

Seguire le istruzioni nella Guida alla Console di gestione nasuni per configurare appliance Nasuni Edge per inoltrare gli eventi syslog. Usare l'indirizzo IP o il nome host del dispositivo Linux che esegue l'agente di Monitoraggio di Azure nel campo Configurazione server per le impostazioni syslog.

OpenVPN

Installare l'agente nel server in cui viene inoltrato OpenVPN. I log del server OpenVPN vengono scritti nel file syslog comune (a seconda della distribuzione Linux usata, ad esempio /var/log/messages).

Audit di Oracle Database

Effettuare i seguenti passaggi.

1. Creare il database Oracle Seguire questa procedura.
2. Accedere al database Oracle creato. Effettuare i passaggi seguenti.
3. Abilitare la registrazione unificata su syslog Alterando il sistema per abilitare la registrazione unificataSeguendo questa procedura.
4. Creare e abilitare un criterio di audit per il audit unificatoSeguire questa procedura.
5. Abilitare syslog e Visualizzatore eventi Acquisisce per il Audit Trail unificato Seguire questa procedura.

Pulse Connect Secure

Seguire le istruzioni per abilitare lo streaming syslog dei log di Pulse Connect Secure. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

RSA SecurID

Completare i passaggi seguenti per ottenere i log di RSA® SecurID Authentication Manager in Microsoft Sentinel. Seguire queste istruzioni per inoltrare avvisi da Manager a un server syslog.

Questo connettore dati è stato sviluppato usando RSA SecurID Authentication Manager versione: 8.4 e 8.5

Sophos XG Firewall

Seguire queste istruzioni per abilitare lo streaming syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Symantec Endpoint Protection

Seguire queste istruzioni per configurare Symantec Endpoint Protection per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Symantec ProxySG

1. Accedere alla Console di gestione blue coat.

2. Selezionare Configuration Access Logging Formats (Formati di registrazione accesso alla configurazione>>).

3. Selezionare Nuovo.

4. Immettere un nome univoco nel campo Formato nome .

5. Selezionare il pulsante di opzione per Stringa di formato personalizzata e incollare la stringa seguente nel campo.

   1 $(date) $(time) $(time-taken) $(c-ip) $(cs-userdn) $(cs-auth-groups) $(x-exception-id) $(sc-filter-result) $(cs-categories) $(quot)$(cs(Referer))$(quot) $(sc-status) $(s-action) $(cs-method) $(quot)$(rs(Content-Type))$(quot) $(cs-uri-scheme) $(cs-host) $(cs-uri-port) $(cs-uri-path) $(cs-uri-query) $(cs-uri-extension) $(quot)$(cs(User-Agent))$(quot) $(s-ip) $(sr-bytes) $(rs-bytes) $(x-virus-id) $(x-bluecoat-application-name) $(x-bluecoat-application-operation) $(cs-uri-port) $(x-cs-client-ip-country) $(cs-threat-risk)

6. Seleziona OK.

7. Selezionare Applican.

8. Seguire queste istruzioni per abilitare lo streaming syslog dei log di Accesso . Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione

Symantec VIP

Seguire queste istruzioni per configurare Symantec VIP Enterprise Gateway per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

VMware ESXi

1. Seguire queste istruzioni per configurare VMware ESXi per inoltrare syslog:

   • VMware ESXi 3.5 e 4.x
   • VMware ESXi 5.0+

2. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

WatchGuard Firebox

Seguire queste istruzioni per inviare i dati di log di WatchGuard Firebox tramite syslog.

Contenuto correlato

• Inserire messaggi syslog e CEF in Microsoft Sentinel con l'agente di Monitoraggio di Azure
• Syslog tramite AMA e COMMON Event Format (CEF) tramite connettori AMA per Microsoft Sentinel