Azure Monitor 에이전트를 사용하여 텍스트 파일에서 로그를 수집하고 Microsoft Sentinel로 수집

DCR(데이터 수집 규칙)을 만듭니다.

시작하려면 Microsoft Sentinel에서 AMA를 통한 사용자 지정 로그 데이터 커넥터를 열고 DCR(데이터 수집 규칙)을 만듭니다.

1. Azure Portal의 Microsoft Sentinel의 경우 구성 아래에서 데이터 커넥터를 선택합니다.
   Defender 포털에서 Microsoft Sentinel의 경우 Microsoft Sentinel>구성>데이터 커넥터를 선택합니다.

2. 검색 상자에 custom을 입력합니다. 결과에서 AMA를 통한 사용자 지정 로그 커넥터를 선택합니다.

3. 세부 정보 창에서 커넥터 페이지 열기를 선택합니다.

   

4. 구성 영역에서 +데이터 수집 규칙 만들기를 선택합니다.

   

5. 기본 탭에서 다음을 수행합니다.

   • DCR 이름을 입력합니다.
   • 구독을 선택합니다.
   • DCR을 찾으려는 리소스 그룹을 선택합니다.

   

6. 다음: 리소스>를 선택합니다.

VM 리소스 정의

리소스 탭에서 로그를 수집할 컴퓨터를 선택합니다. 이는 애플리케이션이 설치된 컴퓨터이거나 로그 전달자 컴퓨터입니다. 찾고 있는 컴퓨터가 목록에 나타나지 않으면 Azure Connected Machine 에이전트가 설치된 Azure VM이 아닐 수 있습니다.

1. 사용 가능한 필터나 검색 상자를 사용하여 원하는 컴퓨터를 찾습니다. 목록에서 구독을 펼쳐 해당 리소스 그룹을 확인하고 리소스 그룹을 펼쳐 VM을 확인합니다.

2. 로그를 수집할 장비를 선택합니다. VM 이름를 마우스로 가리키면 해당 확인란이 옆에 나타납니다.

   

   선택한 컴퓨터에 Azure Monitor 에이전트가 아직 설치되어 있지 않으면 DCR이 만들어져 배포될 때 에이전트가 설치됩니다.

3. 변경 내용을 검토하고 다음: 수집 >을 선택합니다.

애플리케이션에 맞게 DCR 구성

1. 수집 탭에서 디바이스 유형 선택(선택 사항) 드롭다운 상자에서 애플리케이션이나 디바이스 유형을 선택하거나, 애플리케이션 또는 디바이스가 나열되지 않으면 사용자 지정 새 테이블로 그대로 둡니다.

2. 나열된 애플리케이션이나 디바이스 중 하나를 선택하면 테이블 이름 필드에 자동으로 올바른 테이블 이름이 채워집니다. 사용자 지정 새 테이블을 선택한 경우 테이블 이름에 테이블 이름을 입력합니다. 이름은 _CL 접미사로 끝나야 합니다.

3. 파일 패턴 필드에 수집할 텍스트 로그 파일의 경로와 파일 이름을 입력합니다. 각 애플리케이션 또는 디바이스 유형에 대한 기본 파일 이름과 경로를 찾으려면 애플리케이션 형식별 특정 지침을 참조하세요. 기본 파일 이름이나 경로를 사용할 필요는 없으며, 파일 이름에 와일드카드를 사용할 수 있습니다.

4. 1단계에서 사용자 지정 새 테이블을 선택한 경우 변환 필드에 선택한 변환을 데이터에 적용하는 Kusto 쿼리를 입력합니다.

   1단계에서 나열된 애플리케이션 또는 디바이스 중 하나를 선택한 경우, 이 필드에는 적절한 변환이 자동으로 채워집니다. 거기에 나타나는 변환 내용을 편집하지 마세요. 선택한 형식에 따라 이 값은 다음 중 하나여야 합니다.

   • source(기본값—변환 없음)
   • source | project-rename Message=RawData(로그를 전달자로 보내는 디바이스의 경우)

5. 선택 사항을 검토하고 다음: 검토 + 만들기를 선택합니다.

규칙 검토 및 만들기

모든 탭을 완료한 후 입력한 내용을 검토하고 데이터 수집 규칙을 만듭니다.

1. 검토 및 만들기 탭에서 만들기를 선택합니다.

   

   커넥터는 DCR을 만들 때 선택한 컴퓨터에 Azure Monitor 에이전트를 설치합니다.

2. DCR이 만들어지고 에이전트가 설치되는 시기를 확인하려면 Azure Portal 또는 Microsoft Defender 포털의 알림을 확인합니다.

3. 커넥터 페이지에서 새로 고침을 선택하여 목록에 표시된 DCR을 확인합니다.

Azure Monitor 에이전트 설치

Azure Monitor 설명서의 적절한 지침에 따라 애플리케이션을 호스팅하는 컴퓨터나 로그 전달자에 Azure Monitor 에이전트를 설치합니다. 상황에 따라 Windows나 Linux에 대한 지침을 따릅니다.

• PowerShell을 사용하여 AMA 설치
• Azure CLI를 사용하여 AMA 설치
• Azure Resource Manager 템플릿을 사용하여 AMA 설치

Azure Monitor 로그 수집 API를 사용하여 DCR(데이터 수집 규칙)을 만듭니다. 자세한 내용은 Azure Monitor의 데이터 수집 규칙을 참조하세요.

데이터 수집 규칙 만들기

다음 ARM 템플릿을 사용하여 텍스트 로그 파일을 수집하기 위한 DCR을 만들거나 수정합니다.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

{PLACE_HOLDER} 값을 다음 값으로 바꿉니다.

DCR을 Azure Monitor 에이전트와 연결

ARM 템플릿을 사용하여 DCR을 만드는 경우에도 이를 사용할 에이전트와 DCR을 연결해야 합니다. Azure Portal에서 DCR을 편집하고 VM 리소스 정의에 설명된 대로 에이전트를 선택할 수 있습니다.