Mata in syslog- och CEF-meddelanden till Microsoft Sentinel med Azure Monitor-agenten

Den här artikeln beskriver hur du använder Syslog via AMA och Common Event Format (CEF) via AMA-anslutningsappar för att snabbt filtrera och mata in syslog-meddelanden, inklusive meddelanden i Common Event Format (CEF), från Linux-datorer och från nätverk och säkerhetsenheter och enheter. Mer information om dessa dataanslutningar finns i Syslog och Common Event Format (CEF) via AMA-anslutningsappar för Microsoft Sentinel.

Förutsättningar

Innan du börjar måste du ha resurserna konfigurerade och rätt behörigheter tilldelade, enligt beskrivningen i det här avsnittet.

Krav för Microsoft Sentinel

Installera lämplig Microsoft Sentinel-lösning och se till att du har behörighet att slutföra stegen i den här artikeln.

• Installera lämplig lösning från innehållshubben i Microsoft Sentinel. Mer information finns i Identifiera och hantera innehåll i Microsoft Sentinel out-of-the-box.

• Identifiera vilken dataanslutning som krävs för Microsoft Sentinel-lösningen – Syslog via AMA eller Common Event Format (CEF) via AMA och om du behöver installera lösningen Syslog eller Common Event Format . För att uppfylla den här förutsättningen

  • I innehållshubben väljer du Hantera på den installerade lösningen och granskar dataanslutningsappen i listan.

  • Om antingen Syslog via AMA eller Common Event Format (CEF) via AMA inte har installerats med lösningen kan du identifiera om du behöver installera lösningen Syslog eller Common Event Format genom att hitta enheten eller enheten från någon av följande artiklar:

    • CEF via AMA-dataanslutning – Konfigurera specifik installation eller enhet för Datainmatning i Microsoft Sentinel
    • Syslog via AMA-dataanslutning – Konfigurera specifik installation eller enhet för Microsoft Sentinel-datainmatning

    Installera sedan antingen lösningen Syslog eller Common Event Format från innehållshubben för att hämta den relaterade AMA-dataanslutningen.

• Ha ett Azure-konto med följande rollbaserade Azure-åtkomstkontrollroller (Azure RBAC):

  Inbyggd roll	Omfattning	Anledning
  - Virtuell datordeltagare - Azure Connected Machine    Resursadministratör	Virtuella datorer (VM) Virtual Machine Scale Sets Azure Arc-aktiverade servrar	Distribuera agenten
  Alla roller som innehåller åtgärden Microsoft.Resources/deployments/*	Prenumeration Resursgrupp Befintlig datainsamlingsregel	Så här distribuerar du Azure Resource Manager-mallar
  Övervakningsdeltagare	Prenumeration Resursgrupp Befintlig datainsamlingsregel	Så här skapar eller redigerar du regler för datainsamling

Krav för loggvidare

Om du samlar in meddelanden från en loggvidare gäller följande krav:

• Du måste ha en utsedd virtuell Linux-dator som loggvidare för att kunna samla in loggar.

  • Skapa en virtuell Linux-dator i Azure Portal.
  • Linux-operativsystem som stöds för Azure Monitor Agent.

• Om loggvidare inte är en virtuell Azure-dator måste azure Arc Connected Machine-agenten vara installerad på den.

• Den virtuella Linux-loggvidaredatorn måste ha Python 2.7 eller 3 installerat. python --version Använd kommandot eller python3 --version för att kontrollera. Om du använder Python 3 kontrollerar du att det är inställt som standardkommando på datorn eller kör skript med kommandot "python3" i stället för "python".

• Loggvidare måste ha antingen syslog-ng daemon aktiverat.rsyslog

• Utrymmeskrav för din loggvidare finns i Prestandamått för Azure Monitor Agent. Du kan också granska det här blogginlägget, som innehåller design för skalbar inmatning.

• Dina loggkällor, säkerhetsenheter och enheter måste konfigureras för att skicka sina loggmeddelanden till loggvidares syslog-daemon i stället för till deras lokala syslog-daemon.

Krav för datorsäkerhet

Konfigurera datorns säkerhet enligt organisationens säkerhetsprincip. Konfigurera till exempel nätverket så att det överensstämmer med företagets nätverkssäkerhetsprincip och ändra portarna och protokollen i daemonen så att de överensstämmer med dina krav. För att förbättra datorns säkerhetskonfiguration kan du skydda den virtuella datorn i Azure eller granska de här metodtipsen för nätverkssäkerhet.

Om dina enheter skickar syslog- och CEF-loggar via TLS eftersom till exempel loggvidare finns i molnet måste du konfigurera syslog-daemon (rsyslog eller syslog-ng) för att kommunicera i TLS. Mer information finns i:

• Kryptera Syslog-trafik med TLS – rsyslog
• Kryptera loggmeddelanden med TLS – syslog-ng

Konfigurera datakopplingen

Konfigurationsprocessen för Syslog via AMA eller Common Event Format (CEF) via AMA-dataanslutningar innehåller följande steg:

1. Installera Azure Monitor-agenten och skapa en datainsamlingsregel (DCR) med någon av följande metoder:
   • Azure- eller Defender-portalen
   • Inmatnings-API för Azure Monitor-loggar
2. Om du samlar in loggar från andra datorer med hjälp av en loggvidare kör du installationsskriptet på loggvidare för att konfigurera syslog-daemon för att lyssna efter meddelanden från andra datorer och öppna nödvändiga lokala portar.

Välj lämplig flik för instruktioner.

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Kör installationsskriptet

Om du använder en loggvidare konfigurerar du syslog-daemon så att den lyssnar efter meddelanden från andra datorer och öppnar nödvändiga lokala portar.

1. Från anslutningssidan kopierar du kommandoraden som visas under Kör följande kommando för att installera och tillämpa CEF-insamlaren:

   

   Eller kopiera det härifrån:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. Logga in på loggvidaredatorn där du precis har installerat AMA.

3. Klistra in kommandot som du kopierade i det sista steget för att starta installationsskriptet.
   Skriptet konfigurerar rsyslog eller syslog-ng daemon att använda det protokoll som krävs och startar om daemonen. Skriptet öppnar port 514 för att lyssna på inkommande meddelanden i både UDP- och TCP-protokoll. Om du vill ändra den här inställningen läser du konfigurationsfilen för syslog-daemon enligt den daemontyp som körs på datorn:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Om du använder Python 3 och inte har angetts som standardkommando på datorn ersätter python3 python du med det inklistrade kommandot. Se Krav för loggvidare.

   Kommentar

   För att undvika fulldiskscenarier där agenten inte kan fungera rekommenderar vi att du ställer in eller rsyslog konfigurationen syslog-ng för att inte lagra onödiga loggar. Ett fullständigt diskscenario stör funktionen för den installerade AMA:en. Mer information finns i RSyslog eller Syslog-ng.

Konfigurera säkerhetsenheten eller enheten

Få specifika instruktioner för att konfigurera din säkerhetsenhet eller -installation genom att gå till någon av följande artiklar:

• CEF via AMA-dataanslutning – Konfigurera specifika apparater och enheter för Datainmatning i Microsoft Sentinel
• Syslog via AMA-dataanslutning – Konfigurera specifika enheter och enheter för Datainmatning i Microsoft Sentinel

Kontakta lösningsleverantören om du vill ha mer information eller om informationen inte är tillgänglig för enheten eller enheten.

Testa anslutningsprogrammet

Kontrollera att loggar från din Linux-dator eller säkerhetsenheter och -enheter matas in i Microsoft Sentinel.

1. Kör följande kommando för att verifiera att syslog-daemon körs på UDP-porten och att AMA lyssnar:

   netstat -lnptv
   

   Du bör se daemonen rsyslog eller syslog-ng lyssna på port 514.

2. Om du vill samla in meddelanden som skickas från en loggare eller en ansluten enhet kör du det här kommandot i bakgrunden:

   tcpdump -i any port 514 -A -vv &
   

3. När du har slutfört verifieringen rekommenderar vi att du stoppar tcpdump: Type fg och sedan väljer Ctrl+C.

4. Slutför följande steg för att skicka demomeddelanden:

   • Använd netcat-verktyget. I det här exemplet läser verktyget data som publicerats via echo kommandot med den nya växeln avstängd. Verktyget skriver sedan data till UDP-porten 514 på localhost utan tidsgräns. Om du vill köra netcat-verktyget kan du behöva installera ett annat paket.

     echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
     

   • Använd loggern. Det här exemplet skriver meddelandet till local 4 anläggningen, på allvarlighetsgrad Warning, till port 514, på den lokala värden, i CEF RFC-format. Flaggorna -t och --rfc3164 används för att följa det förväntade RFC-formatet.

     logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time"
     

5. Kontrollera att anslutningsappen är korrekt installerad genom att köra felsökningsskriptet med något av följande kommandon:

   • Kör för CEF-loggar:

      sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --cef
     

   • För Cisco Adaptive Security Appliance-loggar (ASA) kör du:

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --asa
     

   • För Cisco Firepower Threat Defense-loggar (FTD) kör du:

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --ftd
     

Relaterat innehåll

• Syslog och Common Event Format (CEF) via AMA-anslutningsappar för Microsoft Sentinel
• Regler för datainsamling i Azure Monitor
• CEF via AMA-dataanslutning – Konfigurera specifik installation eller enhet för Datainmatning i Microsoft Sentinel
• Syslog via AMA-dataanslutning – Konfigurera specifik installation eller enhet för Microsoft Sentinel-datainmatning