Azure İzleyici Aracısı ile metin dosyalarından günlükleri toplama ve Microsoft Sentinel'e alma

Bu makalede, Windows veya Linux makinelerinde yüklü ağ veya güvenlik uygulamalarından metin dosyası biçimindeki günlükleri hızla filtrelemek ve almak için AMA bağlayıcısı aracılığıyla Özel Günlükler'in nasıl kullanılacağı açıklanmaktadır.

Birçok uygulama, Windows Olay günlüğü veya Syslog gibi standart günlük hizmetleri yerine metin dosyalarına veri kaydeder. Hem Windows hem de Linux bilgisayarlardan standart olmayan biçimlerdeki metin dosyalarında veri toplamak için Azure İzleyici Aracısı'nı (AMA) kullanabilirsiniz. AMA, verileri toplama sırasında farklı alanlara ayrıştırmak için dönüştürmeleri de etkileyebilir.

Microsoft Sentinel'in günlük toplamayı destekleyen çözümlerinin bulunduğu uygulamalar hakkında daha fazla bilgi için bkz . AMA veri bağlayıcısı aracılığıyla Özel Günlükler - Belirli uygulamalardan Microsoft Sentinel'e veri alımını yapılandırma.

Metin dosyalarından özel günlükleri alma hakkında daha fazla genel bilgi için bkz . Azure İzleyici Aracısı ile bir metin dosyasından günlükleri toplama.

Önkoşullar

Başlamadan önce, bu bölümde açıklandığı gibi yapılandırılmış kaynaklara ve uygun izinlere sahip olmanız gerekir.

Microsoft Sentinel önkoşulları

• Uygulamanızla eşleşen Microsoft Sentinel çözümünü yükleyin ve bu makaledeki adımları tamamlama izinlerine sahip olduğunuzdan emin olun. Bu çözümleri Microsoft Sentinel'deki İçerik hub'ında bulabilirsiniz ve bunların tümü AMA bağlayıcısı aracılığıyla Özel Günlükler'i içerir.

  İçerik hub'ında çözümleri olan uygulamaların listesi için bkz . Uygulama başına belirli yönergeler. Uygulamanız için kullanılabilir bir çözüm yoksa AMA çözümü aracılığıyla Özel Günlükler'i yükleyin.

  Daha fazla bilgi için bkz . Microsoft Sentinel'in kullanıma hazır içeriğini bulma ve yönetme.

• Aşağıdaki Azure rol tabanlı erişim denetimi (Azure RBAC) rollerine sahip bir Azure hesabı oluşturun:

  Yerleşik rol	Kapsam	Nedeni
  - Sanal Makine Katılımcısı - Azure Bağlı Makine    Kaynak Yöneticisi	Sanal makineler (VM) Sanal Makine Ölçek Kümeleri Azure Arc özellikli sunucular	Aracıyı dağıtmak için
  Eylemi içeren herhangi bir rol Microsoft.Resources/deployments/*	Abonelik Kaynak grubu Mevcut veri toplama kuralı	Azure Resource Manager şablonlarını dağıtmak için
  İzleme Katkıda Bulunanı	Abonelik Kaynak grubu Mevcut veri toplama kuralı	Veri toplama kuralları oluşturmak veya düzenlemek için

Günlük ileticisi önkoşulları

Bazı özel uygulamalar, günlüklerinin bir dış günlük toplayıcıya/ileticiye gönderilmesini gerektiren kapalı gereçlerde barındırılır. Böyle bir senaryoda, günlük ileticisi için aşağıdaki önkoşullar geçerlidir:

• Günlükleri toplamak için günlük ileticisi olarak belirlenmiş bir Linux VM'niz olmalıdır.

  • Azure portalında bir Linux VM oluşturun.
  • Azure İzleyici Aracısı için desteklenen Linux işletim sistemleri.

• Günlük ileticiniz bir Azure sanal makinesi değilse , üzerinde Azure Arc Connected Machine aracısının yüklü olması gerekir.

• Linux günlük ileticisi VM'sinde Python 2.7 veya 3 yüklü olmalıdır. python --version Denetlemek için veya python3 --version komutunu kullanın. Python 3 kullanıyorsanız makinede varsayılan komut olarak ayarlandığından emin olun veya 'python' yerine 'python3' komutuyla betikleri çalıştırın.

• Günlük ileticisinde syslog-ng veya rsyslog daemon etkinleştirilmelidir.

• Günlük ileticinizin alan gereksinimleri için bkz . Azure İzleyici Aracısı Performans Karşılaştırması. Ölçeklenebilir alım tasarımlarını içeren bu blog gönderisini de gözden geçirebilirsiniz.

• Günlük kaynaklarınız, güvenlik cihazlarınız ve gereçleriniz günlük iletilerini yerel syslog daemon'larına göndermek yerine günlük ileticisinin syslog daemon'larına gönderecek şekilde yapılandırılmalıdır.

Makine güvenliği önkoşulları

Günlük ileticisi makinesinin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırın. Örneğin, ağınızı kurumsal ağ güvenlik ilkenizle uyumlu olacak şekilde yapılandırın ve daemon'daki bağlantı noktalarını ve protokolleri gereksinimlerinizle uyumlu olacak şekilde değiştirin. Makine güvenliği yapılandırmanızı geliştirmek için Azure'da VM'nizin güvenliğini sağlayın veya ağ güvenliği için bu en iyi yöntemleri gözden geçirin.

Örneğin günlük ileticiniz bulutta olduğundan cihazlarınız TLS üzerinden günlük gönderiyorsa syslog daemon'unu (rsyslog veya syslog-ng) TLS'de iletişim kuracak şekilde yapılandırmanız gerekir. Daha fazla bilgi için bkz.

• Syslog trafiğini TLS ile şifreleme – rsyslog
• Günlük iletilerini TLS ile şifreleme – syslog-ng

Veri bağlayıcıyı yapılandırma

AMA veri bağlayıcısı aracılığıyla Özel Günlükler için kurulum işlemi aşağıdaki adımları içerir:

1. Hedef tabloyu Log Analytics'te (veya Defender portalındaysanız Gelişmiş Tehdit Avcılığı) oluşturun.

   Tablonun adı ile _CL bitmelidir ve yalnızca aşağıdaki iki alandan oluşmalıdır:

   • TimeGenerated (DateTime türünde): günlük iletisinin oluşturulmasının zaman damgası.
   • RawData (Dize türünde): günlük iletisi tamamen.
     (Günlükleri doğrudan uygulamayı barındıran cihazdan değil bir günlük ileticisinden topluyorsanız, bu alanı adlandırınRawData yerine ileti.)

2. Azure İzleyici Aracısı'nı yükleyin ve aşağıdaki yöntemlerden birini kullanarak bir Veri Toplama Kuralı (DCR) oluşturun:

   • Azure veya Defender portalı
   • Azure Resource Manager şablonu

3. Günlük ileticisi kullanarak günlük topluyorsanız, bu makinedeki syslog daemon'ını diğer kaynaklardan gelen iletileri dinleyecek şekilde yapılandırın ve gerekli yerel bağlantı noktalarını açın. Ayrıntılar için bkz . Günlük ileticisini günlükleri kabul etmek üzere yapılandırma.

Yönergeler için uygun sekmeyi seçin.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Günlük ileticisini günlükleri kabul etmek için yapılandırma

Günlük ileticisi kullanarak bir gereçten günlük topluyorsanız, diğer makinelerden gelen iletileri dinlemek için günlük ileticisinde syslog daemon'ını yapılandırın ve gerekli yerel bağlantı noktalarını açın.

1. Aşağıdaki komut satırını kopyalayın:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. AMA'yi yüklediğiniz günlük ileticisi makinesinde oturum açın.

3. Yükleme betiğini başlatmak için son adımda kopyaladığınız komutu yapıştırın.
   Betik, veya syslog-ng daemon'unu gerekli protokolü kullanacak şekilde yapılandırıp rsyslog daemon'ı yeniden başlatır. Betik, hem UDP hem de TCP protokollerinde gelen iletileri dinlemek için 514 numaralı bağlantı noktasını açar. Bu ayarı değiştirmek için, makinede çalışan daemon türüne göre syslog daemon yapılandırma dosyasına bakın:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Python 3 kullanıyorsanız ve makinede varsayılan komut olarak ayarlanmamışsa, python3 python yerine yapıştırılan komutu yazın. Bkz . Günlük ileticisi önkoşulları.

   Not

   Aracının çalışmadığı Tam Disk senaryolarından kaçınmak için veya rsyslog yapılandırmasını gereksiz günlükleri depolamak üzere ayarlamanızı syslog-ng öneririz. Tam Disk senaryosu, yüklü AMA işlevini kesintiye uğratır. Daha fazla bilgi için bkz . RSyslog veya Syslog-ng.

Güvenlik cihazını veya aleti yapılandırma

Güvenlik uygulamanızı veya gerecinizi yapılandırmaya yönelik belirli yönergeler için bkz . AMA veri bağlayıcısı aracılığıyla özel günlükler - Belirli uygulamalardan Microsoft Sentinel'e veri alımını yapılandırma

Daha fazla bilgi için veya alet veya cihaz için bilgilerin kullanılamadığı durumlarda çözüm sağlayıcısına başvurun.

İlgili içerik

• Azure İzleyici'de veri toplama kuralları
• Azure İzleyici Aracısı ile bir metin dosyasından günlükleri toplama