Sammeln von Protokollen aus Textdateien mit dem Azure Monitor-Agent und Erfassung in Microsoft Sentinel

Verwenden Sie die folgenden Schritte im Azure- oder Defender-Portal, um die Datenerfassungsregel zu erstellen und zu konfigurieren.

Erstellen einer Datensammlungsregel (DATA Collection Rule, DCR)

Öffnen Sie zu Beginn den Datenconnector Benutzerdefinierte Protokolle über AMA in Microsoft Sentinel, und erstellen Sie eine Datensammlungsregel (Data Collection Rule, DCR).

1. Wählen Sie in Microsoft Sentinel im Azure-Portal unter KonfigurationDatenkonnektoren aus.
   Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfiguration>Datenconnectors aus.

2. Geben Sie custom in das Suchfeld ein. Wählen Sie in den Ergebnissen den Konnektor Custom Logs via AMA aus.

3. Wählen Sie im Detailbereich Connectorseite öffnen aus.

   

4. Wählen Sie im Bereich Konfigurationdie Option +Datensammlungsregel erstellen aus.

   

5. Auf der Registerkarte Einfach:

   • Geben Sie einen DCR-Namen ein.
   • Wählen Sie Ihr Abonnement aus.
   • Wählen Sie die Ressourcengruppe aus, in der Sie Ihren DCR finden möchten.

   

6. Wählen Sie Weiter: Ressourcen > aus.

Definieren von VM-Ressourcen

Wählen Sie auf der Registerkarte Ressourcen die Computer aus, von denen Sie die Protokolle erfassen möchten. Dies sind entweder die Computer, auf denen Ihre Anwendung installiert ist, oder Ihre Computer für die Protokollweiterleitung. Wenn der gesuchte Computer nicht in der Liste angezeigt wird, ist der Computer möglicherweise keine Azure VM, auf der der Azure Agent für verbundene Computer installiert ist.

1. Verwenden Sie die verfügbaren Filter oder das Suchfeld, um den gesuchten Computer zu finden. Erweitern Sie ein Abonnement in der Liste, um seine Ressourcengruppen zu sehen, und eine Ressourcengruppe, um ihre VMs zu sehen.

2. Wählen Sie den Computer aus, von dem Sie Protokolle sammeln möchten. Das Kontrollkästchen wird neben dem VM-Namen angezeigt, wenn Sie mit dem Mauszeiger darauf zeigen.

   

   Wenn auf den ausgewählten Computern noch nicht der Azure Monitor-Agent installiert ist, wird der Agent beim Erstellen und Bereitstellen des DCR installiert.

3. Überprüfen Sie Ihre Änderungen und wählen Sie Weiter: Erfassen >.

Konfigurieren des DCR für Ihre Anwendung

1. Wählen Sie auf der Registerkarte Sammeln im Dropdownfeld Gerätetyp auswählen (optional) Ihre Anwendung oder Den Gerätetyp aus, oder belassen Sie es als Benutzerdefinierte neue Tabelle , wenn Ihre Anwendung oder Ihr Gerät nicht aufgeführt ist.

2. Wenn Sie eine der aufgeführten Anwendungen oder Geräte ausgewählt haben, wird das Feld Tabellenname automatisch mit dem richtigen Tabellennamen aufgefüllt. Wenn Sie Benutzerdefinierte neue Tabelle ausgewählt haben, geben Sie unter Tabellenname einen Tabellennamen ein. Der Name muss mit dem Suffix enden _CL .

3. Geben Sie im Feld Dateimuster den Pfad und dateinamen der zu sammelnden Textdateien ein. Informationen zum Ermitteln der Standarddateinamen und -pfade für die einzelnen Anwendungen oder Gerätetypen finden Sie unter Spezifische Anweisungen pro Anwendungstyp. Sie müssen nicht die Standarddateinamen oder -pfade verwenden, und Sie können Im Dateinamen Auch Wildcards verwenden.

4. Wenn Sie in Schritt 1 eine benutzerdefinierte neue Tabelle ausgewählt haben, geben Sie im Feld Transformieren eine Kusto-Abfrage ein, die eine Transformation Ihrer Wahl auf die Daten anwendet.

   Wenn Sie eine der aufgeführten Anwendungen oder Geräte in Schritt 1 ausgewählt haben, wird das Feld "Transformieren" automatisch mit der richtigen Transformation aufgefüllt. Bearbeiten Sie nicht die Transformation, die dort angezeigt wird. Je nach gewähltem Typ sollte der Transformationsfeldwert einer der folgenden sein:

   • source (Standard – keine Transformation)
   • source | project-rename Message=RawData (für Geräte, die Logs an einen Forwarder senden)

5. Überprüfen Sie Ihre Auswahl, und wählen Sie Weiter: Überprüfen + erstellen aus.

Überprüfen und Erstellen der Regel

Nachdem Sie alle Registerkarten ausgefüllt haben, überprüfen Sie, was Sie eingegeben haben, und erstellen Sie die Datensammlungsregel.

1. Wählen Sie auf der Registerkarte Überprüfen und erstellendie Option Erstellen aus.

   

   Der Connector installiert den Azure Monitor-Agent auf den Computern, die Sie beim Erstellen Ihrer DCR ausgewählt haben.

2. Überprüfen Sie die Benachrichtigungen im Azure-Portal- oder Microsoft Defender-Portal, um festzustellen, wann die DCR erstellt und der Agent installiert ist.

3. Wählen Sie auf der Connectorseite Aktualisieren aus, damit der DCR in der Liste angezeigt wird.

Verwenden Sie diese Option, um den Agenten zu installieren und die Datenerfassungsregel mit ARM-basierten Tools zu erstellen.

Installieren des Azure Monitor-Agents

Befolgen Sie die geeigneten Anweisungen in der Dokumentation zu Azure Monitor, um den Azure Monitor-Agent auf dem Computer zu installieren, der Ihre Anwendung hostet, oder auf Ihrem Protokollweiterleiter. Verwenden Sie die Windows-Anweisungen, wenn der Computer unter Windows läuft, oder die Linux-Anweisungen, wenn der Computer unter Linux läuft.

• Installieren des AMA mithilfe von PowerShell
• Installieren des AMA mithilfe der Azure CLI
• Installieren des AMA mithilfe einer Azure Resource Manager-Vorlage

Erstellen Sie Datensammlungsregeln (Data Collection Rules, DCRs) mithilfe der Azure-API für die Erfassung von Protokollen. Weitere Informationen finden Sie unter Datensammlungsregeln in Azure Monitor.

Erstellen der Datensammlungsregel

Verwenden Sie die folgende ARM-Vorlage, um eine Datensammlungsregel (Data Collection Rule, DCR) zum Sammeln von Textdateien zu erstellen oder zu ändern:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Ersetzen Sie jeden in geschweiften Klammern eingeschlossenen Platzhalter (zum Beispiel {DCR_NAME} und {TABLE_NAME}) durch den entsprechenden Wert aus der folgenden Tabelle:

Ordnen Sie die DCR dem Azure Monitor-Agent zu

Wenn Sie die DCR mithilfe einer ARM-Vorlage erstellen, müssen Sie die DCR dennoch den Agents zuordnen, die sie verwenden. Sie können die DCR im Azure-Portal bearbeiten und die Agents auswählen, wie unter Definieren von VM-Ressourcen beschrieben.