Verwenden einer benutzerdefinierten Datensammlungsregel für die Defender for Servers-Erfassung

Sie können eine benutzerdefinierte Datensammlungsregel (Data Collection Rule, DCR) verwenden, um zu steuern, welche Windows-Sicherheitsereignisse an Log Analytics für Defender für Server gesendet werden. Dieser Ansatz kann helfen, das Aufnahmevolumen zu reduzieren, indem Ereignisse herausgefiltert werden, die Sie nicht benötigen.

Mit einem benutzerdefinierten DCR können Sie:

• Filtern von Sicherheitsereignissen mit hohem Volumen
• Erfassen einer bestimmten Teilmenge von Windows-Sicherheitsereignissen
• Anwenden von Transformationen vor der Aufnahme

Voraussetzungen

Bevor Sie ein benutzerdefiniertes DCR erstellen, stellen Sie sicher, dass Sie:

• Azure Monitor Agent (AMA), installiert auf den Rechnern, die Daten an Log Analytics senden.

• Ein Log Analytics-Arbeitsbereich in derselben Region wie der DCR.

Erstellen eines DCR

Um ein benutzerdefiniertes DCR im Azure-Portal zu erstellen, folgen Sie diesen Schritten:

1. Melden Sie sich im Azure-Portal an.

2. Gehe zu Überwachen>Einstellungen>Datensammlungsregeln und wähle dann + Erstellen.

3. Geben Sie einen Namen und ein Abonnement ein.

4. Wählen oder erstellen Sie eine Ressourcengruppe.

5. Wählen Sie die Region aus. Die Region muss mit der Region der Log Analytics-Arbeitsbereiche übereinstimmen, an die Sie senden.

6. Wählen Sie unter PlattformtypWindows aus, um Windows-Sicherheitsereignisse für den Vorteil bei der SecurityEvent Erfassung zu sammeln.

7. Wähle Linux oder All, wenn du diese Protokolle auch brauchst.

8. Lassen Sie unter Datensammlungsendpunkt die Einstellung <kein> unverändert, es sei denn, Sie nutzen einen Datensammlungsendpunkt für Private Link oder eine andere erweiterte Netzwerkeinrichtung.

9. Wählen Sie "Weiter" aus: Ressourcen >.

10. Wählen Sie +Ressourcen hinzufügen und die relevanten Ressourcen aus.

11. Wenn Ihre Umgebung beispielsweise einen Data Collection Endpoint benötigt, wählen Sie bei der Verwendung von Private Link + Endpunkt erstellen. Erstelle den Endpunkt in derselben Region wie der DCR.

12. Auswählen Weiter : Sammeln und liefern >.

13. Wählen Sie + Datenquelle hinzufügen aus.

14. Wählen Sie für den DatenquellentypWindows-Ereignisprotokolle aus, und wählen Sie "Einfach " oder "Benutzerdefiniert" aus:

    • Basic:

      • Wählen Sie unter SicherheitÜberwachung erfolgreich oder Überwachung fehlgeschlagen aus, um Windows-Sicherheitsereignisse an die SecurityEvent-Tabelle zu senden.
      • Falls nötig, wählen Sie Anwendungs- oder Systemereignisprotokolle aus, um weitere Ereignisse zu erfassen. Diese Ereignisse gehen in die Tabelle Event und werden als reguläre Erfassung abgerechnet. Der Erfassungsvorteil für Defender for Servers deckt diese nicht ab.

    • Maßgeschneidert:

      • Unter "Verwenden Sie XPath-Abfragen", um Ereignisprotokolle zu filtern und die Datenerfassung zu begrenzen, geben Sie eine XPath-Abfrage ein. Beispiel: Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]

    

15. Klicken Sie auf Hinzufügen.

16. Wählen Sie "Weiter" aus: Ziel >.

17. Wählen Sie +Ziel hinzufügen.

    

18. Wählen Sie für den ZieltypAzure Monitor Logs aus.

19. Wählen Sie mindestens einen Log Analytics-Arbeitsbereich in derselben Region wie der DCR aus.

20. Wählen Sie Speichern aus.

21. Wählen Sie "Weiter: Tags" > und fügen Sie alle Tags hinzu, die Sie für die Ressourcenorganisation oder die Kostenverwaltung benötigen.

22. Wählen Sie Weiter: Überprüfen + erstellen > aus.

23. Wählen Sie "Erstellen" aus, um den DCR bereitzustellen.

Überprüfen der Datenerfassung

Nachdem du den DCR ausgerollt hast, warte ein paar Minuten, bis die Daten zu fließen beginnen.

Führen Sie die folgende KQL-Abfrage im Log Analytics-Arbeitsbereich aus:

SecurityEvent
| take 10

JSON-Beispielfragment

Das folgende Beispiel zeigt eine DCR-Konfiguration, die ausgewählte Windows-Sicherheitsereignisse sammelt:

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Bereitstellen mithilfe von Azure-Richtlinien

Wenn Sie viele Abonnements verwalten, verwenden Sie Azure Policy, um DCRs in großem Maßstab zu erstellen und zuzuweisen. Die Initiative Deploy AMA DCR for Security Events Collection Policy Initiative wendet Sicherheitsereignis-Sammlungsregeln für Ihre Umgebung an.

Nächster Schritt