Syslog- und CEF-Nachrichten mit dem Azure Monitor-Agent in Microsoft Sentinel erfassen

In diesem Artikel erfahren Sie, wie Sie Syslog über AMA und CEF (Common Event Format) über AMA-Connectors verwenden, um Syslog- und CEF-Nachrichten von Linux Computern, Netzwerkgeräten und Sicherheitsappliances zu filtern und zu erfassen. Bevor Sie beginnen, stellen Sie sicher, dass Sie die erforderlichen Berechtigungen, Agenten und den Log Forwarder gemäß den Voraussetzungen eingerichtet haben. Weitere Informationen zu diesen Datenconnectors finden Sie unter Syslog und CEF (Common Event Format) über AMA-Connectors für Microsoft Sentinel.

Voraussetzungen

Bevor Sie beginnen, überprüfen Sie die folgenden Microsoft Sentinel- und Protokollweiterleitungs- und Computersicherheitsvoraussetzungen, um sicherzustellen, dass die Ressourcen konfiguriert sind und die entsprechenden Berechtigungen zugewiesen sind, wie in den Abschnitten Microsoft Sentinel Voraussetzungen, Protokollweiterleitungsvoraussetzungen und Computersicherheitsvoraussetzungen beschrieben.

Microsoft Sentinel Voraussetzungen

Installieren Sie die entsprechende Microsoft Sentinel Lösung, und stellen Sie sicher, dass Sie über die Berechtigungen zum Ausführen der Schritte in diesem Artikel verfügen.

• Installieren Sie die entsprechende Lösung aus dem Inhaltshub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

• Ermitteln Sie, welcher Datenconnector für die Microsoft Sentinel Lösung Syslog über AMA oder CEF (Common Event Format) über AMA erfordert, und ob Sie die Syslog- oder Common Event Format-Lösung installieren müssen. Um diese Voraussetzung zu erfüllen,

  • Wählen Sie im Inhaltshubdie Option Verwalten für die installierte Lösung aus, und überprüfen Sie den aufgeführten Datenconnector.

  • Wenn syslog über AMA oder CEF (Common Event Format) über AMA nicht mit der Lösung installiert ist, ermitteln Sie, ob Sie die Syslog- oder Common Event Format-Lösung installieren müssen, indem Sie Ihr Anwendung oder Gerät in einem der folgenden Artikel finden:

    • CEF über den AMA-Datenkonnektor – Konfigurieren einer bestimmten Appliance oder eines bestimmten Geräts für die Datenerfassung in Microsoft Sentinel
    • Syslog über AMA-Datenkonnektor – Konfigurieren einer bestimmten Anwendung oder eines bestimmten Geräts für die Datenerfassung in Microsoft Sentinel

    Installieren Sie dann entweder die Lösung Syslog oder Common Event Format aus dem Content Hub, um den zugehörigen AMA-Datenconnector zu erhalten.

• Sie verfügen über ein Azure-Konto mit den folgenden Azure-Rollen für die rollenbasierte Zugriffssteuerung (Azure RBAC):

  Integrierte Rolle	Bereich	Grund
  - Mitwirkender für virtuelle Computer - Azure-verbundener Computer    Ressourcenadministrator	Virtuelle Computer (VM) Virtual Machine Scale Sets Azure Arc-fähige Server	Bereitstellen des Agents
  Jede Rolle, die die Aktion enthält Microsoft.Resources/deployments/*	Abonnement Ressourcengruppe Vorhandene Datensammlungsregel	So stellen Sie Azure Resource Manager Vorlagen bereit
  Mitwirkender an der Überwachung	Abonnement Ressourcengruppe Vorhandene Datensammlungsregel	So erstellen oder bearbeiten Sie Datensammlungsregeln

Voraussetzungen für die Protokollweiterleitung

Wenn Sie Nachrichten von einem Log-Forwarder sammeln, gelten die folgenden Voraussetzungen:

• Sie müssen über einen bestimmten Linux virtuellen Computer als Protokollweiterleitung verfügen, um Protokolle zu erfassen.

  • Erstellen Sie einen Linux virtuellen Computer im Azure-Portal.
  • Unterstützte Linux Betriebssysteme für Azure Monitor-Agent.

• Wenn Ihr Protokollweiterleiter kein virtueller Azure-Computer ist, muss der Azure Arc-Connected Machine-Agent darauf installiert sein.

• Auf der Linux Protokollweiterleitungs-VM muss Python 2.7 oder 3 installiert sein. Verwenden Sie den python --version Befehl oder python3 --version , um dies zu überprüfen. Wenn Sie Python 3 verwenden, stellen Sie sicher, dass es als Standardbefehl auf dem Computer festgelegt ist, oder führen Sie Skripts mit dem Befehl "python3" anstelle von "python" aus.

• Der Protokoll-Weiterleiter muss entweder den syslog-ng- oder den rsyslog-Daemon aktiviert haben.

• Informationen zu den Speicherplatzanforderungen für Ihre Protokollweiterleitung finden Sie unter Azure Monitor Agent Performance Benchmark. Sie können sich auch Lösungsentwürfe für die skalierbare Datenerfassung mit Microsoft Sentinel ansehen.

• Ihre Protokollquellen, Sicherheitsgeräte und Appliances müssen so konfiguriert sein, dass ihre Protokollmeldungen an den Syslog-Daemon der Protokollweiterleitung und nicht an den lokalen Syslog-Daemon gesendet werden.

Voraussetzungen für die Computersicherheit

Konfigurieren Sie die Sicherheit des Computers gemäß der Sicherheitsrichtlinie Ihres organization. Konfigurieren Sie z. B. Ihr Netzwerk so, dass es an der Sicherheitsrichtlinie Ihres Unternehmensnetzwerks ausgerichtet ist, und ändern Sie die Ports und Protokolle im Daemon entsprechend Ihren Anforderungen. Um die Sicherheitskonfiguration Ihres Computers zu verbessern, sichern Sie Ihre VM in Azure, oder überprüfen Sie diese bewährten Methoden für die Netzwerksicherheit.

Wenn Ihre Geräte Syslog- und CEF-Protokolle über TLS senden, weil sich ihre Protokollweiterleitung z. B. in der Cloud befindet, müssen Sie den Syslog-Daemon (rsyslog oder syslog-ng) für die Kommunikation in TLS konfigurieren. Weitere Informationen finden Sie unter:

• Verschlüsseln von Syslog-Datenverkehr mit TLS – rsyslog
• Verschlüsseln von Protokollmeldungen mit TLS – syslog-ng

Konfigurieren des Datenconnectors

Der Einrichtungsprozess für die Datenkonnektoren für Syslog via AMA oder Common Event Format (CEF) via AMA umfasst die folgenden Schritte:

1. Installieren Sie den Azure Monitor-Agent, und erstellen Sie eine Datensammlungsregel (Data Collection Rule, DCR) mit einer der folgenden Methoden:
   • Azure oder Defender-Portal
   • Azure Monitor API zur Protokollerfassung
2. Wenn Sie Protokolle von anderen Computern mithilfe einer Protokollweiterleitung sammeln, führen Sie das "Installationsskript" auf der Protokollweiterleitung aus, um den Syslog-Daemon so zu konfigurieren, dass er auf Nachrichten von anderen Computern lauscht und die erforderlichen lokalen Ports öffnet.

Wählen Sie die entsprechende Registerkarte aus, um Anweisungen zu erhalten.

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Ausführen des Installationsskripts

Wenn Sie eine Protokollweiterleitung verwenden, konfigurieren Sie den Syslog-Daemon so, dass er auf Nachrichten von anderen Computern lauscht, und öffnen Sie die erforderlichen lokalen Ports.

1. Kopieren Sie auf der Seite des Connectors die Befehlszeile, die unter Führen Sie den folgenden Befehl aus, um den CEF-Collector zu installieren und zu aktivieren: angezeigt wird.

   

   Oder kopieren Sie es hier:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. Melden Sie sich beim Protokollweiterleitungscomputer an, auf dem die AMA installiert ist.

3. Fügen Sie den Installationsbefehl ein, den Sie von der Connectorseite kopiert haben, um das Installationsskript zu starten.
   Das Skript konfiguriert den rsyslog- oder syslog-ng-Daemon so, dass er das erforderliche Protokoll verwendet, und startet den Daemon neu. Das Skript öffnet Port 514, um eingehende Nachrichten sowohl im UDP- als auch im TCP-Protokoll zu lauschen. Informationen zum Ändern dieser Einstellung finden Sie in der Konfigurationsdatei des Syslog-Daemons entsprechend dem Daemontyp, der auf dem Computer ausgeführt wird:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Wenn Sie Python 3 verwenden und es nicht als Standardbefehl auf dem Computer festgelegt ist, ersetzen python3 Sie im eingefügten Befehl durch python . Siehe Voraussetzungen für den Log-Forwarder.

   Hinweis

   Um Szenarien mit vollständigen Datenträgern zu vermeiden, in denen der Agent nicht funktioniert, empfehlen wir, die syslog-ng - oder rsyslog -Konfiguration so festzulegen, dass nicht benötigte Protokolle nicht gespeichert werden. Ein Szenario mit vollem Datenträger beeinträchtigt die Funktion des installierten AMA. Weitere Informationen finden Sie unter RSyslog oder Syslog-ng.

4. Prüfen Sie den Servicestatus.

   Überprüfen Sie den Status des AMA-Diensts auf Ihrem Protokollweiterleiter:

   sudo systemctl status azuremonitoragent.service
   

   Überprüfen Sie die status des rsyslog-Diensts:

   sudo systemctl status rsyslog.service
   

   Überprüfen Sie für syslog-ng-Umgebungen Folgendes:

   sudo systemctl status syslog-ng.service
   

Konfigurieren des Sicherheitsgeräts oder Anwendung

Anweisungen zum Konfigurieren Ihres Sicherheitsgeräts oder Anwendung finden Sie in einem der folgenden Artikel:

• CEF über AMA-Datenkonnektor – Konfiguration spezifischer Appliances und Geräte für die Microsoft Sentinel-Datenerfassung
• Syslog über AMA-Datenconnector: Konfigurieren bestimmter Appliances und Geräte für Microsoft Sentinel Datenerfassung

Wenden Sie sich an den Lösungsanbieter, um weitere Informationen zu Ihrem Anwendung oder Gerät zu erfahren.

Testen des Connectors

Stellen Sie sicher, dass Protokollmeldungen von Ihrem Linux Computer oder sicherheitsrelevanten Geräten und Appliances in Microsoft Sentinel erfasst werden.

1. Um zu überprüfen, ob der Syslog-Daemon auf den erforderlichen UDP-Port lauscht und dass die AMA bereit ist, Protokolle bei der Linux-Weiterleitung zu empfangen, führen Sie den folgenden Befehl aus, um aktive Listener und die zugehörigen Ports anzuzeigen:

    netstat -lnptv
   

   Sie sollten sehen, dass der rsyslog- oder syslog-ng-Daemon auf Port 514 lauscht.

2. Führen Sie den folgenden Befehl im Hintergrund aus, um Nachrichten zu erfassen, die von einem Logger oder einem verbundenen Gerät gesendet werden:

   sudo tcpdump -i any port 514 or 28330 -A -vv &
   

3. Nachdem Sie die Validierung abgeschlossen haben, beenden Sie tcpdump. Geben Sie ein fg, und drücken Sie dann STRG+C.

Senden von Testnachrichten

Führen Sie zum Senden von Demonachrichten einen der folgenden Schritte aus:

1. Verwenden Sie das nc Hilfsprogramm netcat. In diesem Beispiel liest das Hilfsprogramm Daten, die mit dem echo-Befehl gesendet wurden, wobei der newline-Schalter deaktiviert war. Das Hilfsprogramm schreibt die Daten dann ohne Timeout in den UDP-Port 514 auf dem localhost. Zum Ausführen des Hilfsprogramms netcat müssen Sie möglicherweise ein anderes Paket installieren.

   echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
   

2. Verwenden Sie den logger Befehl. In diesem Beispiel wird die Nachricht im CEF-RFC-Format in die Einrichtung local 4mit dem Schweregrad Warning an Port 514 auf dem lokalen Host geschrieben. Die -t Flags und --rfc3164 werden verwendet, um das erwartete RFC-Format zu erfüllen.

   logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
   

   Testen Sie die Cisco ASA-Erfassung mit dem folgenden Befehl:

   echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
   

   Nachdem Sie diese Befehle ausgeführt haben, gelangen Nachrichten an Port 514 und werden an Port 28330 weitergeleitet.

3. Nachdem Sie Testnachrichten gesendet haben, fragen Sie Ihren Log Analytics-Arbeitsbereich ab. Es kann bis zu 20 Minuten dauern, bis Protokolle in Ihrem Arbeitsbereich angezeigt werden.

Für CEF-Protokolle:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Für Cisco ASA-Protokolle:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Zusätzliche Problembehandlung

Falls Sie keinen Datenverkehr auf Port 514 feststellen oder Ihre Testnachrichten nicht empfangen werden, lesen Sie Problembehandlung für Syslog und CEF über AMA-Konnektoren für Microsoft Sentinel zur Fehlerbehebung.

Verwandte Inhalte

• Connectors „Syslog über AMA“ und „CEF (Common Event Format) über AMA“ für Microsoft Sentinel
• Datensammlungsregeln in Azure Monitor
• CEF über den AMA-Datenkonnektor – Konfigurieren einer bestimmten Appliance oder eines bestimmten Geräts für die Datenerfassung in Microsoft Sentinel
• Syslog über AMA-Datenkonnektor – Konfigurieren einer bestimmten Appliance oder eines bestimmten Geräts für die Datenerfassung in Microsoft Sentinel
• Problembehandlung bei Syslog und CEF über AMA-Connectors für Microsoft Sentinel