Recopilar registros desde archivos de texto con Azure Monitor Agent e ingestarlos en Microsoft Sentinel

Utiliza los siguientes pasos en el portal de Azure o Defender para crear y configurar la regla de recogida de datos.

Creación de una regla de recopilación de datos (DCR)

Para empezar, abra el conector de datos Registros personalizados mediante AMA en Microsoft Sentinel y cree una regla de recopilación de datos (DCR).

1. Para Microsoft Sentinel en el Azure Portal, en Configuración, seleccione Conectores de datos.
   Para Microsoft Sentinel en el portal de Defender, seleccione Microsoft Sentinel>Conectores de datos de configuración>.

2. Escriba custom en el cuadro Buscar . En la lista de resultados, seleccione el conector Registros personalizados a través de AMA.

3. Seleccione Abrir página del conector en el panel de detalles.

   

4. En el área Configuración , seleccione +Crear regla de recopilación de datos.

   

5. En la pestaña Básico :

   • Escriba un nombre de DCR.
   • Seleccione la suscripción.
   • Seleccione el grupo de recursos donde desea ubicar la DCR.

   

6. Seleccione Siguiente: Recursos >.

Definición de recursos de máquina virtual

En la pestaña Recursos , seleccione las máquinas de las que desea recopilar los registros. Se trata de las máquinas en las que está instalada su aplicación o bien de las máquinas en las que está instalado el reenviador de registros. Si la máquina que busca no aparece en la lista, es posible que la máquina no sea una máquina virtual Azure con el agente de Azure Connected Machine instalado.

1. Use los filtros o el cuadro de búsqueda disponibles para buscar la máquina que está buscando. Expanda cualquiera de las suscripciones de la lista para ver sus grupos de recursos y cualquiera de estos para ver sus máquinas virtuales.

2. Seleccione la máquina de la que desea recopilar registros. La casilla aparece junto al nombre de la máquina virtual al mantener el puntero sobre él.

   

   Si las máquinas seleccionadas todavía no tienen instalado el agente de Azure Monitor, el agente se instala cuando se crea y se implementa la DCR.

3. Revise sus cambios y seleccione Siguiente: Recoger >.

Configure el DCR para su aplicación

1. En la pestaña Recopilar , seleccione la aplicación o el tipo de dispositivo en el cuadro desplegable Seleccionar tipo de dispositivo (opcional) o déjelo como Tabla nueva personalizada si su aplicación o dispositivo no aparece en la lista.

2. Si elige una de las aplicaciones o dispositivos enumerados, el campo Nombre de tabla se rellena automáticamente con el nombre de tabla correcto. Si eligió Tabla nueva personalizada, escriba un nombre de tabla en Nombre de tabla. El nombre debe terminar con el _CL sufijo .

3. En el campo Patrón de archivo, introduzca la ruta de acceso y el nombre de archivo de los archivos de registro de texto que se van a recopilar. Para buscar los nombres de archivo y las rutas de acceso predeterminados para cada tipo de aplicación o dispositivo, consulte Instrucciones específicas por tipo de aplicación. No es necesario usar los nombres de archivo o las rutas de acceso predeterminados y puede usar caracteres comodín en el nombre de archivo.

4. En el campo Transformar , si eligió una nueva tabla personalizada en el paso 1, escriba una consulta kusto que aplique una transformación de su elección a los datos.

   Si eligió una de las aplicaciones o dispositivos enumerados en el paso 1, el campo Transformar se rellena automáticamente con la transformación adecuada. NO edite la transformación que aparece allí. Dependiendo del tipo elegido, el valor del campo Transform debe ser uno de los siguientes:

   • source (valor predeterminado: sin transformación)
   • source | project-rename Message=RawData (para dispositivos que envían registros a un reenviador)

5. Revise las selecciones y seleccione Siguiente: Revisar y crear.

Revisión y creación de la regla

Después de completar todas las pestañas, revise lo que especificó y cree la regla de recopilación de datos.

1. En la pestaña Revisar y crear , seleccione Crear.

   

   El conector instala el agente de Azure Monitor en las máquinas que seleccionó al crear la DCR.

2. Compruebe las notificaciones en el portal de Azure Portal o Microsoft Defender para ver cuándo se crea la DCR y se instala el agente.

3. Seleccione Actualizar en la página del conector para ver la DCR mostrada en la lista.

Utiliza esta opción para instalar el agente y crear la regla de recogida de datos con herramientas basadas en ARM.

Instalación del agente de Azure Monitor

Siga las instrucciones adecuadas de la documentación de Azure Monitor para instalar el agente de Azure Monitor en el equipo que hospeda la aplicación o en el reenviador de registros. Use las instrucciones de Windows si la máquina ejecuta Windows o las instrucciones de Linux si ejecuta Linux.

• Instale el AMA con PowerShell
• Instalación de AMA mediante la CLI de Azure
• Instalar AMA con una plantilla de Azure Resource Manager

Cree reglas de recopilación de datos (DCR) mediante la API de ingesta de registros de Azure Monitor. Para obtener más información, consulte Reglas de recopilación de datos en Azure Monitor.

Creación de la regla de recopilación de datos

Use la siguiente plantilla de ARM para crear o modificar una regla de recopilación de datos (DCR) para recopilar archivos de registro de texto:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Reemplace cada marcador de posición entre llaves (por ejemplo, {DCR_NAME} y {TABLE_NAME}) por el valor correspondiente de la tabla siguiente:

Asocie la DCR al Agente de Azure Monitor

Si crea la DCR mediante una plantilla de ARM, todavía debe asociarla a los agentes que la usarán. Puede editar la DCR en el Azure Portal y seleccionar los agentes como se describe en Definir recursos de máquina virtual.