Raccogliere i log dai file di testo con l'agente di monitoraggio Azure e inserire in Microsoft Sentinel

Utilizza i seguenti passaggi nel portale Azure o Defender per creare e configurare la regola di raccolta dati.

Creare una regola di raccolta dati (DCR)

Per iniziare, aprire il connettore dati Registri personalizzati tramite AMA in Microsoft Sentinel e creare una regola di raccolta dati.

1. Per Microsoft Sentinel nel portale di Azure, in Configurazione selezionare Connettori dati.
   Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Configurazione>connettori dati.

2. Digitare custom nella casella Di ricerca . Dai risultati, selezionare il connettore Log personalizzati tramite AMA.

3. Selezionare Apri pagina connettore nel riquadro dei dettagli.

   

4. Nell'area Configurazione selezionare +Crea regola di raccolta dati.

   

5. Nella scheda Base :

   • Digitare un nome DCR.
   • Selezionare la sottoscrizione.
   • Selezionare il gruppo di risorse in cui si vuole individuare il DCR.

   

6. Selezionare Avanti: Risorse >.

Definire le risorse della macchina virtuale

Nella scheda Risorse selezionare i computer da cui si desidera raccogliere i log. Si tratta dei computer in cui è installata l'applicazione o dei computer di inoltro di log. Se il computer che si sta cercando non viene visualizzato nell'elenco, il computer potrebbe non essere una macchina virtuale Azure con l'agente Azure Connected Machine installato.

1. Usare i filtri o la casella di ricerca disponibili per trovare il computer che si sta cercando. Espandi una sottoscrizione nell'elenco per visualizzarne i gruppi di risorse e espandi un gruppo di risorse per visualizzarne le macchine virtuali.

2. Selezionare il computer da cui si vogliono raccogliere i log. La casella di controllo viene visualizzata accanto al nome della macchina virtuale quando si passa il puntatore del mouse su di essa.

   

   Se nei computer selezionati non è già installato l'agente di monitoraggio Azure, l'agente viene installato quando viene creato e distribuito il DCR.

3. Rivedi le modifiche e seleziona Avanti: Raccolta >.

Configurare il DCR per l'applicazione

1. Nella scheda Raccolta selezionare l'applicazione o il tipo di dispositivo nella casella a discesa Seleziona tipo di dispositivo (facoltativo) oppure lasciare la tabella Personalizzata nuova se l'applicazione o il dispositivo non è elencato.

2. Se si sceglie una delle applicazioni o dei dispositivi elencati, il campo Nome tabella viene popolato automaticamente con il nome di tabella corretto. Se si sceglie Nuova tabella personalizzata, immettere un nome di tabella in Nome tabella. Il nome deve terminare con il _CL suffisso .

3. Nel campo Modello di file immettere il percorso e il nome file dei file di log di testo da raccogliere. Per trovare i nomi e i percorsi di file predefiniti per ogni applicazione o tipo di dispositivo, vedere Istruzioni specifiche per ogni tipo di applicazione. Non è necessario usare i nomi di file o i percorsi predefiniti ed è possibile usare caratteri jolly nel nome del file.

4. Nel campo Trasforma , se nel passaggio 1 è stata scelta una nuova tabella personalizzata, immettere una query Kusto che applica ai dati una trasformazione di propria scelta.

   Se si sceglie una delle applicazioni o dei dispositivi elencati nel passaggio 1, il campo Trasforma viene popolato automaticamente con la trasformazione corretta. NON modificare la trasformazione visualizzata. A seconda del tipo scelto, il valore del campo Trasformazione dovrebbe essere uno dei seguenti:

   • source (impostazione predefinita: nessuna trasformazione)
   • source | project-rename Message=RawData (per i dispositivi che inviano log a un server d'inoltro)

5. Esaminare le selezioni e selezionare Avanti: Rivedi e crea.

Rivedi e crea la regola

Dopo aver completato tutte le schede, esaminare gli elementi immessi e creare la regola di raccolta dati.

1. Nella scheda Rivedi e crea selezionare Crea.

   

   Il connettore installa l'agente di monitoraggio Azure nei computer selezionati durante la creazione del DCR.

2. Controllare le notifiche nel portale di Azure o nel portale di Microsoft Defender per verificare quando viene creato il DCR e viene installato l'agente.

3. Selezionare Aggiorna nella pagina del connettore per visualizzare il DCR visualizzato nell'elenco.

Usa questa opzione per installare l'agente e creare la regola di raccolta dati con strumenti basati su ARM.

Installare l'agente di monitoraggio Azure

Seguire le istruzioni appropriate della documentazione Monitoraggio di Azure per installare l'agente di monitoraggio Azure nel computer che ospita l'applicazione o nel server d'inoltro di log. Usare le istruzioni Windows se il computer esegue Windows o le istruzioni di Linux se esegue Linux.

• Installare l'AMA con PowerShell
• Installare l'ama usando l'interfaccia della riga di comando Azure
• Installare l'AMA usando un modello di Azure Resource Manager

Creare regole di raccolta dati (DCR) usando l'API di inserimento log di monitoraggio Azure. Per altre informazioni, vedere Regole di raccolta dati in Monitoraggio Azure.

Creare la regola di raccolta dati

Usare il seguente modello ARM per creare o modificare una regola di raccolta dati (DCR) per raccogliere file di log di testo:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Sostituire ogni segnaposto racchiuso tra parentesi graffe (ad esempio, {DCR_NAME} e {TABLE_NAME}) con il valore corrispondente della tabella seguente:

Associare il DCR all'agente di monitoraggio Azure

Se si crea il DCR tramite un modello ARM, è comunque necessario associare il DCR agli agenti che lo useranno. È possibile modificare il DCR nel portale di Azure e selezionare gli agenti come descritto in Definire le risorse della macchina virtuale.