Usare una regola di raccolta dati personalizzata per l'inserimento di Defender for Servers

È possibile usare una regola di raccolta dati personalizzata per controllare quali eventi di sicurezza di Windows vengono inviati a Log Analytics per Defender per server. Questo approccio può aiutare a ridurre il volume di ingestione filtrando gli eventi di cui non hai bisogno.

Con un DCR personalizzato, è possibile:

• Filtrare gli eventi di sicurezza ad alto volume
• Raccogliere un subset specifico di eventi di sicurezza di Windows
• Applicare trasformazioni prima dell'inserimento

Prerequisiti

Prima di creare un DCR personalizzato, assicurati di avere:

• Monitoraggio di Azure Agent (AMA) installato sulle macchine che inviano dati a Log Analytics.

• Uno spazio di lavoro Log Analytics nella stessa area geografica del DCR.

Creazione di un DCR

Per creare un DCR personalizzato nel portale Azure, segui questi passaggi:

1. Accedi al portale di Azure.

2. Vai suImpostazioni>del>monitor, regole di raccolta dati, e poi seleziona + Crea.

3. Immettere un nome e una sottoscrizione.

4. Scegliere o creare un gruppo di risorse.

5. Selezionare l'area. La regione deve corrispondere alla regione degli spazi di lavoro Log Analytics a cui invii.

6. In Tipo di piattaforma selezionare Windows per raccogliere gli eventi di sicurezza di Windows per il SecurityEvent vantaggio di inserimento.

7. Scegli Linux o All se ti servono anche quei log.

8. In Endpoint di raccolta dati, lasciare <vuoto> a meno che non sia in uso un endpoint di raccolta dati per il collegamento privato o un'altra configurazione di rete avanzata.

9. Selezionare Avanti: Risorse >.

10. Selezionare + Aggiungi risorse e scegliere le risorse pertinenti.

11. Se il tuo ambiente richiede un Data Collection Endpoint, ad esempio, quando usi collegamento privato, seleziona + Create endpoint. Crea l'endpoint nella stessa regione del DCR.

12. Selezionare Avanti: Raccogliere e recapitare >.

13. Selezionare + Aggiungi origine dati.

14. Per Tipo di origine dati selezionare Registri eventi di Windows e scegliere Basic o Custom:

    • Base:

      • In Sicurezza, seleziona Controllo riuscito o Controllo non riuscito per inviare gli eventi di Sicurezza di Windows alla tabella SecurityEvent.
      • Se necessario, seleziona Applicationo System event log per raccogliere altri eventi. Questi eventi vengono inviati alla tabella Event e sono fatturati come normale acquisizione. Il beneficio di inserimento di Defender per server non li copre.

    • Personalizzazione:

      • Sotto Usa query XPath per filtrare i log degli eventi e limitare la raccolta dati, inserisci una query XPath. Ad esempio, Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]

    

15. Seleziona Aggiungi.

16. Selezionare Avanti: Destinazione >.

17. Selezionare + Aggiungi destinazione.

    

18. Per Tipo di destinazione scegliere Log di Monitoraggio di Azure.

19. Selezionare almeno un'area di lavoro di Log Analytics nella stessa regione del DCR.

20. Seleziona Salva.

21. Selezionare Avanti: tag > e aggiungere i tag necessari per l'organizzazione delle risorse o la gestione dei costi.

22. Selezionare Avanti: Rivedi + crea>.

23. Selezionare Crea per distribuire il DCR.

Verificare l'inserimento dati

Dopo aver installato il DCR, aspetta qualche minuto che i dati inizino a fluire.

Eseguire la query KQL seguente nell'area di lavoro Log Analytics:

SecurityEvent
| take 10

Frammento JSON di esempio

L'esempio seguente mostra una configurazione DCR che raccoglie gli eventi di sicurezza di Windows selezionati:

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Eseguire la distribuzione tramite Criteri di Azure

Se gestisci molti abbonamenti, usa Criteri di Azure per creare e assegnare DCR su larga scala. L'iniziativa di politica di raccolta Deploy AMA DCR for Security Events applica le regole di raccolta eventi di sicurezza per il tuo ambiente.

Passo successivo