Usare una regola di raccolta dati personalizzata (DCR) per l'inserimento di Defender per server

È possibile usare una regola di raccolta dati personalizzata per controllare quali eventi di sicurezza di Windows vengono inviati a Log Analytics per Defender per server. Ciò consente di ridurre il volume di inserimento filtrando gli eventi non necessari.

Con un DCR personalizzato, è possibile:

  • Filtrare gli eventi di sicurezza ad alto volume
  • Raccogliere un subset specifico di eventi di sicurezza di Windows
  • Applicare trasformazioni prima dell'inserimento

Prerequisiti

Prima di creare un DCR personalizzato, assicurati di:

  • L'agente di Monitoraggio di Azure viene installato nei computer che inviano dati a Log Analytics.

  • Un'area di lavoro Log Analytics si trova nella stessa area della regola di raccolta dati.

Creazione di un DCR

Per creare un DCR personalizzato nel portale Azure, segui questi passaggi:

  1. Accedi al portale di Azure.

  2. Passare a ★ Monitoraggio • Impostazioni ] Regole di raccolta dati ★ + Crea.

  3. Immettere un nome e una sottoscrizione.

  4. Scegliere o creare un gruppo di risorse.

  5. Selezionare l'area. L'area deve corrispondere all'area delle aree di lavoro Log Analytics a cui si invierà.

    • In Tipo di piattaforma selezionare Windows per raccogliere gli eventi di sicurezza di Windows per il SecurityEvent vantaggio di inserimento. Scegliere Linux o Tutto se sono necessari anche questi log.

    • In Endpoint di raccolta dati, lasciare <vuoto> a meno che non sia in uso un endpoint di raccolta dati per il collegamento privato o un'altra configurazione di rete avanzata.

  6. Selezionare Avanti: Risorse >.

  7. Selezionare + Aggiungi risorse e scegliere le risorse pertinenti.

  8. Se l'ambiente richiede un endpoint di raccolta dati, ad esempio quando si usa il Collegamento privato, selezionare + Crea endpoint e crearlo nella stessa area del DCR.

  9. Selezionare Avanti: Raccogliere e recapitare >.

  10. Selezionare + Aggiungi origine dati.

  11. Per Tipo di origine dati selezionare Registri eventi di Windows e scegliere Basic o Custom:

    • Base:
      • In Sicurezza selezionare Controlla esito positivo e/o Errore di controllo per inviare gli eventi di sicurezza di Windows alla SecurityEvent tabella.
      • Se necessario, selezionare Registri eventi dell'applicazione o del sistema per raccogliere eventi aggiuntivi. Tali eventi vengono inviati alla tabella Event e sono fatturati come normale inserimento. Non sono coperti dal vantaggio di inserimento di Defender per server.
    • Personalizzato:

      • Immettere una query XPath in Usare query XPath per filtrare i log degli eventi e limitare la raccolta dei dati. Ad esempio, Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]

        Screenshot della finestra Aggiungi origine dati nella procedura guidata Creare una regola di raccolta dati che mostra i log eventi Windows selezionati con opzioni Base o Personalizzato.

  12. Seleziona Aggiungi.

  13. Selezionare Avanti: Destinazione >.

  14. Selezionare + Aggiungi destinazione.

    Screenshot del riquadro Aggiungi origine dati che mostra la scheda Destinazione, in cui si fa clic su + Aggiungi destinazione.

  15. Per Tipo di destinazione scegliere Log di Monitoraggio di Azure.

  16. Selezionare almeno un'area di lavoro di Log Analytics nella stessa regione del DCR.

  17. Seleziona Salva.

  18. Selezionare Avanti: tag > e aggiungere i tag necessari per l'organizzazione delle risorse o la gestione dei costi.

  19. Selezionare Avanti: Rivedi + crea>.

  20. Selezionare Crea per distribuire il DCR.

Verificare l'inserimento dati

Dopo la distribuzione del DCR, attendere alcuni minuti prima che i dati inizino a fluire.

Eseguire la query KQL seguente nell'area di lavoro Log Analytics:

SecurityEvent
| take 10

Frammento JSON di esempio

L'esempio seguente mostra una configurazione DCR che raccoglie gli eventi di sicurezza di Windows selezionati:

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Eseguire la distribuzione tramite Criteri di Azure

Se gestisci molti abbonamenti, usa Criteri di Azure per creare e assegnare DCR su larga scala. L'iniziativa Deploy AMA DCR for Security Events Collection policy applica le regole di raccolta eventi di sicurezza in tutto il tuo ambiente.

Contenuti correlati

  • Last updated on