Azure Monitor エージェントを使用してテキスト ファイルからログを収集し、Microsoft Sentinelに取り込みます

AzureまたはDefenderポータルで以下の手順を使ってデータ収集ルールを作成・設定してください。

データ収集ルールの作成 (DCR)

開始するには、Microsoft Sentinelの AMA データ コネクタを使用してカスタム ログを開き、データ収集規則 (DCR) を作成します。

1. Azure portalでMicrosoft Sentinelする場合は、[構成] で [データ コネクタ] を選択します。
   Defender ポータルで Microsoft Sentinel>構成>データ コネクタ を使用するには、[Microsoft Sentinel > 構成 > データ コネクタ] を選択します。

2. [検索] ボックスに「custom」と入力します。 結果から、 AMA コネクタを使用してカスタム ログを 選択します。

3. 詳細ウィンドウで [ コネクタ ページを開く ] を選択します。

   

4. [ 構成 ] 領域で、[ +データ収集ルールの作成] を選択します。

   

5. [ 基本 ] タブで、次の手順を実行します。

   • DCR 名を入力します。
   • サブスクリプションを選択します。
   • DCR を検索するリソース グループを選択します。

   

6. [ 次へ: リソース] >を選択します。

VM リソースを定義する

[ リソース ] タブで、ログを収集するマシンを選択します。 これらは、アプリケーションがインストールされているマシンか、ログ フォワーダー マシンのいずれかです。 探しているマシンが一覧に表示されない場合は、Azure接続マシン エージェントがインストールされているAzure VM ではない可能性があります。

1. 使用できるフィルターまたは検索ボックスを使用して、探しているマシンを見つけます。 一覧でサブスクリプションを展開するとそのリソース グループが表示され、リソース グループを展開するとその VM が表示されます。

2. ログを収集するコンピューターを選択します。 VM 名の横にマウス ポインターを合わせると、[チェック] ボックスが表示されます。

   

   選択したマシンに Azure Monitor エージェントがまだインストールされていない場合、DCR の作成とデプロイ時にエージェントがインストールされます。

3. 変更を確認し、[次へ: >の収集] を選択します。

アプリケーションの DCR を構成する

1. [ 収集 ] タブで、[ デバイスの種類の選択 (省略可能)] ドロップダウン ボックスからアプリケーションまたはデバイスの種類を選択するか、アプリケーションまたはデバイスが一覧に表示されていない場合は [カスタム新しいテーブル ] のままにします。

2. 一覧表示されているアプリケーションまたはデバイスのいずれかを選択した場合、[ テーブル名 ] フィールドに適切なテーブル名が自動的に入力されます。 [カスタムの新しいテーブル] を選択した場合は、[テーブル名] にテーブル名を入力します。 名前は、 _CL サフィックスで終わる必要があります。

3. [ ファイル パターン ] フィールドに、収集するテキスト ログ ファイルのパスとファイル名を入力します。 アプリケーションまたはデバイスの種類ごとに既定のファイル名とパスを見つけるには、「アプリケーションの 種類ごとの具体的な手順」を参照してください。 既定のファイル名またはパスを使用する必要はありません。また、ファイル名にはワイルドカードを使用できます。

4. [ 変換 ] フィールドで、手順 1 でカスタムの新しいテーブルを選択した場合は、任意の変換をデータに適用する Kusto クエリを入力します。

   手順 1 で一覧表示されているアプリケーションまたはデバイスのいずれかを選択した場合、[ 変換 ] フィールドに適切な変換が自動的に設定されます。 そこに表示される変換を編集しないでください。 選択されるタイプによって、 Transform フィールドの値は以下のいずれかであるべきです。

   • source (既定値—変換なし)
   • source | project-rename Message=RawData (フォワーダーにログを送信するデバイスの場合)

5. 選択内容を確認し、[ 次へ: 確認と作成] を選択します。

ルールを確認して作成する

すべてのタブを完了したら、入力した内容を確認し、データ収集ルールを作成します。

1. [ 確認と作成 ] タブで、[ 作成] を選択します。

   

   コネクタは、DCR の作成時に選択したマシンにAzure モニター エージェントをインストールします。

2. Azure portalまたはMicrosoft Defender ポータルで通知を確認して、DCR が作成され、エージェントがインストールされているタイミングを確認します。

3. コネクタ ページで [最新の情報に更新 ] を選択すると、一覧に DCR が表示されます。

このオプションを使ってエージェントをインストールし、ARMベースのツールでデータ収集ルールを作成します。

Azure Monitor エージェントをインストールする

Azure Monitor ドキュメントの適切な手順に従って、アプリケーションをホストしているコンピューターまたはログ フォワーダーにAzure Monitor エージェントをインストールします。 マシンがWindows実行されている場合はWindowsの手順を使用し、Linux を実行する場合は Linux の手順を使用します。

• PowerShell を使用して AMA をインストールする
• Azure CLI を使用して AMA をインストールする
• Azure Resource Manager テンプレートを使用して AMA をインストールする

Azure モニター ログ インジェスト API を使用して、データ収集規則 (DCR) を作成します。 詳細については、「Azure Monitor のデータ収集ルール」を参照してください。

データ収集ルールを作成する

次の ARM テンプレートを使用して、テキスト ログ ファイルを収集するためのデータ収集規則 (DCR) を作成または変更します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

中かっこで囲まれた各プレースホルダー ( {DCR_NAME} や {TABLE_NAME}など) を、次の表の適切な値に置き換えます。

DCR をAzure モニター エージェントに関連付ける

ARM テンプレートを使用して DCR を作成する場合でも、DCR を使用するエージェントに関連付ける必要があります。 「VM リソースの定義」の説明に従って、Azure portalで DCR を編集し、エージェントを選択できます。