Logboeken van tekstbestanden verzamelen met de Azure Monitor-agent en opnemen in Microsoft Sentinel

Gebruik de volgende stappen in het Azure- of Defender-portaal om de regel voor gegevensverzameling te maken en te configureren.

Regel voor gegevensverzameling maken (DCR)

Om te beginnen opent u de gegevensconnector Custom Logs via AMA in Microsoft Sentinel en maakt u een gegevensverzamelingsregel (DCR).

1. Voor Microsoft Sentinel in de Azure Portal selecteert u onder Configuratiede optie Gegevensconnectors.
   Voor Microsoft Sentinel in de Defender-portal, selecteert u Microsoft Sentinel>Configuratie>Gegevensconnectors.

2. Typ custom in het Zoeken-zoekvak. Selecteer in de resultaten de connector Aangepaste logboeken via AMA.

3. Selecteer Connectorpagina openen in het detailvenster.

   

4. Selecteer in het gebied Configuratiede optie +Regel voor gegevensverzameling maken.

   

5. Op het tabblad Basis :

   • Typ een DCR-naam.
   • Selecteer uw abonnement.
   • Selecteer de resourcegroep waarin u uw DCR wilt zoeken.

   

6. Selecteer Volgende: Resources >.

VM-resources definiëren

Selecteer op het tabblad Resources de computers waarvan u de logboeken wilt verzamelen. Dit zijn ofwel de machines waarop uw toepassing is geïnstalleerd, ofwel uw logforwarder-machines. Als de computer die u zoekt niet wordt weergegeven in de lijst, is de machine mogelijk geen Azure VM waarop de Azure Connected Machine-agent is geïnstalleerd.

1. Gebruik de beschikbare filters of het zoekvak om de gewenste computer te vinden. Vouw een abonnement in de lijst uit om de resourcegroepen te zien en een resourcegroep om de bijbehorende VM's te zien.

2. Selecteer de computer waaruit u logboeken wilt verzamelen. Het selectievakje wordt weergegeven naast de vm-naam wanneer u de muisaanwijzer eroverheen beweegt.

   

   Als de Azure Monitor-agent nog niet is geïnstalleerd op de machines die u hebt geselecteerd, wordt de agent geïnstalleerd wanneer de DCR wordt gemaakt en geïmplementeerd.

3. Controleer uw wijzigingen en selecteer Volgende: Gegevens verzamelen >.

De DCR voor uw toepassing configureren

1. Selecteer op het tabblad Verzamelen uw toepassing of apparaattype in de vervolgkeuzelijst Apparaattype selecteren (optioneel) of laat aangepaste nieuwe tabel staan als uw toepassing of apparaat niet wordt weergegeven.

2. Als u een van de vermelde toepassingen of apparaten hebt gekozen, wordt het veld Tabelnaam automatisch ingevuld met de juiste tabelnaam. Als u Aangepaste nieuwe tabel kiest, voert u een tabelnaam in onder Tabelnaam. De naam moet eindigen op het _CL achtervoegsel.

3. Voer in het veld Bestandspatroon het pad en de bestandsnaam in van de tekstbestanden die moeten worden verzameld. Zie Specifieke instructies per toepassingstype om de standaardbestandsnamen en -paden voor elk toepassings- of apparaattype te vinden. U hoeft niet de standaardbestandsnamen of -paden te gebruiken en u kunt jokertekens gebruiken in de bestandsnaam.

4. Als u in stap 1 een aangepaste nieuwe tabel hebt gekozen in het veld Transformeren , voert u een Kusto-query in waarmee een transformatie van uw keuze op de gegevens wordt toegepast.

   Als u een van de vermelde toepassingen of apparaten in stap 1 hebt gekozen, wordt het veld Transformeren automatisch gevuld met de juiste transformatie. BEWERK NIET de transformatie die hier wordt weergegeven. Afhankelijk van het gekozen type moet de waarde van het Transformatieveld een van de volgende zijn:

   • source (de standaardinstelling: geen transformatie)
   • source | project-rename Message=RawData (voor apparaten die logboeken naar een doorstuurserver verzenden)

5. Controleer uw selecties en selecteer Volgende: Beoordelen en maken.

Controleer en maak de regel

Nadat u alle tabbladen hebt voltooid, controleert u wat u hebt ingevoerd en maakt u de regel voor gegevensverzameling.

1. Selecteer maken op het tabblad Controleren en maken.

   

   De connector installeert de Azure Monitor Agent op de computers die u hebt geselecteerd bij het maken van uw DCR.

2. Controleer de meldingen in de Azure Portal of Microsoft Defender portal om te zien wanneer de DCR is gemaakt en de agent is geïnstalleerd.

3. Selecteer Vernieuwen op de connectorpagina om de DCR in de lijst te zien.

Gebruik deze optie om de agent te installeren en de regel voor gegevensverzameling te maken met ARM-gebaseerde tools.

De Azure Monitor-agent installeren

Volg de juiste instructies uit de documentatie van Azure Monitor om de Azure Monitor-agent te installeren op de computer waarop uw toepassing wordt gehost of op uw logboek doorstuurserver. Gebruik de Windows-instructies als de machine op Windows draait, of de Linux-instructies als deze op Linux draait.

• De AMA installeren met behulp van PowerShell
• De AMA installeren met behulp van de Azure CLI
• De AMA installeren met behulp van een Azure Resource Manager-sjabloon

Maak regels voor gegevensverzameling (DDR's) met behulp van de Azure Monitor Logs Ingestion-API. Zie Regels voor gegevensverzameling in Azure Monitor voor meer informatie.

De regel voor gegevensverzameling maken

Gebruik de volgende ARM-sjabloon om een regel voor gegevensverzameling (DCR) te maken of te wijzigen voor het verzamelen van tekstbestanden:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Vervang elke tijdelijke aanduiding tussen accolades (bijvoorbeeld {DCR_NAME} en {TABLE_NAME}) door de juiste waarde uit de volgende tabel:

De DCR koppelen aan de Azure Monitor-agent

Als u de DCR maakt met behulp van een ARM-sjabloon, moet u de DCR nog steeds koppelen aan de agents die deze gaan gebruiken. U kunt de DCR bewerken in de Azure Portal en de agents selecteren zoals beschreven in VM-resources definiëren.