Syslog- en CEF-berichten verzamelen in Microsoft Sentinel met de Azure Monitor Agent

Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

In dit artikel wordt beschreven hoe u Syslog via AMA en CEF (Common Event Format) via AMA-connectors gebruikt om Syslog- en CEF-berichten van Linux machines, netwerkapparaten en beveiligingsapparaten te filteren en op te nemen. Voordat je begint, zorg ervoor dat je de vereiste rechten, agenten en log forwarder hebt ingesteld zoals beschreven in de vereisten. Zie Syslog en CEF (Common Event Format) via AMA-connectors voor Microsoft Sentinel voor meer informatie over deze gegevensconnectors.

Opmerking

Container Insights ondersteunt het automatisch verzamelen van syslog-gebeurtenissen van Linux knooppunten in uw AKS-clusters. Meer informatie in Syslog-verzameling met Container Insights.

Vereisten

Bekijk voordat u begint de volgende Microsoft Sentinel, logboekdoorstuurserver en machinebeveiligingsvereisten om ervoor te zorgen dat de resources zijn geconfigureerd en de juiste machtigingen zijn toegewezen, zoals beschreven in de secties Microsoft Sentinel vereisten voor logboekdoorstuurserver en machinebeveiligingsvereisten.

vereisten voor Microsoft Sentinel

Installeer de juiste Microsoft Sentinel oplossing en zorg ervoor dat u over de machtigingen beschikt om de stappen in dit artikel uit te voeren.

Installeer de juiste oplossing vanuit de inhoudshub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.
Bepaal welke gegevensconnector voor de Microsoft Sentinel-oplossing Syslog via AMA of CEF (Common Event Format) via AMA nodig heeft en of u de Syslog- of Common Event Format-oplossing moet installeren. Om aan deze vereiste te voldoen:
- Selecteer in de hub Inhoudde optie Beheren in de geïnstalleerde oplossing en controleer de vermelde gegevensconnector.
- Als Syslog via AMA of Cef (Common Event Format) via AMA niet is geïnstalleerd met de oplossing, bepaalt u of u de Oplossing Syslog of Common Event Format moet installeren door uw apparaat of apparaat te zoeken in een van de volgende artikelen:
  - CEF via AMA-gegevensconnector - Een specifieke appliance of een specifiek apparaat configureren voor gegevensverzameling in Microsoft Sentinel
  - Syslog via AMA-gegevensconnector - Een specifiek toestel of apparaat configureren voor gegevensopname in Microsoft Sentinel
  Installeer vervolgens de oplossing Syslog of Common Event Format uit de inhoudshub om de bijbehorende AMA-gegevensconnector te verkrijgen.

Gebruik een Azure-account met de volgende Azure rollen voor op rollen gebaseerd toegangsbeheer (Azure RBAC):

Ingebouwde rol	Bereik	Reden
- Inzender voor virtuele machines - Azure verbonden machine Resourcebeheerder	Virtuele machines (VM) Virtual Machine Scale Sets Servers met Azure Arc-functionaliteit	De agent implementeren
Elke rol die de actie bevat Microsoft.Resources/deployments/*	Abonnement Resourcegroep Bestaande regel voor gegevensverzameling	Azure Resource Manager-sjablonen implementeren
Toezichthoudende bijdrager	Abonnement Resourcegroep Bestaande regel voor gegevensverzameling	Regels voor gegevensverzameling maken of bewerken

Vereisten voor logdoorstuurserver

Als u berichten verzamelt van een logboek doorstuurserver, zijn de volgende vereisten van toepassing:

U moet een aangewezen Linux VM hebben als doorstuurserver voor logboeken om logboeken te verzamelen.
- Maak een Linux VM in de Azure Portal.
- Ondersteunde Linux-besturingssystemen voor Azure Monitor Agent.
Als uw logboek doorstuurserver geen Azure virtuele machine is, moet er de Azure Arc Connected Machine-agent op zijn geïnstalleerd.
Python 2.7 of 3 moet zijn geïnstalleerd op de vm voor Linux logboek doorstuurserver. Gebruik de python --version opdracht of python3 --version om dit te controleren. Als u Python 3 gebruikt, controleert u of deze is ingesteld als de standaardopdracht op de computer of voert u scripts uit met de opdracht 'python3' in plaats van 'python'.
Het logdoorstuurprogramma moet ofwel de syslog-ng-daemon of de rsyslog-daemon hebben ingeschakeld.
Raadpleeg de Azure Monitor Agent Performance Benchmark voor ruimtevereisten voor uw logboek doorstuurserver. U kunt ook ontwerpen voor het realiseren van schaalbare gegevensopname in Microsoft Sentinel raadplegen.
Uw logboekbronnen, beveiligingsapparaten en apparaten moeten worden geconfigureerd om hun logboekberichten te verzenden naar de syslog-daemon van de logboek doorstuurserver in plaats van naar hun lokale syslog-daemon.

Opmerking

Wanneer u de AMA implementeert in een VMSS (Virtual Machine Scale Set), wordt u sterk aangeraden een load balancer te gebruiken die de round robin-methode ondersteunt om de verdeling van de belasting over alle geïmplementeerde exemplaren te garanderen.

Vereisten voor machinebeveiliging

Configureer de beveiliging van de computer volgens het beveiligingsbeleid van uw organisatie. Configureer bijvoorbeeld uw netwerk om af te stemmen op het beveiligingsbeleid van uw bedrijfsnetwerk en wijzig de poorten en protocollen in de daemon om aan uw vereisten te voldoen. Als u de configuratie van uw machinebeveiliging wilt verbeteren, beveiligt u uw VM in Azure of bekijkt u deze best practices voor netwerkbeveiliging.

Als uw apparaten syslog- en CEF-logboeken verzenden via TLS, omdat uw logboek doorstuurserver zich bijvoorbeeld in de cloud bevindt, moet u de syslog-daemon (rsyslog of syslog-ng) configureren om te communiceren in TLS. Zie voor meer informatie:

De gegevensconnector configureren

Het installatieproces voor syslog via AMA of CEF (Common Event Format) via AMA-gegevensconnectors omvat de volgende stappen:

Installeer de Azure Monitor Agent en maak een regel voor gegevensverzameling (DCR) met behulp van een van de volgende methoden:
- Azure of Defender-portal
- Azure Logboekopname-API bewaken
Als u logboeken van andere computers verzamelt met behulp van een logboekdoorstuurserver, voert u het installatiescript uit op de logboekdoorstuurserver om de syslog-daemon te configureren om te luisteren naar berichten van andere computers en om de benodigde lokale poorten te openen.

Selecteer het juiste tabblad voor instructies.

Azure of Defender-portal
Logboekopname-API

Gebruik het Azure- of Defender-portaal om een data collection rule (DCR) te maken en installeer de Azure Monitor Agent op je log forwarder.

Regel voor gegevensverzameling maken (DCR)

Open om aan de slag te gaan in Microsoft Sentinel de gegevensconnector Syslog via AMA of de gegevensconnector Common Event Format (CEF) via AMA en maak een regel voor gegevensverzameling (DCR).

Voor Microsoft Sentinel in de Azure Portal selecteert u onder Configuratiede optie Gegevensconnectors.
Voor Microsoft Sentinel in de Defender-portal, selecteert u Microsoft Sentinel>Configuratie>Gegevensconnectors.
Voor syslog typt u Syslogin het zoekvak. Selecteer in de resultaten de Syslog via AMA-connector.
Voor CEF typt u CEF in het vak Zoeken . Selecteer in de resultaten de connector Common Event Format (CEF) via AMA.
Selecteer Connectorpagina openen in het detailvenster.
Selecteer in het gebied Configuratiede optie +Regel voor gegevensverzameling maken.
Op het tabblad Basis :
- Typ een DCR-naam.
- Selecteer uw abonnement.
- Selecteer de resourcegroep waarin u uw DCR wilt zoeken.
Selecteer Volgende: Resources >.

VM-resources definiëren

Selecteer op het tabblad Resources de computers waarop u de AMA wilt installeren. Voor deze procedure selecteert u de machine voor het doorsturen van logboeken. Als uw logboek doorstuurserver niet wordt weergegeven in de lijst, is de agent Azure Connected Machine mogelijk niet geïnstalleerd.

Gebruik de beschikbare filters of het zoekvak om de VM voor het doorsturen van logboeken te vinden. Vouw een abonnement in de lijst uit om de resourcegroepen te zien en een resourcegroep om de bijbehorende VM's te zien.
Selecteer de VM voor doorstuurserver voor logboeken waarop u de AMA wilt installeren. Het selectievakje wordt weergegeven naast de vm-naam wanneer u de muisaanwijzer eroverheen beweegt.
Controleer uw wijzigingen en selecteer Volgende: Gegevens verzamelen >.

Faciliteiten en ernst selecteren

Houd er rekening mee dat het gebruik van dezelfde faciliteit voor zowel syslog- als CEF-berichten kan leiden tot duplicatie van gegevensopname. Zie Duplicatie van gegevensopname voorkomen voor meer informatie.

Selecteer op het tabblad Verzamelen het minimale logboekniveau voor elke faciliteit. Wanneer u een logboekniveau selecteert, verzamelt Microsoft Sentinel logboeken voor het geselecteerde niveau en andere niveaus met een hogere ernst. Als u bijvoorbeeld LOG_ERR selecteert, verzamelt Microsoft Sentinel logboeken voor de niveaus LOG_ERR, LOG_CRIT, LOG_ALERT en LOG_EMERG.
Controleer uw selecties en selecteer Volgende: Beoordelen en maken.

Controleer en maak de regel

Nadat u alle tabbladen hebt voltooid, controleert u wat u hebt ingevoerd en maakt u de regel voor gegevensverzameling.

Selecteer maken op het tabblad Controleren en maken.

De connector installeert de Azure Monitor Agent op de computers die u hebt geselecteerd bij het maken van uw DCR.
Controleer de meldingen in de Azure Portal of Microsoft Defender portal om te zien wanneer de DCR is gemaakt en de agent is geïnstalleerd.
Selecteer Vernieuwen op de connectorpagina om de DCR in de lijst te zien.

Gebruik de Logs Ingestion API om de Azure Monitor Agent te installeren, maak de dataverzamelingsregel aan en koppel de regel aan je log forwarder.

De Azure Monitor-agent installeren

Volg de juiste instructies uit de documentatie van Azure Monitor om de Azure Monitor-agent te installeren op uw logboek doorstuurserver. Vergeet niet om de instructies voor Linux te gebruiken, niet voor Windows.

U kunt regels voor gegevensverzameling (DCR's) maken met behulp van de Azure Monitor Logs Ingestion-API. Zie Regels voor gegevensverzameling in Azure Monitor voor meer informatie.

De regel voor gegevensverzameling maken

Maak een JSON-bestand voor de regel voor gegevensverzameling, maak een API-aanvraag en verzend de aanvraag.

Bereid een DCR-bestand voor in JSON-indeling. De inhoud van het DCR JSON-bestand is de aanvraagbody in uw API-aanvraag.

Zie de hoofdtekst van de aanvraag voor het maken van een Syslog/CEF-DCR voor een voorbeeld. Als u syslog- en CEF-berichten in dezelfde regel voor gegevensverzameling wilt verzamelen, raadpleegt u het voorbeeld van Syslog- en CEF-stromen in dezelfde DCR.
- Controleer of het streams veld is ingesteld op Microsoft-Syslog voor syslog-berichten of op Microsoft-CommonSecurityLog voor CEF-berichten.
- Voeg de filter- en facility-logniveaus toe aan de parameters facilityNames en logLevels. Zie de secties Voorbeelden van faciliteiten en logboekniveaus.
Maak een API-aanvraag in een REST API-client van uw keuze.
1. Kopieer voor de aanvraag-URL en -header de volgende aanvraag-URL en -header.
```
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
```
  - Vervang de placeholders {subscriptionId} en {resourceGroupName} door de juiste waarden.
  - Voer een naam van uw keuze in voor de DCR in plaats van de {dataCollectionRuleName} tijdelijke aanduiding.
2. Kopieer en plak voor de aanvraagtekst de inhoud van het DCR JSON-bestand dat u eerder in deze procedure hebt voorbereid in de aanvraagbody.
Verzend de aanvraag.

Zie Syslog/CEF DCR-reactie maken voor een voorbeeld van het antwoord dat u moet ontvangen.

De DCR koppelen aan de logboek doorstuurserver

U moet nu een DCR-associatie (DCRA) maken die de DCR koppelt aan de VM-resource die als host fungeert voor uw logdoorstuurserver.

Maak een API-aanvraag in een REST API-client van uw keuze.
Kopieer voor de aanvraag-URL en -header de volgende aanvraag-URL en de header.
```
PUT 
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
```
- Vervang de {subscriptionId}, {resourceGroupName} en {virtualMachineName}-placeholders door de juiste waarden.
- Voer een naam van uw keuze in voor de DCR in plaats van de {dataCollectionRuleAssociationName} tijdelijke aanduiding.
Kopieer de volgende aanvraagtekst voor de hoofdtekst van de aanvraag.
```
{
  "properties": {
    "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
  }
}
```
- Vervang de placeholders {subscriptionId} en {resourceGroupName} door de juiste waarden.
- Voer een naam van uw keuze in voor de DCR in plaats van de {dataCollectionRuleName} tijdelijke aanduiding.
Verzend de aanvraag.

Voorbeelden van secties voor faciliteiten en logboekniveaus

Bekijk deze voorbeelden van de instellingen voor faciliteiten en logboekniveaus. Het name veld bevat de filternaam.

Voor CEF-berichtopname moet "streams" de waarde voor "Microsoft-CommonSecurityLog" zijn in plaats van "Microsoft-Syslog".

In dit voorbeeld worden gebeurtenissen verzameld uit de cron, daemon, local0, local3 en uucp-faciliteiten, met de logniveaus Warning, Error, Critical, Alert en Emergency:

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

Syslog- en CEF-streams in dezelfde DCR

In dit voorbeeld ziet u hoe u syslog- en CEF-berichten in dezelfde DCR kunt verzamelen.

De DCR verzamelt CEF-gebeurtenisberichten voor:

De voorzieningen authpriv en mark met de logniveaus Info, Notice, Warning, Error, Critical, Alert en Emergency
De daemon facility met de logniveaus Warning, Error, Critical, Alert en Emergency

Er worden syslog-gebeurtenisberichten verzameld voor:

De kern, local0, local5 en news faciliteiten met de Critical, Alert en Emergency logniveaus
De mogelijkheden mail en uucp met het logniveau Emergency

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Het installatiescript uitvoeren

Als u een logboek doorstuurserver gebruikt, configureert u de syslog-daemon om te luisteren naar berichten van andere computers en opent u de benodigde lokale poorten.

Kopieer vanaf de connectorpagina de opdrachtregel die wordt weergegeven onder Voer de volgende opdracht uit om de CEF-collector te installeren en toe te passen:.

Schermopname van de opdrachtregel op de connectorpagina.

Of kopieer het vanaf hier:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py

Meld u aan bij de machine voor het doorsturen van logboeken waarop de AMA is geïnstalleerd.
Plak de installatieopdracht die u hebt gekopieerd van de connectorpagina om het installatiescript te starten.
Het script configureert de rsyslog- of syslog-ng-daemon om het vereiste protocol te gebruiken en start de daemon opnieuw. Het script opent poort 514 om te luisteren naar binnenkomende berichten in zowel UDP- als TCP-protocollen. Als u deze instelling wilt wijzigen, raadpleegt u het configuratiebestand syslog daemon volgens het daemon-type dat op de computer wordt uitgevoerd:
- Rsyslog: /etc/rsyslog.conf
- Syslog-ng: /etc/syslog-ng/syslog-ng.conf
Als u Python 3 gebruikt en dit niet is ingesteld als de standaardopdracht op de computer, vervangt u python3python in de geplakte opdracht. Zie Vereisten voor doorstuurserver voor logboeken.

Opmerking

Om scenario's met volledige schijf te voorkomen waarbij de agent niet kan werken, raden we u aan de syslog-ng configuratie of rsyslog in te stellen op het niet opslaan van onnodige logboeken. Een scenario met volledige schijf verstoort de functie van de geïnstalleerde AMA. Zie RSyslog of Syslog-ng voor meer informatie.
Controleer de status van de service.

Controleer de status van de AMA-service op uw logboek doorstuurserver:
```
sudo systemctl status azuremonitoragent.service
```
Controleer de status van de rsyslog-service:
```
sudo systemctl status rsyslog.service
```
Voor syslog-ng-omgevingen controleert u:
```
sudo systemctl status syslog-ng.service
```

Het beveiligingsapparaat of -apparaat configureren

Zie een van de volgende artikelen voor instructies voor het configureren van uw beveiligingsapparaat of -apparaat:

Neem voor meer informatie over uw toestel of apparaat contact op met de leverancier van de oplossing.

De connector testen

Controleer of logboekberichten van uw Linux machine of beveiligingsapparaten en -apparaten worden opgenomen in Microsoft Sentinel.

Voer de volgende opdracht uit om te controleren of de syslog-daemon luistert op de vereiste UDP-poort en of de AMA gereed is voor het ontvangen van logboeken op de Linux-doorstuurserver, voert u de volgende opdracht uit om actieve listeners en de bijbehorende poorten weer te geven:
```
 netstat -lnptv
```
U zou moeten zien dat de rsyslog of syslog-ng daemon luistert op poort 514.
Als u berichten wilt vastleggen die zijn verzonden vanaf een logboekregistratie of een verbonden apparaat, voert u deze opdracht op de achtergrond uit:
```
sudo tcpdump -i any port 514 or 28330 -A -vv &
```
Nadat u de validatie hebt voltooid, stop tcpdump. Typ fgen selecteer vervolgens Ctrl+C.

Testberichten verzenden

Voer een van de volgende stappen uit om demoberichten te verzenden:

Gebruik het nc hulpprogramma netcat. In dit voorbeeld leest het hulpprogramma gegevens die via de echo opdracht zijn gepost met de schakelaar newline uitgeschakeld. Het hulpprogramma schrijft de gegevens vervolgens zonder time-out naar de UDP-poort 514 op de localhost. Als u het hulpprogramma netcat wilt uitvoeren, moet u mogelijk een ander pakket installeren.
```
echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
```
Gebruik de logger opdracht. In dit voorbeeld wordt het bericht geschreven naar de local 4-voorziening, met ernstniveau Warning, via poort 514, op de lokale host, in de CEF RFC-indeling. De -t vlaggen en --rfc3164 worden gebruikt om te voldoen aan de verwachte RFC-indeling.
```
logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
```
Test de Cisco ASA-inname met de volgende opdracht:
```
echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
```
Nadat u deze opdrachten hebt uitgevoerd, komen berichten binnen op poort 514 en worden ze doorgestuurd naar poort 28330.
Nadat u testberichten hebt verzonden, voert u een query uit in uw Log Analytics-werkruimte. Het kan tot 20 minuten duren voordat logboeken in uw werkruimte worden weergegeven.

Voor CEF-logboeken:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Voor Cisco ASA-logboeken:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Aanvullende probleemoplossing

Als u geen verkeer ziet op poort 514 of als uw testberichten niet worden opgenomen, raadpleegt u Problemen met Syslog en CEF oplossen via AMA-connectors voor Microsoft Sentinel om problemen op te lossen.

Feedback

Is deze pagina nuttig?

Last updated on 2026-07-16