Geavanceerd beheer van logverzamelaars

Configureer geavanceerde opties voor cloud discovery log collectors

In dit artikel wordt beschreven hoe u geavanceerde opties configureert voor Defender for Cloud Apps clouddetectielogboekverzamelaars.

Defender for Cloud Apps clouddetectie blijft zich richten op basisfirewallindelingen. Wijzigingen in de logboeken die op firewallniveau worden doorgestuurd, werken mogelijk niet meer of kunnen problemen met het parseren veroorzaken. Als je parsingfouten vindt veroorzaakt door gewijzigde firewalllogformaten, raden we aan het basisformaat van firewall te blijven gebruiken, of opties te gebruiken met de custom log collector. Zie Een aangepaste logboekparser gebruiken voor meer informatie.

In dit artikel wordt beschreven hoe u de configuratie voor uw Defender for Cloud Apps clouddetectie Docker wijzigt.

De FTP-configuratie van de logboekverzamelaar wijzigen

Gebruik de stappen in De versie van de logboekverzamelaar controleren, het FTP-wachtwoord wijzigen en certificaatbestanden toevoegen om de configuratie voor uw Defender for Cloud Apps Docker voor clouddetectie te wijzigen.

De versie van de logboekverzamelaar controleren

Als u de versie van de logboekverzamelaar wilt controleren die momenteel op uw systeem is geïnstalleerd, maakt u verbinding met de host van de logboekverzamelaar en voert u de volgende opdracht uit om de geïnstalleerde versie van het collectoronderdeel te controleren:

cat /var/adallom/versions | grep columbus-

Het FTP-wachtwoord wijzigen

In deze procedure wordt beschreven hoe u het wachtwoord wijzigt dat wordt gebruikt voor toegang tot logboekverzamelaarbestanden:

1. Maak verbinding met de host van de logboekverzamelaar en voer het volgende uit:

   docker exec -it <collector name> pure-pw passwd <ftp user>
   

2. Voer uw nieuwe wachtwoord in en voer het opnieuw in om dit te bevestigen.

3. Voer de volgende opdracht uit om de wijziging toe te passen:

   docker exec -it <collector name> pure-pw mkdb
   

In de FTP-hoofdmap van de logboekverzamelaar moet u de volgende inhoud kunnen bekijken:

• run_logs
• ssl_update
• config.json

Certificaatbestanden toevoegen

In deze procedure wordt beschreven hoe u de vereiste certificaatbestanden toevoegt die worden gebruikt voor beveiligde verbindingen met het Docker-exemplaar voor clouddetectie.

1. Open een FTP-client en maak verbinding met de host van de logboekverzamelaar.

2. Navigeer naar de ssl_update map en upload de nieuwe certificaatbestanden, waaronder de volgende bestanden:

   Type ontvanger	Vereiste bestanden
   FTP	- pure-ftpd.pem: bevat de sleutel- en certificaatgegevens
   Syslog	- ca.pem: het certificaat van de certificeringsinstantie dat is gebruikt om het certificaat van de client te ondertekenen. - server-key.pem en server-cert.pem: het certificaat en de sleutel van de logboekverzamelaar Syslog-berichten worden via TLS verzonden naar de logboekverzamelaar, waarvoor wederzijdse TLS-verificatie is vereist, inclusief verificatie van zowel de client- als servercertificaten.

Bestanden zijn verplicht. Als een van de bestanden voor het type ontvanger ontbreekt, mislukt de update.

1. Voer in een terminalvenster het volgende uit:

   docker exec -t <collector name> update_certs
   

   De uitvoer moet er ongeveer uitzien als de volgende code:

   root@DockerPlayground:~# docker exec -t columbus update_certs
   rsyslog: stopped
   rsyslog: started
   ftpd: stopped
   ftpd: started
   root@DockerPlayground:~#
   

2. Voer in een terminalvenster het volgende uit:

   docker exec <collector name> chmod -R 700 /etc/ssl/private/
   

De logboekverzamelaar achter een proxy inschakelen

Als u achter een proxy werkt, heeft de logboekverzamelaar mogelijk problemen met het verzenden van gegevens naar Defender for Cloud Apps. Er kunnen bijvoorbeeld verbindingsfouten optreden omdat de logboekverzamelaar de basiscertificeringsinstantie van de proxy niet vertrouwt en geen verbinding kan maken met Microsoft Defender for Cloud Apps om de configuratie op te halen of de ontvangen logboeken te uploaden.

Als u de logboekverzamelaar achter een proxy wilt inschakelen, stelt u de logboekverzamelaar achter een proxy in, valideert u het maken van docker-logboekverzamelaarcontainers, kopieert u het ca-certificaat van de proxy naar de container en stelt u de configuratie in voor gebruik met het CA-certificaat.

De logboekverzamelaar instellen achter een proxy

Zorg ervoor dat u de benodigde stappen hebt uitgevoerd om Docker uit te voeren op een Windows- of Linux-computer en dat u de Defender for Cloud Apps Docker-installatiekopie hebt gedownload naar uw hostcomputer.

Voor setup-vereisten en implementatiestappen, zie Automatische logupload configureren voor continue rapporten.

Het aanmaken van Docker-logverzamelaarcontainers controleren

Controleer of de container is aangemaakt en actief is. Voer in de shell het volgende uit:

docker ps

U ziet iets dat lijkt op de volgende uitvoer:

Het basis-CA-certificaat van de proxy kopiëren naar de container

Kopieer vanaf uw virtuele machine het CA-certificaat naar de Defender for Cloud Apps container. In het volgende voorbeeld heeft de container de naam Ubuntu-LogCollector en heeft het CA-certificaat de naam Proxy-CA.crt.

Met de volgende opdracht wordt het proxy-CA-certificaat gekopieerd naar de discoverymap van de actieve container, zodat de logverzamelaar de proxy kan vertrouwen. Voer de opdracht uit op de Ubuntu-host:

docker cp Proxy-CA.crt Ubuntu-LogCollector:/var/adallom/ftp/discovery

De configuratie instellen voor gebruik met het CA-certificaat

Voer de volgende stappen uit om het proxy-CA-certificaat te importeren in de Java KeyStore van de container, zodat de logboekverzamelaar de proxy vertrouwt.

1. Ga naar de container. Voer de volgende opdracht uit om bash te openen in de logboekverzamelaarcontainer:

   docker exec -it Ubuntu-LogCollector /bin/bash
   

2. Ga vanuit een bash-venster in de container naar de map Java jre . Gebruik de volgende opdracht om een versie-gerelateerde padfout te voorkomen:

   cd "$(find /opt/jdk/*/jre -name "bin" -printf '%h' -quit)"
   cd bin
   

3. Importeer het basiscertificaat dat u eerder hebt gekopieerd uit de detectiemap in de Java KeyStore en definieer een wachtwoord.

   Het standaardwachtwoord is changeit. Zie Het Java Sleutelarchiefwachtwoord wijzigen als u het standaardwachtwoord wilt wijzigen.

   ./keytool --import --noprompt --trustcacerts --alias SelfSignedCert --file /var/adallom/ftp/discovery/Proxy-CA.crt --keystore ../lib/security/cacerts --storepass <password>
   

4. Controleer of het certificaat correct is geïmporteerd in het CA-sleutelarchief. Voer de volgende opdracht uit om te zoeken naar de alias die u hebt opgegeven tijdens het importeren (SelfSignedCert):

   ./keytool --list --keystore ../lib/security/cacerts | grep self
   

   Uw geïmporteerde proxy-CA-certificaat wordt weergegeven.

Ip-adressen beperken die syslog-berichten verzenden naar de logboekverzamelaar in Linux

Als u de docker-installatiekopie wilt beveiligen en ervoor wilt zorgen dat slechts één IP-adres de syslog-berichten naar de logboekverzamelaar mag verzenden, maakt u een IP-tabelregel op de hostcomputer om invoerverkeer toe te staan en het verkeer dat via specifieke poorten komt, zoals TCP/601 of UDP/514, te verwijderen, afhankelijk van de implementatie.

De volgende opdracht toont een voorbeeld van het maken van een IP-tabelregel die kan worden toegevoegd aan de hostcomputer. Met deze tabelregel kan het IP-adres 1.2.3.4 verbinding maken met de logboekverzamelaarcontainer via TCP-poort 601 en alle andere verbindingen die afkomstig zijn van andere IP-adressen via dezelfde poort verwijderen.

iptables -I DOCKER-USER \! --src 1.2.3.4 -m tcp -p tcp --dport 601 -j DROP

De logboekverzamelaar instellen om te worden uitgevoerd met de nieuwe configuratie

De container is nu gereed.

Voer de collector_config opdracht uit met het API-token dat u hebt gebruikt tijdens het maken van de logboekverzamelaar. Bijvoorbeeld:

Wanneer u de opdracht uitvoert, geeft u uw eigen API-token op, zoals collector_config abcd1234abcd1234abcd1234abcd1234 ${CONSOLE} ${COLLECTOR}

Bijvoorbeeld:

De logboekverzamelaar kan nu communiceren met Defender for Cloud Apps. Nadat gegevens naar Defender for Cloud Apps zijn verzonden, verandert de status van de logboekverzamelaar van Gezond in Verbonden. Bijvoorbeeld:

Het Java KeyStore-wachtwoord wijzigen

Voer de volgende stappen uit om het Java KeyStore-wachtwoord te wijzigen dat door de logboekverzamelaar wordt gebruikt.

1. Stop de Java KeyStore-server.

2. Open een bash-shell in de container en ga naar de map appdata/conf .

3. Voer het volgende uit om het wachtwoord van de server KeyStore te wijzigen:

   keytool -storepasswd -new newStorePassword -keystore server.keystore
   -storepass changeit
   

   Het standaardserverwachtwoord is changeit.

4. Voer het volgende uit om het certificaatwachtwoord te wijzigen:

   keytool -keypasswd -alias server -keypass changeit -new newKeyPassword -keystore server.keystore -storepass newStorePassword
   

   De standaardserveralias is server.

5. Open in een teksteditor het bestand server-install\conf\server\secured-installed.properties . Voeg de volgende regels code toe en sla de wijzigingen op:

   1. Geef het nieuwe Java KeyStore-wachtwoord voor de server op: server.keystore.password=newStorePassword
   2. Geef het nieuwe certificaatwachtwoord voor de server op: server.key.password=newKeyPassword

6. Start de server.

De logboekverzamelaar verplaatsen naar een andere gegevenspartitie in Linux

Veel bedrijven hebben de vereiste om gegevens naar een afzonderlijke partitie te verplaatsen. In deze procedure wordt beschreven hoe u uw Defender for Cloud Apps Docker-logboekverzamelaarinstallatiekopieën verplaatst naar een gegevenspartitie op uw Linux-host.

In deze procedure wordt beschreven hoe u gegevens verplaatst naar een partitie met de naam gegevensopslag en wordt ervan uitgegaan dat u de partitie al hebt gekoppeld. Bijvoorbeeld:

Het toevoegen en configureren van een nieuwe partitie op uw Linux-host valt niet binnen het bereik van deze handleiding.

Om uw logverzamelaar naar een andere partitie te verplaatsen:

1. Stop de Docker-service. Rennen:

   service docker stop
   

2. Verplaats de logboekverzamelaargegevens naar de nieuwe partitie. Rennen:

   mv /var/lib/docker /datastore/docker
   

3. Verwijder de oude Docker-opslagmap (/var/lib/docker) en maak een symbolische koppeling naar de nieuwe map (/datastore/docker). Rennen:

   rm -rf /var/lib/docker && ln -s /datastore/docker /var/lib/
   

4. Start de Docker-service. Rennen:

   service docker start
   

5. Controleer eventueel of de container voor de logverzamelaar actief is door de actieve Docker-containers weer te geven. Rennen:

   docker ps
   

Het schijfgebruik van de logboekverzamelaar in Linux inspecteren

In deze procedure wordt beschreven hoe u het schijfgebruik en de locatie van de logboekverzamelaar controleert.

1. Identificeer het pad naar de map waar de logboekverzamelaargegevens zijn opgeslagen. Rennen:

   docker inspect <collector_name> | grep WorkDir
   

   Bijvoorbeeld:

   

2. Bepaal de schijfruimte van de logverzamelaar via het geïdentificeerde pad zonder het achtervoegsel '/work'. Rennen:

   du -sh /var/lib/docker/overlay2/<log_collector_id>/
   

   

   Opmerking

   Als u alleen de grootte op de schijf wilt weten, kunt u in plaats daarvan de volgende opdracht gebruiken: docker ps -s

De logboekverzamelaar verplaatsen naar een toegankelijke host

In gereguleerde omgevingen kan de toegang tot Docker Hub, waar de image van de logverzamelaar wordt gehost, geblokkeerd zijn. Dit voorkomt dat Defender for Cloud Apps de gegevens importeert uit de logboekverzamelaar en kan worden opgelost als ik de installatiekopie van de logboekverzamelaar naar een toegankelijke host verplaats.

In deze procedure wordt beschreven hoe u de installatiekopie van de logboekverzamelaar downloadt met behulp van een computer die toegang heeft tot Docker Hub en deze importeert naar uw doelhost.

De gedownloade installatiekopie kan worden geïmporteerd in uw persoonlijke opslagplaats of rechtstreeks op uw host. In deze procedure wordt beschreven hoe u de installatiekopie van de logboekverzamelaar downloadt naar uw Windows-computer en vervolgens WinSCP gebruikt om de logboekverzamelaar naar uw doelhost te verplaatsen.

Vereisten

Voordat u begint, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan.

1. Zorg ervoor dat Docker op uw host is geïnstalleerd. Gebruik bijvoorbeeld een van de volgende downloads:

   • https://download.docker.com/linux/ubuntu
   • https://download.docker.com/linux/centos/

2. Gebruik na het downloaden de offline installatiehandleiding van Docker om uw besturingssysteem te installeren.

   Start de werkstroom voor offlineoverdracht door de installatiekopie van de logboekverzamelaar te exporteren en de installatiekopie vervolgens naar uw doelhost te importeren.

Exporteer de image van de logverzamelaar uit uw Docker Hub

Als u de installatiekopieën van de logboekverzamelaar wilt exporteren, gebruikt u De installatiekopieën exporteren in Linux of exporteert u de installatiekopieën op Windows, afhankelijk van uw besturingssysteem.

De installatiekopieën exporteren in Linux

Gebruik de volgende stappen om de image van de logverzamelaar van een Linux-machine te exporteren.

1. Voer op een Linux-computer die toegang heeft tot de Docker Hub de volgende opdracht uit om Docker te installeren en de installatiekopieën van de logboekverzamelaar te downloaden.

   curl -o /tmp/MCASInstallDocker.sh https://discoveryresources-cdn-prod.cloudappsecurity.com/prod1/public-files/MCASInstallDocker.sh && chmod +x /tmp/MCASInstallDocker.sh; /tmp/MCASInstallDocker.sh 
   

2. Exporteer de image van de logverzamelaar. Rennen:

   docker save --output /tmp/mcasLC.targ mcr.microsoft.com/mcas/logcollector
   chmod +r /tmp/mcasLC.tar
   

   Belangrijk

   Zorg ervoor dat u de uitvoerparameter gebruikt om naar een bestand te schrijven in plaats van STDOUT.

3. Download het imagebestand van de logverzamelaar naar uw Windows-computer onder C:\mcasLogCollector\ met WinSCP. Bijvoorbeeld:

   

De afbeelding exporteren in Windows

Gebruik de volgende stappen om de image van de logverzamelaar vanaf een Windows-computer te exporteren.

1. Installeer Docker Desktop op een Windows 10 computer die toegang heeft tot de Docker Hub.

2. Download de image van de logverzamelaar. Rennen:

   docker login -u caslogcollector -p C0llector3nthusiast
   docker pull mcr.microsoft.com/mcas/logcollector
   

3. Exporteer de image van de logverzamelaar. Rennen:

   docker save --output C:\mcasLogCollector\mcasLC.targ mcr.microsoft.com/mcas/logcollector
   

   Belangrijk

   Zorg ervoor dat u de uitvoerparameter gebruikt om naar een bestand te schrijven in plaats van STDOUT.

Importeer en laad de image van de logverzamelaar op uw doelhost

Deze procedure beschrijft hoe u de geëxporteerde image naar uw doelhost overbrengt.

1. Upload de installatiekopie van de logboekverzamelaar naar uw doelhost onder /tmp/. Bijvoorbeeld:

   

2. Importeer op de doelhost de image van de logverzamelaar naar de Docker-imagesrepository. Rennen:

   docker load --input /tmp/mcasLC.tar
   

   Bijvoorbeeld:

   

3. Controleer eventueel of het importeren is voltooid. Rennen:

   docker image ls
   

   Bijvoorbeeld:

   

   U kunt nu verdergaan met het aanmaken van uw logcollector met behulp van de image van de doelhost.

Aangepaste poorten definiëren voor Syslog- en FTP-ontvangers voor logboekverzamelaars in Linux

Sommige organisaties hebben een vereiste om aangepaste poorten te definiëren voor Syslog- en FTP-services.

Wanneer u een gegevensbron toevoegt, gebruikt Defender for Cloud Apps logboekverzamelaars specifieke poortnummers om te luisteren naar verkeerslogboeken van een of meer gegevensbronnen.

De volgende tabel bevat een lijst met de standaard luisterpoorten voor ontvangers:

Gebruik de volgende stappen om aangepaste poorten te definiëren:

1. Selecteer instellingen in de Microsoft Defender Portal. Kies vervolgens Cloud-apps.

2. Selecteer onder Cloud Discoveryde optie Automatisch uploaden van logboeken. Selecteer vervolgens het tabblad Logboekverzamelaars .

3. Voeg op het tabblad Logboekverzamelaars een logboekverzamelaar toe of bewerk deze en kopieer na het bijwerken van de gegevensbronnen de opdracht Uitvoeren vanuit het dialoogvenster. Bijvoorbeeld:

   

   Als deze wordt gebruikt zoals opgegeven, configureert de door de wizard verstrekte opdracht de logboekverzamelaar voor het gebruik van poorten 514/udp en 515/udp. Bijvoorbeeld:

   (echo <credentials>) | docker run --name LogCollector1 -p 514:514/udp -p 515:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
   

   Bijvoorbeeld:

   

4. Voordat u de opdracht op uw hostcomputer gebruikt, wijzigt u de opdracht om uw aangepaste poorten te gebruiken. Als u bijvoorbeeld de logboekverzamelaar wilt configureren voor het gebruik van UDP-poorten 414 en 415, wijzigt u de opdracht als volgt:

   (echo <credentials>) | docker run --name LogCollector1 -p 414:514/udp -p 415:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
   

   Bijvoorbeeld:

   

   Opmerking

   Alleen de Docker-toewijzing wordt gewijzigd. De intern toegewezen poorten worden niet gewijzigd, zodat u een luisterpoort op de host kunt kiezen.

Het verkeer en de logboekindeling valideren die zijn ontvangen door de logboekverzamelaar in Linux

Af en toe moet u mogelijk problemen onderzoeken, zoals de volgende:

• Logboekverzamelaars ontvangen gegevens: controleer of logboekverzamelaars Syslog-berichten van uw apparaten ontvangen en niet worden geblokkeerd door firewalls.
• Ontvangen gegevens hebben de juiste logboekindeling: valideer de logboekindeling om parseerfouten op te lossen door de logboekindeling te vergelijken die door Defender for Cloud Apps wordt verwacht en de indeling die door uw apparaat wordt verzonden.

Gebruik de volgende stappen om te controleren of verkeer wordt ontvangen door logboekverzamelaars:

1. Meld u aan bij uw server die als host fungeert voor de Docker-container.

2. Controleer of de logboekverzamelaar Syslog-berichten ontvangt met behulp van een van de volgende methoden:

   • Gebruik tcpdump of een vergelijkbare opdracht om netwerkverkeer op poort 514 te analyseren:

     tcpdump -Als0 port 514
     

     Als alles correct is geconfigureerd, ziet u netwerkverkeer van uw apparaten. Bijvoorbeeld:

     

   • Gebruik netcat of een vergelijkbare opdracht om netwerkverkeer op de hostcomputer te analyseren:

     1. Installeer netcat en wget.

     2. Download een voorbeeld van een logbestand van het Defender-portaal. Pak zo nodig het logboekbestand uit.

        1. Selecteer in het Defender-portal onder Cloud Apps de optie Cloud Discovery>Acties>Momentopnamerapport voor Cloud Discovery maken.

        2. Selecteer de gegevensbron van waaruit u de logboekbestanden wilt uploaden.

        3. Selecteer Weergeven en controleren , klik vervolgens met de rechtermuisknop op Voorbeeldlogboek downloaden en kopieer de url-adreskoppeling.

        4. Selecteer Sluiten>Annuleren.

     3. Rennen:

        wget <URL_address_to_sample_log>
        

     4. Voer netcat uit om de gegevens naar de logverzamelaar te streamen.

        cat <path_to_downloaded_sample_log>.log | nc -w 0 localhost <datasource_port>
        

     Als de collector correct is geconfigureerd, bevinden de logboekgegevens zich in het berichtenbestand en worden ze kort na het schrijven geüpload naar Defender for Cloud Apps.

   • Controleer relevante bestanden in de Defender for Cloud Apps Docker-container:

     1. Meld u aan bij de container. Rennen:

        docker exec -it <Container Name> bash
        

     2. Bepaal of Syslog-berichten naar het berichtenbestand worden geschreven. Rennen:

        cat /var/adallom/syslog/<your_log_collector_port>/messages
        

     Als alles correct is geconfigureerd, ziet u netwerkverkeer van uw apparaten. Bijvoorbeeld:

     

     Opmerking

     Er zal naar dit bestand blijven worden geschreven totdat het 40 kB groot is. Bijvoorbeeld:

3. Controleer de logboeken die in de map /var/adallom/discoverylogsbackup naar Defender for Cloud Apps zijn geüpload. Bijvoorbeeld:

   

4. Valideer de logboekindeling die is ontvangen door de logboekverzamelaar door de berichten die zijn opgeslagen in /var/adallom/discoverylogsbackup te vergelijken met de voorbeeldlogboekindeling in de wizard Defender for Cloud Apps Logboekverzamelaar maken.

Uitvoer van het berichtenbestand naar een lokaal bestand schrijven

Als u uw eigen voorbeeldlogboek wilt gebruiken, maar geen toegang hebt tot het apparaat, kunt u binnenkomende Syslog-berichten van een specifieke gegevensbronpoort vastleggen in een lokaal bestand voor probleemoplossing.

Voer het volgende commando uit om de Syslog-berichten van de collector voor een bepaalde databronpoort naar een lokaal bestand op de host te streamen, zodat je de loginvoer kunt valideren of de connectiviteit kunt troubleshooten:

docker exec CustomerLogCollectorName tail -f -q /var/adallom/syslog/<datasource_port>/messages > /tmp/log.log

Vergelijk het uitvoerbestand (/tmp/log.log) met de berichten die zijn opgeslagen in de /var/adallom/discoverylogsbackup map.

De versie van de logboekverzamelaar bijwerken

Bij het bijwerken van uw logverzamelaar:

• Voordat u de nieuwe versie installeert, moet u uw logverzamelaar stoppen en de huidige image verwijderen.
• Werk uw certificaatbestanden bijnadat u de nieuwe versie hebt geïnstalleerd.

Volgende stappen

Als u problemen ondervindt, zijn wij er om u te helpen. Open een ondersteuningsticket om hulp of ondersteuning te krijgen voor uw productprobleem.