Dziennik systemowy za pośrednictwem łącznika danych ama — konfigurowanie określonego urządzenia lub urządzenia do Microsoft Sentinel pozyskiwania danych

Dziennik Syslog za pośrednictwem łącznika danych ama w Microsoft Sentinel zbiera dzienniki z wielu urządzeń i urządzeń zabezpieczeń. W tym artykule wymieniono instrukcje instalacji dostarczone przez dostawcę dla określonych urządzeń i urządzeń zabezpieczeń korzystających z tego łącznika danych. Skontaktuj się z dostawcą, aby uzyskać aktualizacje, uzyskać więcej informacji lub gdzie informacje są niedostępne dla urządzenia lub urządzenia zabezpieczającego.

Aby przekazać dane do obszaru roboczego usługi Log Analytics dla Microsoft Sentinel, wykonaj kroki w temacie Pozyskiwanie dzienników i komunikatów CEF, aby Microsoft Sentinel za pomocą agenta Azure Monitor. Po wykonaniu tych kroków zainstaluj dziennik Syslog za pośrednictwem łącznika danych ama w Microsoft Sentinel. Następnie użyj instrukcji odpowiedniego dostawcy w tym artykule, aby ukończyć konfigurację.

Aby uzyskać więcej informacji o powiązanym rozwiązaniu Microsoft Sentinel dla każdego z tych urządzeń lub urządzeń, wyszukajszablony rozwiązańtypu> produktu w witrynie Azure Marketplace lub przejrzyj rozwiązanie z centrum zawartości w Microsoft Sentinel.

Zapora Barracuda CloudGen

Postępuj zgodnie z instrukcjami, aby skonfigurować przesyłanie strumieniowe dziennika systemowego. Użyj adresu IP lub nazwy hosta maszyny Linux z agentem Microsoft Sentinel zainstalowanym dla docelowego adresu IP.

Infrastruktura zorientowana na aplikacje Cisco (ACI)

Skonfiguruj system Cisco ACI do wysyłania dzienników za pośrednictwem dziennika na serwer zdalny, na którym jest instalowany agent. Wykonaj następujące kroki , aby skonfigurować lokalizację docelową dziennika systemowego, grupę docelową i źródło usługi Syslog.

Ten łącznik danych został opracowany przy użyciu rozwiązania Cisco ACI Release 1.x.

Cisco Identity Services Engine (ISE)

Postępuj zgodnie z tymi instrukcjami , aby skonfigurować zdalne lokalizacje kolekcji dzienników systemu w ramach wdrożenia rozwiązania Cisco ISE.

Cisco Stealthwatch

Wykonaj poniższe kroki konfiguracji, aby pobrać dzienniki aplikacji Cisco Stealthwatch do Microsoft Sentinel.

1. Zaloguj się do konsoli zarządzania Stealthwatch (SMC) jako administrator.

2. Na pasku menu wybierz pozycjęZarządzanie odpowiedziami>.

3. W sekcji Akcje w menu Zarządzanie odpowiedziami wybierz pozycję Dodaj > komunikat dziennika systemowego.

4. W oknie Dodawanie akcji komunikatu dziennika systemu skonfiguruj parametry.

5. Wprowadź następujący format niestandardowy:

   |Lancope|Stealthwatch|7.3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}

6. Wybierz format niestandardowy z listy i PRZYCISK OK.

7. Wybierz pozycję Reguły zarządzania odpowiedziami>.

8. Wybierz pozycję Dodaj i alarm hosta.

9. Podaj nazwę reguły w polu Nazwa .

10. Utwórz reguły, wybierając wartości z menu Typ i Opcje . Aby dodać więcej reguł, wybierz ikonę wielokropka. W przypadku alarmu hosta połącz jak najwięcej możliwych typów w instrukcji.

Ten łącznik danych został opracowany przy użyciu aplikacji Cisco Stealthwatch w wersji 7.3.2

Cisco Unified Computing Systems (UCS)

Postępuj zgodnie z tymi instrukcjami , aby skonfigurować serwer Cisco UCS do przesyłania dalej dziennika systemowego. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

Cisco Web Security Appliance (WSA)

Skonfiguruj aplikację Cisco do przekazywania dzienników za pośrednictwem dziennika systemowego do serwera zdalnego, na którym jest instalowany agent. Wykonaj następujące kroki , aby skonfigurować usługę Cisco WSA do przesyłania dalej dzienników za pośrednictwem usługi Syslog

Wybierz pozycję Syslog Push jako metodę pobierania.

Ten łącznik danych został opracowany przy użyciu systemu AsyncOS 14.0 dla urządzenia Cisco Web Security

Kontroler dostarczania aplikacji Citrix (ADC)

Skonfiguruj usługę Citrix ADC (byłą firmę NetScaler) w celu przekazywania dzienników za pośrednictwem usługi Syslog.

1. Przejdź do karty Konfiguracja Karta >> Serwery dziennika systemowego > inspekcji >
2. Określ nazwę akcji dziennika systemu.
3. Ustaw adres IP zdalnego serwera Syslog i portu.
4. Ustaw typ transportu jako TCP lub UDP w zależności od konfiguracji zdalnego serwera dziennika systemowego.

Aby uzyskać więcej informacji, zobacz dokumentację Citrix ADC (former NetScaler).

Ochrona przed utratą danych w usłudze Digital Guardian

Wykonaj następujące kroki, aby skonfigurować funkcję Digital Guardian do przesyłania dalej dzienników za pośrednictwem usługi Syslog:

1. Zaloguj się do konsoli zarządzania Usługi Digital Guardian.
2. Wybierz pozycjęEksportuj> dane obszaru roboczego>Utwórz eksport.
3. Z listy Źródła danych wybierz pozycję Alerty lub zdarzenia jako źródło danych.
4. Z listy Typ eksportu wybierz pozycję Syslog.
5. Z listy Typ wybierz pozycję UDP lub TCP jako protokół transportu.
6. W polu Serwer wpisz adres IP zdalnego serwera dziennika systemowego.
7. W polu Port wpisz wartość 514 (lub inny port, jeśli serwer dziennika systemowego został skonfigurowany do używania portu niebędącego magazynem).
8. Z listy Poziom ważności wybierz poziom ważności.
9. Zaznacz pole wyboru Jest aktywne .
10. Wybierz pozycję Dalej.
11. Z listy dostępnych pól dodaj pola Alert lub Event na potrzeby eksportowania danych.
12. Wybierz kryteria dla pól w eksportowaniu danych i Dalej.
13. Wybierz grupę dla kryteriów i Dalej.
14. Wybierz pozycję Zapytanie testowe.
15. Wybierz pozycję Dalej.
16. Zapisz eksport danych.

Integracja aplikacji ESET Protect

Skonfiguruj funkcję ESET PROTECT, aby wysyłać wszystkie zdarzenia za pośrednictwem dziennika systemowego.

1. Postępuj zgodnie z tymi instrukcjami , aby skonfigurować dane wyjściowe dziennika systemowego. Upewnij się, że wybrano format BSD i TCP jako transport.
2. Postępuj zgodnie z tymi instrukcjami , aby wyeksportować wszystkie dzienniki do dziennika systemowego. Wybierz format JSON jako format wyjściowy.

Exabeam Zaawansowana analiza

Postępuj zgodnie z tymi instrukcjami, aby wysłać dane dziennika aktywności exabeam Zaawansowana analiza za pośrednictwem dziennika syslog.

Ten łącznik danych został opracowany przy użyciu programu Exabeam Zaawansowana analiza i54 (Syslog)

Ten łącznik danych został opracowany przy użyciu wtyczki Forescout Syslog w wersji 3.6

Gitlab

Postępuj zgodnie z tymi instrukcjami , aby wysłać dane dziennika inspekcji gitlab za pośrednictwem dziennika systemowego.

Powiązanie ISC

1. Postępuj zgodnie z tymi instrukcjami, aby skonfigurować powiązanie ISC w celu przekazywania dziennika systemowego: dzienniki DNS.
2. Skonfiguruj dziennik systemowy, aby wysyłać ruch dziennika systemowego do agenta. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

System operacyjny infoblox network identity (NIOS)

Postępuj zgodnie z tymi instrukcjami , aby włączyć przekazywanie dzienników dzienników infoblox NIOS. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

Ivanti Unified Endpoint Management

Postępuj zgodnie z instrukcjami, aby skonfigurować akcje alertów, aby wysyłać dzienniki do serwera dziennika systemu.

Ten łącznik danych został opracowany przy użyciu programu Ivanti Unified Endpoint Management Release 2021.1 w wersji 11.0.3.374

Juniper SRX

1. Wykonaj następujące instrukcje, aby skonfigurować protokół Juniper SRX do przesyłania dalej dziennika systemowego:

   • Dzienniki ruchu (dzienniki zasad zabezpieczeń)
   • Dzienniki systemowe

2. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

McAfee Network Security Platform

Wykonaj poniższe kroki konfiguracji, aby uzyskać dzienniki platformy zabezpieczeń sieci mcafee® w Microsoft Sentinel.

1. Przekaż alerty z menedżera do serwera dziennika systemowego.

2. Musisz dodać profil powiadomień dziennika systemowego. Podczas tworzenia profilu, aby upewnić się, że zdarzenia są poprawnie sformatowane, wprowadź następujący tekst w polu tekstowym Komunikat:

   <SyslogAlertForwarderNSP>:|SENSOR_ALERT_UUID|ALERT_TYPE|ATTACK_TIME|ATTACK_NAME|ATTACK_ID |ATTACK_SEVERITY|ATTACK_SIGNATURE|ATTACK_CONFIDENCE|ADMIN_DOMAIN|SENSOR_NAME|INTERFACE |SOURCE_IP|SOURCE_PORT|DESTINATION_IP|DESTINATION_PORT|CATEGORY|SUB_CATEGORY |DIRECTION|RESULT_STATUS|DETECTION_MECHANISM|APPLICATION_PROTOCOL|NETWORK_PROTOCOL|

Ten łącznik danych został opracowany przy użyciu platformy zabezpieczeń sieciowych McAfee® w wersji 10.1.x.

McAfee ePolicy Orchestrator

Skontaktuj się z dostawcą, aby uzyskać wskazówki dotyczące rejestrowania serwera syslog.

Microsoft Sysmon dla systemu Linux

Ten łącznik danych zależy od analizatorów ASIM opartych na usłudze Kusto Functions, która będzie działać zgodnie z oczekiwaniami. Wdróż analizatory.

Wdrożono następujące funkcje:

• vimFileEventLinuxSysmonFileCreated, vimFileEventLinuxSysmonFileDeleted
• vimProcessCreateLinuxSysmon, vimProcessTerminateLinuxSysmon
• vimNetworkSessionLinuxSysmon

Przeczytaj więcej

Nasuni

Postępuj zgodnie z instrukcjami w przewodniku po konsoli zarządzania Nasuni , aby skonfigurować urządzenia Nasuni Edge do przekazywania zdarzeń dziennika systemowego. Użyj adresu IP lub nazwy hosta urządzenia Linux z uruchomionym agentem Azure Monitor w polu Konfiguracja serwerów dla ustawień dziennika systemowego.

Openvpn

Zainstaluj agenta na serwerze, na którym jest przekazywana nazwa OpenVPN. Dzienniki serwera OpenVPN są zapisywane w typowym pliku dziennika systemu (w zależności od używanej dystrybucji Linux: np. /var/log/messages).

Inspekcja bazy danych Oracle

Wykonaj następujące kroki.

1. Utwórz bazę danych Oracle Wykonaj następujące kroki.
2. Zaloguj się do utworzonej bazy danych Oracle. Wykonaj następujące kroki.
3. Włącz ujednolicone rejestrowanie za pośrednictwem dziennika systemowego przez zmianę systemu, aby włączyć ujednolicone rejestrowaniePo wykonaniu tych kroków.
4. Tworzenie i włączanie zasad inspekcji na potrzeby ujednoliconego inspekcjiWykonaj następujące kroki.
5. Włączanie dzienników systemowych i przechwytywania Podgląd zdarzeń dla ujednoliconego szlaku inspekcji wykonaj następujące kroki.

Pulse Connect Secure

Postępuj zgodnie z instrukcjami , aby włączyć przesyłanie strumieniowe dzienników usługi Pulse Connect Secure. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

RSA SecurID

Wykonaj poniższe kroki, aby uzyskać dzienniki menedżera uwierzytelniania usługi RSA® SecurID w Microsoft Sentinel. Postępuj zgodnie z tymi instrukcjami , aby przekazać alerty z Menedżera do serwera dziennika systemowego.

Ten łącznik danych został opracowany przy użyciu programu RSA SecurID Authentication Manager w wersji 8.4 i 8.5

Zapora sophos XG

Postępuj zgodnie z tymi instrukcjami , aby włączyć przesyłanie strumieniowe dziennika systemowego. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

Symantec Endpoint Protection

Postępuj zgodnie z tymi instrukcjami , aby skonfigurować program Symantec Endpoint Protection do przesyłania dalej dziennika systemowego. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

Symantec ProxySG

1. Zaloguj się do konsoli zarządzania Blue Coat.

2. Wybierz pozycjęFormaty rejestrowania> dostępu do konfiguracji>.

3. Wybierz pozycję Nowy.

4. Wprowadź unikatową nazwę w polu Nazwa formatu .

5. Wybierz przycisk radiowy dla ciągu Format niestandardowy i wklej następujący ciąg do pola.

   1 $(date) $(time) $(time-taken) $(c-ip) $(cs-userdn) $(cs-auth-groups) $(x-exception-id) $(sc-filter-result) $(cs-categories) $(quot)$(cs(Referer))$(quot) $(sc-status) $(s-action) $(cs-method) $(quot)$(rs(Content-Type))$(quot) $(cs-uri-scheme) $(cs-host) $(cs-uri-port) $(cs-uri-path) $(cs-uri-query) $(cs-uri-extension) $(quot)$(cs(User-Agent))$(quot) $(s-ip) $(sr-bytes) $(rs-bytes) $(x-virus-id) $(x-bluecoat-application-name) $(x-bluecoat-application-operation) $(cs-uri-port) $(x-cs-client-ip-country) $(cs-threat-risk)

6. Wybierz przycisk OK.

7. Wybierz pozycję Zastosujn.

8. Postępuj zgodnie z tymi instrukcjami , aby włączyć przesyłanie strumieniowe dzienników programu Access . Użyj adresu IP lub nazwy hosta dla urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP

Symantec VIP

Postępuj zgodnie z tymi instrukcjami , aby skonfigurować bramę Symantec VIP Enterprise Gateway do przesyłania dalej dziennika systemowego. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

VMware ESXi

1. Postępuj zgodnie z tymi instrukcjami, aby skonfigurować program VMware ESXi do przesyłania dalej dziennika systemowego:

   • VMware ESXi 5.0+

2. Użyj adresu IP lub nazwy hosta urządzenia Linux z agentem Linux zainstalowanym jako docelowy adres IP.

Straż pożarna WatchGuard

Postępuj zgodnie z tymi instrukcjami , aby wysłać dane dziennika firebox WatchGuard za pośrednictwem dziennika systemowego.

Zawartość pokrewna

• Pozyskiwanie komunikatów dziennika systemowego i CEF do Microsoft Sentinel za pomocą agenta Azure Monitor
• Syslog za pośrednictwem ama i common event format (CEF) za pośrednictwem łączników AMA dla Microsoft Sentinel