Coletar logs de arquivos de texto com o agente do Azure Monitor e ingerir no Microsoft Sentinel

Use os passos a seguir no portal Azure ou Defender para criar e configurar a regra de coleta de dados.

Criar regra de recolha de dados (DCR)

Para começar, abra o conector de dados Logs Personalizados via AMA no Microsoft Sentinel e crie uma DCR (regra de coleta de dados).

1. Para Microsoft Sentinel no portal do Azure, em Configuração, selecione Conectores de dados.
   Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Conectores de dados.

2. Escreva personalizado na caixa Procurar . Nos resultados, selecione os Registos Personalizados através do conector AMA.

3. Selecione Abrir página do conector no painel de detalhes.

   

4. Na área Configuração , selecione +Criar regra de recolha de dados.

   

5. Na guia Básico:

   • Escreva um nome DCR.
   • Selecione a sua subscrição.
   • Selecione o grupo de recursos onde pretende localizar o DCR.

   

6. Selecione Seguinte: Recursos >.

Definir recursos de VM

No separador Recursos , selecione as máquinas a partir das quais pretende recolher os registos. Esses podem ser os computadores com seu aplicativo instalado ou seus computadores de encaminhamento de logs. Se o computador que você está procurando não aparecer na lista, o computador pode não ser uma VM Azure com o agente do Azure Connected Machine instalado.

1. Utilize os filtros disponíveis ou a caixa de pesquisa para localizar o computador que procura. Você pode expandir uma assinatura na lista para ver os grupos de recursos dela, e um grupo de recursos para ver as VMs dela.

2. Selecione o computador a partir do qual pretende recolher registos. A caixa de seleção aparece ao lado do nome da VM quando você passa o cursor do mouse sobre ele.

   

   Se as máquinas que selecionou ainda não tiverem o agente do Azure Monitor instalado, o agente é instalado quando o DCR é criado e implementado.

3. Examine suas alterações e selecione Avançar: Coletar >.

Configurar o DCR para a sua aplicação

1. Na aba Collect, selecione seu aplicativo ou tipo de dispositivo no menu suspenso Selecionar tipo de dispositivo (opcional) ou deixe selecionada a opção Nova tabela personalizada se seu aplicativo ou dispositivo não estiver na lista.

2. Se escolher uma das aplicações ou dispositivos listados, o campo Nome da tabela é preenchido automaticamente com o nome da tabela correto. Se tiver escolhido Personalizar nova tabela, introduza um nome de tabela em Nome da tabela. O nome tem de terminar com o _CL sufixo.

3. No campo Padrão de ficheiro , introduza o caminho e o nome do ficheiro dos ficheiros de registo de texto a recolher. Para localizar os nomes e caminhos de ficheiro predefinidos para cada aplicação ou tipo de dispositivo, veja Instruções específicas por tipo de aplicação. Não tem de utilizar os nomes de ficheiro ou caminhos predefinidos e pode utilizar carateres universais no nome do ficheiro.

4. No campo Transformar , se escolher uma nova tabela personalizada no passo 1, introduza uma consulta Kusto que aplique uma transformação à sua escolha para os dados.

   Se você escolheu um dos aplicativos ou dispositivos listados na etapa 1, o campo Transformar será preenchido automaticamente com a transformação adequada. NÃO edite a transformação aí apresentada. Dependendo do tipo escolhido, o valor do campo Transform deve ser um dos seguintes:

   • source (a predefinição — sem transformação)
   • source | project-rename Message=RawData (para dispositivos que enviam registos para um reencaminhador)

5. Reveja as suas seleções e selecione Seguinte: Rever + criar.

Revisar e criar a regra

Depois de concluir todas as abas, revise o que inseriu e crie a regra de coleta de dados.

1. No separador Rever e criar , selecione Criar.

   

   O conector instala o Agente do Azure Monitor nos computadores que selecionou ao criar o DCR.

2. Verifique as notificações no portal do Azure ou no portal do Microsoft Defender para verificar quando o DCR é criado e o agente é instalado.

3. Selecione Atualizar na página do conector para ver o DCR apresentado na lista.

Use essa opção para instalar o agente e criar a regra de coleta de dados com ferramentas baseadas em ARM.

Instalar o Agente do Azure Monitor

Siga as instruções adequadas da documentação do Azure Monitor para instalar o Agente do Azure Monitor no computador que aloja a aplicação ou no reencaminhador de registos. Use as instruções para Windows se o computador estiver executando Windows ou as instruções para Linux se estiver executando Linux.

• Instalar o AMA com o PowerShell
• Instalar o AMA com a CLI do Azure
• Instalar o AMA com um modelo de Azure Resource Manager

Crie Regras de Recolha de Dados (DCRs) com a API de Ingestão de Registos do Azure Monitor. Para obter mais informações, veja Data collection rules in Azure Monitor (Regras de recolha de dados no Monitor do Azure).

Criar a regra de recolha de dados

Use o seguinte modelo do ARM para criar ou modificar uma DCR (regra de coleta de dados) para coletar arquivos de log de texto:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Substitua cada marcador entre chaves (por exemplo, {DCR_NAME} e {TABLE_NAME}) pelo valor apropriado da seguinte tabela:

Associar o DCR ao Agente do Azure Monitor

Se criar o DCR com um modelo do ARM, ainda tem de associar o DCR aos agentes que o irão utilizar. Pode editar o DCR no portal do Azure e selecionar os agentes conforme descrito em Definir recursos da VM.