Ingerir mensagens Syslog e CEF para Microsoft Sentinel com o Agente do Azure Monitor

Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Este artigo mostra como usar o Syslog via AMA e os conectores Common Event Format (CEF) via AMA para filtrar e ingerir mensagens syslog e CEF de máquinas Linux, dispositivos de rede e dispositivos de segurança. Antes de começar, certifique-se de ter as permissões, agentes e encaminhamento de log necessários configurados conforme descrito nos Pré-requisitos. Para saber mais sobre esses conectores de dados, consulte Syslog e Common Event Format (CEF) por meio dos conectores AMA para o Microsoft Sentinel.

Observação

O Container Insights oferece suporte à coleta automática de eventos de syslog de nós Linux em seus clusters do AKS. Saiba mais em Coleta de Syslog com o Container Insights.

Pré-requisitos

Antes de começar, examine os seguintes Microsoft Sentinel, encaminhador de log e pré-requisitos de segurança do computador para garantir que você tenha os recursos configurados e as permissões apropriadas atribuídas conforme descrito nas seções de pré-requisitos de Microsoft Sentinel, pré-requisitos do encaminhador de log e pré-requisitos de segurança do Computador.

pré-requisitos do Microsoft Sentinel

Instale a solução de Microsoft Sentinel adequada e certifique-se de que tem as permissões para concluir os passos neste artigo.

Instale a solução adequada a partir do Hub de conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.
Identifique qual o conector de dados que a solução Microsoft Sentinel necessita do Syslog através do AMA ou do Common Event Format (CEF) através do AMA e se precisa de instalar a solução Syslog ou Common Event Format. Para cumprir este pré-requisito,
- No Hub de conteúdos, selecione Gerir na solução instalada e reveja o conector de dados listado.
- Se o Syslog via AMA ou o Common Event Format (CEF) via AMA não estiver instalado com a solução, identifique se precisa de instalar a solução Syslog ou Common Event Format ao encontrar o seu dispositivo ou dispositivo a partir de um dos seguintes artigos:
  - CEF via conector de dados AMA - Configurar equipamento ou dispositivo específico para ingestão de dados no Microsoft Sentinel
  - Conector de dados Syslog via AMA - Configurar equipamento ou dispositivo específico para ingestão de dados do Microsoft Sentinel
  Em seguida, instale a solução Syslog ou Common Event Format a partir do hub de conteúdos para obter o conector de dados AMA relacionado.

Tenha uma conta do Azure com as seguintes funções do controle de acesso baseado em função do Azure (Azure RBAC):

Função incorporada	Scope	Motivo
- Colaborador de Máquina Virtual - Máquina Conectada do Azure Administrador de Recursos	Máquinas virtuais (VM) Conjuntos de Dimensionamento de Máquinas Virtuais Servidores habilitados para Azure Arc	Para implantar o agente
Qualquer função que inclua a ação Microsoft.Resources/deployments/*	Assinatura Grupo de recursos Regra de recolha de dados existente	Para implementar modelos de Azure Resource Manager
Contribuidor de Monitorização	Assinatura Grupo de recursos Regra de recolha de dados existente	Para criar ou editar regras de recolha de dados

Pré-requisitos do encaminhador de logs

Se você estiver coletando mensagens de um encaminhador de logs, os seguintes pré-requisitos se aplicam:

Você precisa ter uma VM do Linux designada como um encaminhador de log para coletar logs.
- Crie uma VM Linux no portal do Azure.
- Sistemas operativos Linux suportados para o Agente Azure Monitor.
Se o encaminhador de log não for uma máquina virtual do Azure, ele deverá ter o agente do Connected Machine do Azure Arc instalado nele.
A VM do reencaminhador de registos Linux tem de ter o Python 2.7 ou 3 instalado. Use o comando python --version ou python3 --version para verificar. Se estiver a utilizar o Python 3, certifique-se de que está definido como o comando predefinido no computador ou execute scripts com o comando "python3" em vez de "python".
O encaminhador de logs deve ter um dos daemons syslog-ng ou rsyslog ativado.
Para obter requisitos de espaço para o encaminhador de log, confira o Parâmetro de comparação de desempenho do agente do Azure Monitor. Você também pode consultar Projetos para realizar a ingestão escalável do Microsoft Sentinel.
As origens de registo, os dispositivos de segurança e as aplicações têm de ser configurados para enviar as respetivas mensagens de registo para o daemon syslog do reencaminhador de registos em vez de para o daemon syslog local.

Observação

Ao implantar o AMA em um Conjunto de Dimensionamento de Máquinas Virtuais (VMSS), é altamente recomendável usar um balanceador de carga que ofereça suporte ao método round-robin para garantir a distribuição da carga entre todas as instâncias implantadas.

Pré-requisitos de segurança do computador

Configure a segurança do computador de acordo com a política de segurança da sua organização. Por exemplo, configure a sua rede para se alinhar com a política de segurança de rede empresarial e altere as portas e os protocolos no daemon para se alinhar com os seus requisitos. Para melhorar a configuração de segurança do computador, proteja a VM no Azure ou reveja estas melhores práticas de segurança de rede.

Se os seus dispositivos estiverem a enviar registos syslog e CEF através de TLS porque, por exemplo, o reencaminhador de registos está na cloud, tem de configurar o daemon do syslog (rsyslog ou syslog-ng) para comunicar no TLS. Para saber mais, confira:

Configurar o conector de dados

O processo de configuração do Syslog através do AMA ou do Common Event Format (CEF) através dos conectores de dados AMA inclui os seguintes passos:

Instale o Agente Azure Monitor e crie uma Regra de Recolha de Dados (DCR) com um dos seguintes métodos:
- portal do Azure ou do Defender
- API de Ingestão de Registos do Azure Monitor
Se estiver a recolher registos de outros computadores através de um reencaminhador de registos, execute o script de "instalação" no reencaminhador de registos para configurar o daemon do syslog para escutar mensagens de outras máquinas e para abrir as portas locais necessárias.

Selecione o separador adequado para obter instruções.

portal do Azure ou do Defender
API de Ingestão de Registos

Use o portal Azure ou Defender para criar uma regra de coleta de dados (DCR) e instalar o Azure Monitor Agent no seu encaminhador de log.

Criar regra de recolha de dados (DCR)

Para começar, abra o Syslog através do AMA ou do Common Event Format (CEF) através do conector de dados AMA no Microsoft Sentinel e crie uma regra de recolha de dados (DCR).

Para Microsoft Sentinel no portal do Azure, em Configuração, selecione Conectores de dados.
Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Conectores de dados.
Para syslog, escreva Syslog na caixa Procurar . Nos resultados, selecione o conector Syslog via AMA.
Para CEF, escreva CEF na caixa Procurar . Nos resultados, selecione o conector Common Event Format (CEF) via AMA.
Selecione Abrir página do conector no painel de detalhes.
Na área Configuração , selecione +Criar regra de recolha de dados.
Na guia Básico:
- Escreva um nome DCR.
- Selecione a sua subscrição.
- Selecione o grupo de recursos onde pretende localizar o DCR.
Selecione Seguinte: Recursos >.

Definir recursos de VM

Na guia Recursos , selecione os computadores nos quais você deseja instalar o AMA. Para este procedimento, selecione sua máquina de encaminhamento de logs. Se o encaminhador de logs não aparecer na lista, talvez ele não tenha o agente do Azure Connected Machine instalado.

Use os filtros disponíveis ou a caixa de pesquisa para localizar a VM do encaminhador de log. Você pode expandir uma assinatura na lista para ver os grupos de recursos dela, e um grupo de recursos para ver as VMs dela.
Selecione a VM do encaminhador de logs na qual deseja instalar o AMA. A caixa de seleção aparece ao lado do nome da VM quando você passa o cursor do mouse sobre ele.
Examine suas alterações e selecione Avançar: Coletar >.

Selecionar instalações e severidades

Tenha em atenção que utilizar a mesma facilidade para mensagens syslog e CEF pode resultar na duplicação da ingestão de dados. Para obter mais informações, consulte Como evitar a duplicação na ingestão de dados.

Na guia Coletar, selecione o nível mínimo de log para cada instalação. Quando seleciona um nível de registo, Microsoft Sentinel recolhe registos para o nível selecionado e outros níveis com maior gravidade. Por exemplo, se selecionar LOG_ERR, Microsoft Sentinel recolhe registos para os níveis LOG_ERR, LOG_CRIT, LOG_ALERT e LOG_EMERG.
Reveja as suas seleções e selecione Seguinte: Rever + criar.

Revisar e criar a regra

Depois de concluir todas as abas, revise o que inseriu e crie a regra de coleta de dados.

No separador Rever e criar , selecione Criar.

O conector instala o Agente do Azure Monitor nos computadores que selecionou ao criar o DCR.
Verifique as notificações no portal do Azure ou no portal do Microsoft Defender para verificar quando o DCR é criado e o agente é instalado.
Selecione Atualizar na página do conector para ver o DCR apresentado na lista.

Use a API de Ingestão de Logs para instalar o Azure Monitor Agent, criar a regra de coleta de dados e associar a regra ao seu encaminhador de log.

Instalar o Agente do Azure Monitor

Siga as instruções adequadas da documentação do Azure Monitor para instalar o Agente do Azure Monitor no reencaminhador de registos. Lembre-se de utilizar as instruções para Linux, não para o Windows.

Pode criar Regras de Recolha de Dados (DCRs) com a API de Ingestão de Registos do Azure Monitor. Para obter mais informações, veja Data collection rules in Azure Monitor (Regras de recolha de dados no Monitor do Azure).

Criar a regra de recolha de dados

Crie um ficheiro JSON para a regra de recolha de dados, crie um pedido de API e envie o pedido.

Preparar um ficheiro DCR no formato JSON. O conteúdo do arquivo JSON do DCR é o corpo da solicitação em sua solicitação de API.

Por exemplo, veja Syslog/CEF DCR creation request body (Corpo do pedido de criação do DCR do Syslog/CEF). Para recolher mensagens syslog e CEF na mesma regra de recolha de dados, veja o exemplo de fluxos Syslog e CEF no mesmo DCR.
- Verifique se o streams campo está definido como Microsoft-Syslog para mensagens syslog ou para Microsoft-CommonSecurityLog para mensagens CEF.
- Adicione os níveis de log de filtro e instalação nos parâmetros facilityNames e logLevels. Confira Exemplos de instalações e seções de níveis de log.
Crie um pedido de API num cliente da API REST à sua escolha.
1. Para o URL e cabeçalho do pedido, copie o seguinte URL e cabeçalho do pedido.
```
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
```
  - Substitua os valores apropriados nos marcadores de posição {subscriptionId} e {resourceGroupName}.
  - Insira um nome de sua escolha para o DCR no lugar do placeholder {dataCollectionRuleName}.
2. Para o corpo da solicitação, copie e cole o conteúdo do arquivo JSON do DCR que você preparou anteriormente neste procedimento no corpo da solicitação.
Enviar a solicitação.

Para obter um exemplo da resposta que deve receber, veja Syslog/CEF DCR creation response (Resposta de criação do DCR do Syslog/CEF).

Associar o DCR ao encaminhador de logs

Agora você precisa criar uma Associação de DCR (DCRA) que vincule a DCR ao recurso de VM que hospeda o encaminhador de log.

Crie um pedido de API num cliente da API REST à sua escolha.
Para a URL da solicitação e o cabeçalho, copie a seguinte URL da solicitação e o cabeçalho.
```
PUT 
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
```
- Substitua os valores apropriados para os marcadores de posição {subscriptionId}, {resourceGroupName} e {virtualMachineName}.
- Insira um nome de sua escolha para o DCR no lugar do placeholder {dataCollectionRuleAssociationName}.
Para o corpo da solicitação, copie o seguinte corpo da solicitação.
```
{
  "properties": {
    "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
  }
}
```
- Substitua os valores apropriados nos marcadores de posição {subscriptionId} e {resourceGroupName}.
- Insira um nome de sua escolha para o DCR no lugar do placeholder {dataCollectionRuleName}.
Enviar a solicitação.

Exemplos de instalações e seções de níveis de log

Veja estes exemplos das configurações de facilidades e níveis de registro. O name campo inclui o nome do filtro.

Para a ingestão de mensagens CEF, o valor para "streams" deve ser "Microsoft-CommonSecurityLog" em vez de "Microsoft-Syslog".

Este exemplo coleta eventos das instalações cron, daemon, local0, local3 e uucp, com os níveis de log Warning, Error, Critical, Alert e Emergency:

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

Fluxos Syslog e CEF no mesmo DCR

Este exemplo mostra como pode recolher mensagens syslog e CEF no mesmo DCR.

O DCR recolhe mensagens de evento CEF para:

As instalações authpriv e mark com os níveis de log Info, Notice, Warning, Error, Critical, Alert e Emergency
A instalação daemon com os níveis de log Warning, Error, Critical, Alert e Emergency

Coleta mensagens de eventos do syslog para:

As instalações kern, local0, local5 e news com os níveis de log Critical, Alert e Emergency
As instalações mail e uucp com o nível de log Emergency

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Executar o script de "instalação"

Se estiver a utilizar um reencaminhador de registos, configure o daemon syslog para escutar mensagens de outros computadores e abra as portas locais necessárias.

Na página do conector, copie a linha de comandos que aparece em Executar o seguinte comando para instalar e aplicar o recoletor CEF:.

Captura de ecrã da linha de comandos na página do conector.

Ou copie daqui:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py

Faça login na máquina de encaminhamento de logs onde a AMA está instalada.
Cole o comando de instalação copiado da página do conector para iniciar o script de instalação.
O script configura o rsyslog daemon ou syslog-ng para utilizar o protocolo necessário e reinicia o daemon. O script abre a porta 514 para ouvir as mensagens recebidas nos protocolos UDP e TCP. Para alterar esta definição, veja o ficheiro de configuração do daemon syslog de acordo com o tipo de daemon em execução no computador:
- Rsyslog: /etc/rsyslog.conf
- Syslog-ng: /etc/syslog-ng/syslog-ng.conf
Se estiver a utilizar o Python 3 e este não estiver definido como o comando predefinido no computador, substitua python3 por python no comando colado. Veja Pré-requisitos do encaminhador de logs.

Observação

Para evitar situações de disco cheio em que o agente não consegue funcionar, recomendamos que você configure syslog-ng ou rsyslog para não armazenar logs desnecessários. Um cenário de disco cheio prejudica o funcionamento do AMA instalado. Para obter mais informações, veja RSyslog ou Syslog-ng.
Verifique a status do serviço.

Verifique o status do serviço AMA no encaminhador de logs:
```
sudo systemctl status azuremonitoragent.service
```
Verifique o status do serviço rsyslog:
```
sudo systemctl status rsyslog.service
```
Para ambientes syslog-ng, verifique:
```
sudo systemctl status syslog-ng.service
```

Configurar o dispositivo de segurança ou equipamento

Para obter instruções para configurar o seu dispositivo de segurança ou dispositivo, consulte um dos seguintes artigos:

Para obter mais informações sobre o seu dispositivo ou dispositivo, contacte o fornecedor da solução.

Teste o conector

Verifique se as mensagens de log do seu computador Linux ou de dispositivos e equipamentos de segurança estão sendo ingeridas no Microsoft Sentinel.

Para validar se o daemon syslog está escutando na porta UDP necessária e se a AMA está pronta para receber logs no encaminhador Linux, execute o seguinte comando para exibir os ouvintes ativos e suas portas associadas:
```
 netstat -lnptv
```
Você deve ver o daemon rsyslog ou syslog-ng escutando na porta 514.
Para capturar mensagens enviadas a partir de um logger ou de um dispositivo ligado, execute este comando em segundo plano:
```
sudo tcpdump -i any port 514 or 28330 -A -vv &
```
Depois de concluir a validação, pare tcpdump. Escreva fge, em seguida, selecione Ctrl+C.

Enviar mensagens de teste

Para enviar mensagens de demonstração, conclua um dos seguintes passos:

Use o utilitário nc netcat. Neste exemplo, o utilitário lê os dados enviados por meio do comando echo, com a opção newline desativada. Em seguida, o utilitário escreve os dados na porta 514 UDP no localhost sem tempo limite. Para executar o utilitário netcat, poderá ter de instalar outro pacote.
```
echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
```
Utilize o logger comando . Este exemplo grava a mensagem na instalação local 4, no nível de severidade Warning, na porta 514, no host local, no formato RFC CEF. As opções -t e --rfc3164 são usadas para atender ao formato RFC esperado.
```
logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
```
Teste a ingestão do Cisco ASA usando o seguinte comando:
```
echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
```
Depois de executar estes comandos, as mensagens chegam à porta 514 e são reencaminhadas para a porta 28330.
Depois de enviar mensagens de teste, consulte a área de trabalho do Log Analytics. Os registos podem demorar até 20 minutos a aparecer na área de trabalho.

Para registos CEF:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Para logs do Cisco ASA:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Resolução de problemas adicional

Se você não vir tráfego na porta 514 ou as mensagens de teste não forem ingeridas, consulte Solucionar problemas de syslog e CEF por meio de conectores AMA para o Microsoft Sentinel.

Comentários

Esta página foi útil?

Last updated on 2026-07-16