Recolha registos a partir de ficheiros de texto com o Azure Monitor Agent e assimile-os no Microsoft Sentinel

Use os passos seguintes no portal Azure ou Defender para criar e configurar a regra de recolha de dados.

Criar regra de recolha de dados (DCR)

Para começar, abra o conector de dados Custom Logs via AMA no Microsoft Sentinel e crie uma regra de recolha de dados (DCR).

1. Para Microsoft Sentinel no portal do Azure, em Configuração, selecione Conectores de dados.
   Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Conectores de dados.

2. Escreva personalizado na caixa Procurar . Nos resultados, selecione os Registos Personalizados através do conector AMA.

3. Selecione Abrir página do conector no painel de detalhes.

   

4. Na área Configuração , selecione +Criar regra de recolha de dados.

   

5. No separador Básico:

   • Escreva um nome DCR.
   • Selecione a sua subscrição.
   • Selecione o grupo de recursos onde pretende localizar o DCR.

   

6. Selecione Seguinte: Recursos >.

Definir recursos de VM

No separador Recursos , selecione as máquinas a partir das quais pretende recolher os registos. São as máquinas onde a sua aplicação está instalada, ou as máquinas de reencaminhamento de registos. Se a máquina que procuras não aparecer na lista, pode não ser uma VM Azure com o agente Azure Connected Machine instalado.

1. Utilize os filtros disponíveis ou a caixa de pesquisa para localizar o computador que procura. Expanda uma subscrição na lista para ver os respetivos grupos de recursos e um grupo de recursos para ver as VMs.

2. Selecione o computador a partir do qual pretende recolher registos. A caixa de verificação é apresentada junto ao nome da VM quando paira o cursor do rato sobre a mesma.

   

   Se as máquinas que selecionou ainda não tiverem o agente do Azure Monitor instalado, o agente é instalado quando o DCR é criado e implementado.

3. Reveja as alterações e selecione Seguinte: Recolher >.

Configurar o DCR para a sua aplicação

1. No separador Recolher , selecione a sua aplicação ou tipo de dispositivo na caixa pendente Selecionar tipo de dispositivo (opcional) ou deixe-a como Nova tabela personalizada se a sua aplicação ou dispositivo não estiver listado.

2. Se escolher uma das aplicações ou dispositivos listados, o campo Nome da tabela é preenchido automaticamente com o nome da tabela correto. Se tiver escolhido Personalizar nova tabela, introduza um nome de tabela em Nome da tabela. O nome tem de terminar com o _CL sufixo.

3. No campo Padrão de ficheiro , introduza o caminho e o nome do ficheiro dos ficheiros de registo de texto a recolher. Para localizar os nomes e caminhos de ficheiro predefinidos para cada aplicação ou tipo de dispositivo, veja Instruções específicas por tipo de aplicação. Não tem de utilizar os nomes de ficheiro ou caminhos predefinidos e pode utilizar carateres universais no nome do ficheiro.

4. No campo Transformar , se escolher uma nova tabela personalizada no passo 1, introduza uma consulta Kusto que aplique uma transformação à sua escolha para os dados.

   Se escolher uma das aplicações ou dispositivos listados no passo 1, o campo Transformar é automaticamente preenchido com a transformação correta. NÃO edite a transformação aí apresentada. Dependendo do tipo escolhido, o valor do campo Transform deve ser um dos seguintes:

   • source (a predefinição — sem transformação)
   • source | project-rename Message=RawData (para dispositivos que enviam registos para um reencaminhador)

5. Reveja as suas seleções e selecione Seguinte: Rever + criar.

Rever e criar a regra

Depois de concluir todos os separadores, reveja o que introduziu e crie a regra de recolha de dados.

1. No separador Rever e criar , selecione Criar.

   

   O conector instala o Agente do Azure Monitor nos computadores que selecionou ao criar o DCR.

2. Verifique as notificações no portal do Azure ou no portal do Microsoft Defender para verificar quando o DCR é criado e o agente é instalado.

3. Selecione Atualizar na página do conector para ver o DCR apresentado na lista.

Use esta opção para instalar o agente e criar a regra de recolha de dados com ferramentas baseadas em ARM.

Instalar o Agente do Azure Monitor

Siga as instruções adequadas da documentação do Azure Monitor para instalar o Agente do Azure Monitor no computador que aloja a aplicação ou no reencaminhador de registos. Use as instruções do Windows se a máquina correr o Windows, ou as instruções do Linux se correr o Linux.

• Instalar o AMA com o PowerShell
• Instalar o AMA com a CLI do Azure
• Instalar o AMA com um modelo de Azure Resource Manager

Crie Regras de Recolha de Dados (DCRs) com a API de Ingestão de Registos do Azure Monitor. Para obter mais informações, veja Data collection rules in Azure Monitor (Regras de recolha de dados no Monitor do Azure).

Criar a regra de recolha de dados

Use o seguinte modelo ARM para criar ou modificar uma regra de recolha de dados (DCR) para recolha de ficheiros de registo de texto:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Substitua cada marcador fechado entre colchetes (por exemplo, {DCR_NAME} e {TABLE_NAME}) pelo valor apropriado da tabela seguinte:

Associar o DCR ao Agente do Azure Monitor

Se criar o DCR com um modelo do ARM, ainda tem de associar o DCR aos agentes que o irão utilizar. Pode editar o DCR no portal do Azure e selecionar os agentes conforme descrito em Definir recursos da VM.