Ingerir mensagens Syslog e CEF para Microsoft Sentinel com o Agente do Azure Monitor

Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Este artigo mostra-lhe como utilizar os conectores Syslog via AMA e Common Event Format (CEF) via AMA para filtrar e recolher mensagens syslog e CEF de máquinas Linux, dispositivos de rede e aplicações de segurança. Antes de começar, certifique-se de que tem as permissões necessárias, agentes e reencaminhador de log configurados conforme descrito nos Pré-requisitos. Para saber mais sobre estes conectores de dados, consulte Syslog e Common Event Format (CEF) através dos conectores AMA para o Microsoft Sentinel.

Nota

O Container Insights suporta a recolha automática de eventos syslog a partir de nós Linux nos seus clusters do AKS. Saiba mais em Recolha de Syslog com o Container Insights.

Pré-requisitos

Antes de começar, reveja os seguintes pré-requisitos do Microsoft Sentinel, do encaminhador de log e da segurança da máquina para garantir que tem os recursos configurados e as permissões apropriadas atribuídas, conforme descrito nas secções de pré-requisitos do Microsoft Sentinel, pré-requisitos do reencaminhador de logs e pré-requisitos de segurança da máquina.

pré-requisitos do Microsoft Sentinel

Instale a solução de Microsoft Sentinel adequada e certifique-se de que tem as permissões para concluir os passos neste artigo.

Instale a solução adequada a partir do Hub de conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Detetar e gerir o conteúdo pronto a utilizar do Microsoft Sentinel.
Identifique qual o conector de dados que a solução Microsoft Sentinel necessita do Syslog através do AMA ou do Common Event Format (CEF) através do AMA e se precisa de instalar a solução Syslog ou Common Event Format. Para cumprir este pré-requisito,
- No Hub de conteúdos, selecione Gerir na solução instalada e reveja o conector de dados listado.
- Se o Syslog via AMA ou o Common Event Format (CEF) via AMA não estiver instalado com a solução, identifique se precisa de instalar a solução Syslog ou Common Event Format ao encontrar a aplicação ou o dispositivo a partir de um dos seguintes artigos:
  - CEF através do conector de dados AMA – Configurar uma aplicação ou dispositivo específico para a ingestão de dados Microsoft Sentinel
  - Syslog através do conector de dados AMA - Configurar equipamento ou dispositivo específico para ingestão de dados no Microsoft Sentinel
  Em seguida, instale a solução Syslog ou Common Event Format a partir do hub de conteúdos para obter o conector de dados AMA relacionado.

Tenha uma conta do Azure com as seguintes funções do controlo de acesso baseado em funções do Azure (Azure RBAC):

Função incorporada	Âmbito	Motivo
- Colaborador da Máquina Virtual - Azure Máquina Conectada Administrador de Recursos	Máquinas virtuais (VM) Conjuntos de Dimensionamento de Máquinas Virtuais Servidores com Azure Arc	Para instalar o agente
Qualquer função que inclua a ação Microsoft.Resources/deployments/*	Subscrição Grupo de recursos Regra de recolha de dados existente	Para implementar modelos de Azure Resource Manager
Contribuidor de Monitorização	Subscrição Grupo de recursos Regra de recolha de dados existente	Para criar ou editar regras de recolha de dados

Pré-requisitos do reencaminhador de registos

Se estiver a recolher mensagens de um encaminhador de registos, aplicam-se os seguintes pré-requisitos:

É necessário ter uma máquina virtual Linux designada para funcionar como reencaminhador de registos para recolher registos.
- Crie uma VM Linux no portal do Azure.
- Sistemas operativos Linux suportados para o Agente Azure Monitor.
Se o seu encaminhador de registos não for uma máquina virtual do Azure, tem de ter o agente Connected Machine do Azure Arc instalado.
A VM do reencaminhador de registos Linux tem de ter o Python 2.7 ou 3 instalado. Utilize o python --version comando ou python3 --version para verificar. Se estiver a utilizar o Python 3, certifique-se de que está definido como o comando predefinido no computador ou execute scripts com o comando "python3" em vez de "python".
O encaminhador de registos tem de ter ou o daemon syslog-ng ou o daemon rsyslog ativado.
Para obter os requisitos de espaço para o reencaminhador de registos, veja Referência de Desempenho do Agente do Azure Monitor. Também pode consultar estruturas para efetuar a ingestão escalável do Microsoft Sentinel.
As origens de registo, os dispositivos de segurança e as aplicações têm de ser configurados para enviar as respetivas mensagens de registo para o daemon syslog do reencaminhador de registos em vez de para o daemon syslog local.

Nota

Ao implementar o AMA num Conjunto de Dimensionamento de Máquinas Virtuais (VMSS), recomenda-se vivamente a utilização de um balanceador de carga que suporte o método round-robin, para garantir a distribuição da carga entre todas as instâncias implementadas.

Pré-requisitos de segurança do computador

Configure a segurança do computador de acordo com a política de segurança da sua organização. Por exemplo, configure a sua rede para se alinhar com a política de segurança de rede empresarial e altere as portas e os protocolos no daemon para se alinhar com os seus requisitos. Para melhorar a configuração de segurança do computador, proteja a VM no Azure ou reveja estas melhores práticas de segurança de rede.

Se os seus dispositivos estiverem a enviar registos syslog e CEF através de TLS porque, por exemplo, o reencaminhador de registos está na cloud, tem de configurar o daemon do syslog (rsyslog ou syslog-ng) para comunicar no TLS. Para mais informações, consulte:

Configurar o conector de dados

O processo de configuração do Syslog através do AMA ou do Common Event Format (CEF) através dos conectores de dados AMA inclui os seguintes passos:

Instale o Agente Azure Monitor e crie uma Regra de Recolha de Dados (DCR) com um dos seguintes métodos:
- portal do Azure ou do Defender
- API de Ingestão de Registos do Azure Monitor
Se estiver a recolher registos de outros computadores através de um reencaminhador de registos, execute o script de "instalação" no reencaminhador de registos para configurar o daemon do syslog para escutar mensagens de outras máquinas e para abrir as portas locais necessárias.

Selecione o separador adequado para obter instruções.

portal do Azure ou do Defender
API de Ingestão de Registos

Use o portal Azure ou Defender para criar uma regra de recolha de dados (DCR) e instalar o Azure Monitor Agent no seu reencaminhador de log.

Criar regra de recolha de dados (DCR)

Para começar, abra o Syslog através do AMA ou do Common Event Format (CEF) através do conector de dados AMA no Microsoft Sentinel e crie uma regra de recolha de dados (DCR).

Para Microsoft Sentinel no portal do Azure, em Configuração, selecione Conectores de dados.
Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Conectores de dados.
Para syslog, escreva Syslog na caixa Procurar . Nos resultados, selecione o conector Syslog via AMA.
Para CEF, escreva CEF na caixa Procurar . Nos resultados, selecione o conector Common Event Format (CEF) via AMA.
Selecione Abrir página do conector no painel de detalhes.
Na área Configuração , selecione +Criar regra de recolha de dados.
No separador Básico:
- Escreva um nome DCR.
- Selecione a sua subscrição.
- Selecione o grupo de recursos onde pretende localizar o DCR.
Selecione Seguinte: Recursos >.

Definir recursos de VM

No separador Recursos , selecione as máquinas onde quer instalar o AMA. Para este procedimento, selecione a sua máquina de reencaminhamento de logs. Se o encaminhador de registos não aparecer na lista, poderá não ter o agente do Azure Connected Machine instalado.

Utilize os filtros disponíveis ou a caixa de pesquisa para localizar a VM do reencaminhador de registos. Expanda uma subscrição na lista para ver os respetivos grupos de recursos e um grupo de recursos para ver as VMs.
Selecione a VM do reencaminhador de registos na qual pretende instalar o AMA. A caixa de verificação é apresentada junto ao nome da VM quando paira o cursor do rato sobre a mesma.
Reveja as alterações e selecione Seguinte: Recolher >.

Selecionar instalações e gravidades

Tenha em atenção que utilizar a mesma facilidade para mensagens syslog e CEF pode resultar na duplicação da ingestão de dados. Para obter mais informações, consulte Evitar a duplicação da ingestão de dados.

No separador Recolher , selecione o nível mínimo de registo para cada instalação. Quando seleciona um nível de registo, Microsoft Sentinel recolhe registos para o nível selecionado e outros níveis com maior gravidade. Por exemplo, se selecionar LOG_ERR, Microsoft Sentinel recolhe registos para os níveis LOG_ERR, LOG_CRIT, LOG_ALERT e LOG_EMERG.
Reveja as suas seleções e selecione Seguinte: Rever + criar.

Rever e criar a regra

Depois de concluir todos os separadores, reveja o que introduziu e crie a regra de recolha de dados.

No separador Rever e criar , selecione Criar.

O conector instala o Agente do Azure Monitor nos computadores que selecionou ao criar o DCR.
Verifique as notificações no portal do Azure ou no portal do Microsoft Defender para verificar quando o DCR é criado e o agente é instalado.
Selecione Atualizar na página do conector para ver o DCR apresentado na lista.

Use a API Logs Ingestion para instalar o Azure Monitor Agent, criar a regra de recolha de dados e associar a regra ao seu reencaminhador de log.

Instalar o Agente do Azure Monitor

Siga as instruções adequadas da documentação do Azure Monitor para instalar o Agente do Azure Monitor no reencaminhador de registos. Lembre-se de utilizar as instruções para Linux, não para o Windows.

Pode criar Regras de Recolha de Dados (DCRs) com a API de Ingestão de Registos do Azure Monitor. Para obter mais informações, veja Data collection rules in Azure Monitor (Regras de recolha de dados no Monitor do Azure).

Criar a regra de recolha de dados

Crie um ficheiro JSON para a regra de recolha de dados, crie um pedido de API e envie o pedido.

Preparar um ficheiro DCR no formato JSON. O conteúdo do ficheiro JSON DCR corresponde ao corpo do pedido no seu pedido de API.

Por exemplo, veja Syslog/CEF DCR creation request body (Corpo do pedido de criação do DCR do Syslog/CEF). Para recolher mensagens syslog e CEF na mesma regra de recolha de dados, veja o exemplo de fluxos Syslog e CEF no mesmo DCR.
- Verifique se o streams campo está definido como Microsoft-Syslog para mensagens syslog ou para Microsoft-CommonSecurityLog para mensagens CEF.
- Adicione os níveis de registo de filtro e de facility nos parâmetros facilityNames e logLevels. Veja Exemplos de instalações e secções de níveis de registo.
Crie um pedido de API num cliente da API REST à sua escolha.
1. Para o URL e cabeçalho do pedido, copie o seguinte URL e cabeçalho do pedido.
```
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
```
  - Substitua os marcadores de posição {subscriptionId} e {resourceGroupName} pelos valores adequados.
  - Introduza um nome à sua escolha para o DCR no lugar do espaço reservado {dataCollectionRuleName}.
2. Para o corpo do pedido, copie e cole o conteúdo do ficheiro JSON DCR que preparou anteriormente neste procedimento no corpo do pedido.
Envie o pedido.

Para obter um exemplo da resposta que deve receber, veja Syslog/CEF DCR creation response (Resposta de criação do DCR do Syslog/CEF).

Associar o DCR ao reencaminhador de registos

Agora, tem de criar uma Associação DCR (DCRA) que associa o DCR ao recurso da VM onde está alojado o seu reencaminhador de registos.

Crie um pedido de API num cliente da API REST à sua escolha.
Para o URL e o cabeçalho do pedido, copie o SEGUINTE URL do pedido e o cabeçalho.
```
PUT 
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
```
- Substitua os marcadores de posição {subscriptionId}, {resourceGroupName} e {virtualMachineName} pelos valores apropriados.
- Introduza um nome à sua escolha para o DCR no lugar do espaço reservado {dataCollectionRuleAssociationName}.
Para o corpo da solicitação, copie o seguinte corpo da solicitação.
```
{
  "properties": {
    "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
  }
}
```
- Substitua os marcadores de posição {subscriptionId} e {resourceGroupName} pelos valores adequados.
- Introduza um nome à sua escolha para o DCR no lugar do espaço reservado {dataCollectionRuleName}.
Envie o pedido.

Exemplos de instalações e secções de níveis de registo

Veja estes exemplos das definições de instalações e níveis de registo. O name campo inclui o nome do filtro.

Para a ingestão de mensagens CEF, o valor para "streams" deve ser "Microsoft-CommonSecurityLog" em vez de "Microsoft-Syslog".

Este exemplo recolhe eventos das funcionalidades cron, daemon, local0, local3 e uucp, com os níveis de registo Warning, Error, Critical, Alert e Emergency:

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

Fluxos Syslog e CEF no mesmo DCR

Este exemplo mostra como pode recolher mensagens syslog e CEF no mesmo DCR.

O DCR recolhe mensagens de evento CEF para:

As instalações authpriv e mark com os níveis de registo Info, Notice, Warning, Error, Critical, Alert e Emergency
A funcionalidade daemon com os níveis de registo Warning, Error, Critical, Alert e Emergency

Recolhe mensagens de eventos syslog para:

As instalações kern, local0, local5 e news com os níveis de registo Critical, Alert e Emergency
As instalações mail e uucp com o nível de registo Emergency

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Executar o script de "instalação"

Se estiver a utilizar um reencaminhador de registos, configure o daemon syslog para escutar mensagens de outros computadores e abra as portas locais necessárias.

Na página do conector, copie a linha de comandos que aparece em Executar o seguinte comando para instalar e aplicar o recoletor CEF:.

Captura de ecrã da linha de comandos na página do conector.

Ou copie-o daqui:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py

Inicie sessão na máquina de reencaminhamento de registos onde o AMA está instalado.
Cola o comando de instalação que copiaste da página do conector para iniciar o script de instalação.
O script configura o rsyslog daemon ou syslog-ng para utilizar o protocolo necessário e reinicia o daemon. O script abre a porta 514 para ouvir as mensagens recebidas nos protocolos UDP e TCP. Para alterar esta definição, veja o ficheiro de configuração do daemon syslog de acordo com o tipo de daemon em execução no computador:
- Rsyslog: /etc/rsyslog.conf
- Syslog-ng: /etc/syslog-ng/syslog-ng.conf
Se estiver a utilizar o Python 3 e este não estiver definido como o comando predefinido no computador, substitua python3 por python no comando colado. Veja Pré-requisitos do reencaminhador de registos.

Nota

Para evitar situações de disco cheio em que o agente não consegue funcionar, recomendamos que configure syslog-ng ou rsyslog para não armazenar registos desnecessários. Um cenário de disco cheio compromete o funcionamento do AMA instalado. Para obter mais informações, veja RSyslog ou Syslog-ng.
Verifique o estado do serviço.

Verifique o estado do serviço AMA no reencaminhador de registos:
```
sudo systemctl status azuremonitoragent.service
```
Verifique o estado do serviço rsyslog:
```
sudo systemctl status rsyslog.service
```
Para ambientes syslog-ng, verifique:
```
sudo systemctl status syslog-ng.service
```

Configurar o dispositivo ou a aplicação de segurança

Para obter instruções para configurar o dispositivo de segurança ou a aplicação, consulte um dos seguintes artigos:

Para obter mais informações sobre a aplicação ou o dispositivo, contacte o fornecedor da solução.

Teste o conector

Verifique se as mensagens de registo da sua máquina Linux ou dos seus dispositivos e equipamentos de segurança são importadas para o Microsoft Sentinel.

Para validar que o daemon syslog está a ouvir na porta UDP necessária e que a AMA está pronta para receber logs no encaminhador Linux, execute o seguinte comando para mostrar ouvintes ativos e as suas portas associadas:
```
 netstat -lnptv
```
Deverá ver o daemon rsyslog ou syslog-ng a escutar na porta 514.
Para capturar mensagens enviadas a partir de um logger ou de um dispositivo ligado, execute este comando em segundo plano:
```
sudo tcpdump -i any port 514 or 28330 -A -vv &
```
Depois de concluir a validação, pare tcpdump. Escreva fge, em seguida, selecione Ctrl+C.

Enviar mensagens de teste

Para enviar mensagens de demonstração, conclua um dos seguintes passos:

Use o utilitário nc netcat. Neste exemplo, o utilitário lê os dados enviados através do comando echo com a opção de nova linha desativada. Em seguida, o utilitário escreve os dados na porta 514 UDP no localhost sem tempo limite. Para executar o utilitário netcat, poderá ter de instalar outro pacote.
```
echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
```
Utilize o logger comando . Este exemplo escreve a mensagem para a funcionalidade local 4, no nível de gravidade Warning, para a porta 514, no anfitrião local, no formato CEF RFC. As opções -t e --rfc3164 são utilizadas para estar em conformidade com o formato RFC esperado.
```
logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
```
Teste a ingestão do Cisco ASA utilizando o seguinte comando:
```
echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
```
Depois de executar estes comandos, as mensagens chegam à porta 514 e são reencaminhadas para a porta 28330.
Depois de enviar mensagens de teste, consulte a área de trabalho do Log Analytics. Os registos podem demorar até 20 minutos a aparecer na área de trabalho.

Para registos CEF:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Para registos do Cisco ASA:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Resolução de problemas adicional

Se não vir tráfego na porta 514 ou se as suas mensagens de teste não forem ingeridas, consulte Resolver problemas do Syslog e do CEF através dos conectores AMA para Microsoft Sentinel para resolver o problema.

Comentários

Esta página foi útil?

Last updated on 2026-07-16