Samla in loggar från textfiler med Azure Monitor-agenten och mata in till Microsoft Sentinel

Använd följande steg i Azure- eller Defender-portalen för att skapa och konfigurera datainsamlingsregeln.

Skapa datainsamlingsregel (DCR)

Börja med att öppna dataanslutningen Anpassade loggar via AMA i Microsoft Sentinel och skapa en datainsamlingsregel (DCR).

1. För Microsoft Sentinel i Azure Portal går du till Konfiguration och väljer Dataanslutningsprogram.
   För Microsoft Sentinel i Defender-portalen väljer du Microsoft Sentinel>Konfigurationsdataanslutningsprogram>.

2. Skriv anpassat i sökrutan . Bland resultaten väljer du kopplingen Custom Logs via AMA.

3. Välj Öppna anslutningssidan i informationsfönstret.

   

4. I området Konfiguration väljer du +Skapa datainsamlingsregel.

   

5. På fliken Grundläggande :

   • Ange ett DCR-namn.
   • Välj din prenumeration.
   • Välj den resursgrupp där du vill placera din DCR.

   

6. Välj Nästa: Resurser >.

Definiera VM-resurser

På fliken Resurser väljer du de datorer som du vill samla in loggarna från. Detta är antingen de datorer som ditt program är installerat på eller de datorer som används för loggvidarebefordran. Om datorn du letar efter inte visas i listan kanske datorn inte är en Azure virtuell dator med Azure ansluten datoragent installerad.

1. Använd de tillgängliga filtren eller sökrutan för att hitta den dator som du letar efter. Expandera en prenumeration i listan för att se dess resursgrupper och en resursgrupp för att se dess virtuella datorer.

2. Välj den dator som du vill samla in loggar från. Kryssrutan visas bredvid namnet på den virtuella datorn när du hovrar över den.

   

   Om de datorer som du har valt inte redan har Azure Monitor Agent installerat på dem installeras agenten när DCR skapas och distribueras.

3. Granska ändringarna och välj Nästa: Samla in >.

Konfigurera DCR för ditt program

1. På fliken Samla in väljer du program- eller enhetstyp i listrutan Välj enhetstyp (valfritt) eller lämnar den som Anpassad ny tabell om ditt program eller din enhet inte visas.

2. Om du väljer något av de angivna programmen eller enheterna fylls fältet Tabellnamn automatiskt i med rätt tabellnamn. Om du väljer Anpassad ny tabell anger du ett tabellnamn under Tabellnamn. Namnet måste sluta med suffixet _CL .

3. I fältet Filmönster anger du sökvägen och filnamnet för de textloggfiler som ska samlas in. Information om hur du hittar standardfilnamnen och sökvägarna för varje program- eller enhetstyp finns i Specifika instruktioner per programtyp. Du behöver inte använda standardfilnamnen eller sökvägarna och du kan använda jokertecken i filnamnet.

4. Om du väljer en anpassad ny tabell i steg 1 i fältet Transformera anger du en Kusto-fråga som tillämpar valfri transformering på data.

   Om du väljer något av de angivna programmen eller enheterna i steg 1 fylls fältet Transformering automatiskt i med rätt transformering. Redigera INTE den transformering som visas där. Beroende på vald typ bör värdet på Transformfältet vara ett av följande:

   • source (standardinställning – ingen omvandling)
   • source | project-rename Message=RawData (för enheter som skickar loggar till en vidarebefordrare)

5. Granska dina val och välj Nästa: Granska + skapa.

Granska och skapa regeln

När du har slutfört alla flikar granskar du det du angav och skapar datainsamlingsregeln.

1. På fliken Granska och skapa väljer du Skapa.

   

   Anslutningsappen installerar Azure Monitor Agent på de datorer som du valde när du skapade din DCR.

2. Kontrollera meddelandena i Azure Portal- eller Microsoft Defender-portalen för att se när domänkontrollanten har skapats och agenten har installerats.

3. Välj Uppdatera på anslutningssidan för att se DCR som visas i listan.

Använd detta alternativ för att installera agenten och skapa datainsamlingsregeln med ARM-baserade verktyg.

Installera Azure Monitor-agenten

Följ anvisningarna i Azure Monitor-dokumentationen för att installera Azure Monitor-agenten på den dator som är värd för ditt program eller i loggvidarebefordren. Använd Windows instruktioner om datorn kör Windows eller Linux-instruktionerna om den kör Linux.

• Installera AMA med PowerShell
• Installera AMA med hjälp av Azure CLI
• Installera AMA med hjälp av en Azure Resource Manager mall

Skapa datainsamlingsregler (DCR: er) med hjälp av API:et Azure Monitor Logs Ingestion. Mer information finns i Datainsamlingsregler i Azure Monitor.

Skapa datainsamlingsregeln

Använd följande ARM-mall för att skapa eller ändra en datainsamlingsregel (DCR) för insamling av textloggfiler:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Ersätt varje platshållare som omges av klammerparenteser (till exempel {DCR_NAME} och {TABLE_NAME}) med lämpligt värde från följande tabell:

Associera DCR:n med Azure Monitor-agenten

Om du skapar domänkontrollanten med hjälp av en ARM-mall måste du fortfarande associera domänkontrollanten med de agenter som ska använda den. Du kan redigera domänkontrollanten i Azure Portal och välja agenterna enligt beskrivningen i Definiera VM-resurser.