使用 Azure 監視器代理將 syslog 和 CEF 訊息導入 Microsoft Sentinel

適用於: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

本文說明如何使用 Syslog via AMA 和 Common Event Format (CEF) via AMA 連接器，篩選並匯入來自 Linux 機器、網路裝置及安全性設備的 syslog 與 CEF 訊息。開始前，請確保你已依前置條件設定所需的權限、代理程式和日誌轉發器設定。欲進一步了解這些資料連接器，請參閱適用於 Microsoft Sentinel 的 Syslog 與 Common Event Format (CEF) AMA 連接器。

注意事項

Container Insights 支援自動收集您 AKS 叢集中 Linux 節點的 syslog 事件。如要深入了解，請參閱利用容器深入解析收集 Syslog。

必要條件

開始前，請先檢視以下 Microsoft Sentinel、日誌轉發器及機器安全前置條件，確保資源已配置並分配適當權限，依照 Microsoft Sentinel 前置條件、日誌轉發器前置條件及機器安全前置條件部分所描述。

Microsoft Sentinel prerequisites

安裝適當的 Microsoft Sentinel 解決方案，並確保你有權限完成本文中的步驟。

請從 Microsoft Sentinel 的內容中心安裝相應的解決方案。如需詳細資訊，請參閱探索並管理 Microsoft Sentinel 現成內容。
識別 Microsoft Sentinel 解決方案所需的資料連接器：透過 AMA 使用 Syslog或 透過 AMA 使用 Common Event Format (CEF)，以及是否需要安裝 Syslog 或 Common Event Format 解決方案。為達成此先決條件，
- 在 內容中樞 中，選取已安裝解決方案上的管理，然後檢閱列出的資料連接器。
- 如果解決方案未安裝 Syslog via AMA 或 Common Event Format (CEF) via AMA ，請透過以下文章找到您的設備或裝置，判斷是否需要安裝 Syslog 或 Common Event Format 解決方案：
  - 透過 AMA 資料連接器進行 CEF - 設定特定設備或裝置以進行 Microsoft Sentinel 資料擷取
  - 透過 AMA 資料連接器使用 Syslog - 設定特定設備或裝置，將資料擷取至 Microsoft Sentinel
  接著安裝內容集線器的 Syslog 或 Common Event Format 解決方案，以取得相關的 AMA 資料連接器。

擁有已獲指派下列 Azure 角色型存取控制 (Azure RBAC) 角色的 Azure 帳戶：

內建角色	Scope	原因
- 虛擬機貢獻者 - Azure 連網機器資源管理員	虛擬機器（VM）虛擬機器擴展集已啟用 Azure Arc 的伺服器	部署代理程式
包含此動作的任何角色 Microsoft.Resources/deployments/*	訂閱資源群組現有資料收集規則	如何部署 Azure Resource Manager 範本
監控參與者	訂閱資源群組現有資料收集規則	建立或編輯資料收集規則

日誌轉發器的前提條件

如果你是從日誌轉發器收集訊息，以下先決條件適用：

你必須有一台指定的 Linux 虛擬機作為日誌轉發器來收集日誌。
- 在 Azure 入口網站建立一個 Linux 虛擬機。
- 支援 Linux 作業系統用於 Azure 監視器 Agent。
如果您的記錄轉送器不是 Azure 虛擬機器，則其上必須已安裝 Azure Arc Connected Machine 代理程式。
Linux 日誌轉發虛擬機必須安裝 Python 2.7 或 3。請使用 python --version 「或」 python3 --version 指令檢查。如果你用的是 Python 3，請確保它在機器上是預設指令，或者用 'python3' 指令執行腳本，而不是 'python'。
日誌轉送器必須已啟用 syslog-ng 或 rsyslog 常駐程式其中之一。
關於日誌轉發器的空間需求，請參閱 Azure 監視器代理效能基準測試。你也可以參考實現 Microsoft Sentinel 可擴展資料擷取的設計。
您的日誌來源、安全裝置和設備必須設定為將其日誌訊息傳送至日誌轉送器的 syslog 常駐程式，而非傳送至其本機 syslog 常駐程式。

注意事項

當將 AMA 部署到虛擬機器擴展集 (VMSS) 時，強烈建議使用支援循環配置方法的負載平衡器，以確保負載能分散到所有已部署的執行個體。

機械安全前置條件

根據你組織的安全政策來設定機器的安全。例如，將網路配置為與企業網路安全政策對齊，並調整守護程序中的埠口與協定以符合需求。為了提升你的機器安全設定，請在 Azure 中保護你的虛擬機，或檢視這些網路安全的最佳實務。

如果您的裝置因為例如日誌轉送器位於雲端等原因而透過 TLS 傳送 syslog 和 CEF 記錄，您就需要將 syslog 常駐程式 (rsyslog 或 syslog-ng) 設定為透過 TLS 通訊。如需詳細資訊，請參閱：

設定資料連接器

透過AMA或通用事件格式 (CEF) 透過AMA資料連接器建立Syslog的過程包含以下步驟：

安裝 Azure 監控代理程式，並透過以下任一方法建立 DCR) (資料收集規則：
- Azure 或 Defender 入口網站
- Azure 監視器記錄內嵌 API
如果你是用日誌轉發器從其他機器收集日誌，請在日誌轉發器 上執行「安裝」腳本 ，設定 syslog 守護程序監聽來自其他機器的訊息，並開啟必要的本地埠口。

請選擇相應的分頁以取得指示。

Azure 或 Defender 入口網站
日誌擷取 API

使用 Azure 或 Defender 入口網站建立資料收集規則（DCR），並在日誌轉發器上安裝 Azure 監視器代理程式。

建立 DCR (資料收集規則)

若要開始，請在 Microsoft Sentinel 中開啟 透過 AMA 的 Syslog 或 透過 AMA 的 Common Event Format (CEF) 資料連接器，然後建立資料收集規則 (DCR)。

在 Azure 入口網站中的 Microsoft Sentinel，於設定下方，選取 資料連接器。
在 Defender 入口網站中的 Microsoft Sentinel，選取 Microsoft Sentinel>設定>資料連接器。
關於 syslog，請在搜尋框輸入 Syslog。從結果中選取透過 AMA 連接器內嵌的 Syslog。
關於 CEF，請在搜尋框輸入 CEF。從結果中選取，選取透過 AMA 連接器內嵌常見事件格式 (CEF)。
在細節面板中選擇 開啟連接器頁面 。
在設定區，選擇 +Create 資料收集規則。
在基本標籤中：
- 輸入一個 DCR 名稱。
- 選擇您的訂閱。
- 選擇你想放置 DCR 的資源群組。
選取 下一步：資源 >。

定義虛擬機資源

在資源標籤中，選擇你想安裝 AMA 的機器。在此程序中，選擇您的日誌轉送主機。如果你的日誌轉發器不在列表中，可能沒有安裝 Azure Connected Machine 代理程式。

使用可用的篩選器或搜尋框來找到你的日誌轉發虛擬機。展開清單中的訂用帳戶以檢視其資源群組，再展開資源群組即可查看其中的 VM。
選擇你想安裝 AMA 的日誌轉發虛擬機。當你將滑鼠移到虛擬機名稱旁邊時，會顯示這個勾選框。
檢視您的變更，並選取 下一步：收集 >。

選取設施和嚴重性

請注意，若同時使用相同設施處理系統日誌與 CEF 訊息，可能會導致資料擷取重複。如需詳細資訊，請參閱避免資料擷取重複。

在 「收集」 分頁中，為每個設施類別選取最低記錄層級。當您選取記錄層級時，Microsoft Sentinel 會收集所選層級以及嚴重性較高之其他層級的記錄。例如，如果您選擇 LOG_ERR，Microsoft Sentinel 會收集 LOG_ERR、LOG_CRIT、LOG_ALERT 和 LOG_EMERG 層級的記錄。
檢視你的選擇，選擇 下一步：評論+創建。

審查並制定規則

完成所有分頁後，檢視你輸入的內容並建立資料收集規則。

在 「檢視與建立 」標籤中，選擇 「建立」。

連接器會在你建立 DCR 時選擇的機器上安裝 Azure 監視器代理程式。
請查看 Azure 入口網站或 Microsoft Defender 入口網站的通知，確認 DCR 何時建立並安裝代理程式。
在連接器頁面按一下 「重新整理」，即可在清單中看到 DCR。

使用 Logs Ingestion API 安裝 Azure 監視器代理程式，建立資料收集規則，並將該規則與你的日誌轉發器關聯。

安裝 Azure 監視器 Agent

請依照 Azure 監視器文件中的相關指示，在您的日誌轉發器上安裝 Azure 監視器代理程式。記得要用 Linux 的說明，不要用 Windows。

你可以使用 Azure 監視器 Logs Ingestion API 建立資料收集規則 (DCR)。欲了解更多資訊，請參閱 Azure 監視器中的資料收集規則。

建立資料收集規則

建立一個 JSON 檔案來執行資料收集規則，建立 API 請求，然後傳送請求。

準備一個 JSON 格式的 DCR 檔案。 DCR JSON 檔案的內容就是你 API 請求中的請求主體。

舉例為例，請參見 Syslog/CEF DCR 建立請求本體。若要在同一資料收集規則中收集 syslog 與 CEF 訊息，請參考同一 DCR 中的 Syslog 與 CEF 串流範例。
- 確認 streams 欄位已設為 syslog 訊息使用的 Microsoft-Syslog，或 CEF 訊息使用的 Microsoft-CommonSecurityLog。
- 在 facilityNames 和 logLevels 參數中新增 filter 和 facility 日誌層級。請參閱設施和記錄層級章節的範例。
在你選擇的 REST API 用戶端建立一個 API 請求。
1. 對於 請求的 URL 和標頭，請複製以下請求的 URL 和標頭。
```
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
```
  - 請以適當的值取代 {subscriptionId} 和 {resourceGroupName} 預留位置。
  - 在 {dataCollectionRuleName} 預留位置輸入您自訂的 DCR 名稱。
2. 對於 請求主體，將你之前在此程序中準備的 DCR JSON 檔案內容複製貼上到請求主體中。
發送請求。

關於你應該收到的回應範例，請參見 Syslog/CEF DCR 建立回應。

將 DCR 與日誌轉發器關聯起來

接著你需要建立一個 DCR 關聯 (DCRA) ，將 DCR 綁定到承載日誌轉發器的虛擬機資源。

在你選擇的 REST API 用戶端建立一個 API 請求。

對於 請求 URL 和標頭，複製以下請求 URL 及標頭。

PUT 
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01

將適當的值替換為 {subscriptionId}、 {resourceGroupName}和 {virtualMachineName} 佔位符。
在 {dataCollectionRuleAssociationName} 預留位置輸入您自訂的 DCR 名稱。

對於 要求本文，請複製以下要求本文。
```
{
  "properties": {
    "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
  }
}
```
- 請以適當的值取代 {subscriptionId} 和 {resourceGroupName} 預留位置。
- 在 {dataCollectionRuleName} 預留位置輸入您自訂的 DCR 名稱。
發送請求。

設施與記錄層級區段的範例

請檢視以下設施與記錄層級設定的範例。欄位包含 name 過濾器名稱。

對於 CEF 訊息擷取，"streams" 的值應為 "Microsoft-CommonSecurityLog"，而非 "Microsoft-Syslog"。

此範例會收集來自 cron、daemon、local0、local3 和 uucp 設施的事件，以及 Warning、Error、Critical、Alert 和 Emergency 記錄層級：

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

同一個 DCR 中的 Syslog 與 CEF 串流

這個範例說明了如何在同一個 DCR 中收集 syslog 和 CEF 訊息。

DCR 會收集 CEF 事件訊息，以供下列用途：

具有 authpriv、mark、Info、Notice、Warning、Error 和 Critical 記錄層級的 Alert 和 Emergency 設施
daemon 功能，具備 Warning、Error、Critical、Alert 和 Emergency 記錄層級

它會收集以下系統日誌事件訊息：

具有 kern、local0 和 local5 記錄層級的 news、Critical、Alert 和 Emergency 設施
mail 和 uucp 設施帶有 Emergency 記錄層級

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

執行「安裝」腳本

如果你使用日誌轉送器，請將 syslog 守護程式設定為監聽來自其他機器的訊息，並開啟必要的本機連接埠。

請在連接器頁面中，複製顯示於執行下列命令以安裝並套用 CEF 收集器底下的命令列。

連接器頁面上的命令列截圖。

或者從這裡複製：

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py

登入安裝 AMA 的日誌轉發機。
把你從連接器頁面複製的安裝指令貼上來啟動安裝腳本。
腳本會設定 rsyslog or syslog-ng daemon 使用所需協定，並重新啟動 daemon。腳本開啟埠 514，以監聽 UDP 與 TCP 協定的訊息。若要變更此設定，請根據機器上執行的守護程序類型，參閱對應的 syslog 守護程序設定檔：
- Rsyslog： /etc/rsyslog.conf
- Syslog-ng： /etc/syslog-ng/syslog-ng.conf
如果你使用的是 Python 3，且它在該電腦上不是預設指令，請在貼上的指令中將 python3 替換為 python。詳見日誌轉發器的前置條件。

注意事項

為避免代理程式無法正常運作的滿磁碟情境，我們建議你設定 syslog-ng OR rsyslog 設定為不儲存不必要的日誌。磁碟已滿的情況會影響已安裝的 AMA 正常運作。欲了解更多資訊，請參閱 RSyslog 或 Syslog-ng。
檢查服務狀態。

請檢查你的日誌轉發器上的 AMA 服務狀態：
```
sudo systemctl status azuremonitoragent.service
```
請檢查 rsyslog 服務狀態：
```
sudo systemctl status rsyslog.service
```
對於 syslog-ng 環境，請勾選：
```
sudo systemctl status syslog-ng.service
```

設定安全裝置或設備

關於如何設定您的安全裝置或設備，請參閱以下文章之一：

如需更多關於您的家電或裝置的資訊，請聯繫解決方案供應商。

測試接頭

請確認您的 Linux 機器或安全裝置與設備的日誌訊息是否已匯入 Microsoft Sentinel。

為了驗證 syslog 守護程序正在監聽所需的 UDP 埠，且 AMA 已準備好接收 Linux 轉發器的日誌，請執行以下指令以顯示活躍監聽者及其相關埠口：
```
 netstat -lnptv
```
你應該會看到 rsyslog 或 syslog-ng 常駐程式正在 514 連接埠上接聽。
要擷取來自記錄器或連接裝置的訊息，請在背景執行以下指令：
```
sudo tcpdump -i any port 514 or 28330 -A -vv &
```
完成驗證後，停止 tcpdump。輸入 fg，然後選擇 Ctrl+C。

發送測試訊息

要發送示範訊息，請完成以下步驟之一：

使用 nc netcat 工具。在此範例中，該工具會在關閉換行選項的情況下，讀取透過 echo 命令傳送的資料。該工具接著將資料寫入本地主機的 UDP 埠 514 ，且不會逾時。要執行 netcat 工具，你可能需要安裝另一個套件。
```
echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
```
使用指令 logger 。此範例會將訊息以 CEF RFC 格式，寫入 local 4 設施，並設定為嚴重性層級 Warning，傳送至連接埠 514，目標為本機主機。 -t 和 --rfc3164 旗標用於符合預期的 RFC 格式。
```
logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
```
使用下列指令測試 Cisco ASA 的資料擷取功能：
```
echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
```
執行這些指令後，訊息會抵達 514 埠並轉發至 28330 埠。
發送測試訊息後，查詢你的 Log Analytics 工作空間。日誌可能要等上20分鐘才會出現在你的工作區。

關於 CEF 日誌：

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

針對 Cisco ASA 日誌：

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

額外故障排除

如果你在 514 埠上看不到流量，或是你的測試訊息未被接收，請參考透過 AMA 連接器排查 Microsoft Sentinel 的 Syslog 和 CEF 問題。

意見反應

此頁面對您有幫助嗎？

上次更新時間： 2026-08-14