Erfassen von Syslog- und CEF-Nachrichten für Microsoft Sentinel mit dem Azure Monitor-Agent

In diesem Artikel wird beschrieben, wie Sie die Connectors Syslog über AMA und Common Event Format (CEF) über AMA verwenden, um Syslog-Nachrichten, einschließlich im Common Event Format (CEF), von Linux-Computern sowie Netzwerk- und Sicherheitsgeräten und Appliances schnell zu filtern und zu erfassen. Weitere Informationen zu diesen Datenconnectors finden Sie unter Syslog und CEF (Common Event Format) über AMA-Connectors für Microsoft Sentinel.

Voraussetzungen

Bevor Sie beginnen, müssen Sie die in diesem Abschnitt beschriebenen Ressourcen konfiguriert haben und über die entsprechenden Berechtigungen verfügen.

Microsoft Sentinel: Voraussetzungen

Installieren Sie für Microsoft Sentinel die entsprechende Lösung, und stellen Sie sicher, dass Sie über die Berechtigungen zum Ausführen der Schritte in diesem Artikel verfügen.

• Installieren Sie die entsprechende Lösung, Syslog und/oder Common Event Format, aus dem Inhaltshub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Microsoft Sentinel-Inhalte.

• Ihr Azure-Konto muss über die folgenden Azure RBAC-Rollen (rollenbasierte Zugriffssteuerung) verfügen:

  Integrierte Rolle	Bereich	`Reason`
  - Mitwirkender von virtuellen Computern - Azure Connected Machine    Ressourcenadministrator*in	Virtuelle Computer (VMs) Skalierungsgruppen für virtuelle Computer Server mit Azure Arc-Unterstützung	Bereitstellen des Agents
  Jede Rolle, die die Aktion enthält Microsoft.Resources/deployments/*	Subscription Resource group Vorhandene Datensammlungsregel	So stellen Sie die Azure Resource Manager-Vorlagen bereit
  Überwachungsmitwirkender	Subscription Resource group Vorhandene Datensammlungsregel	Zum Erstellen oder Bearbeiten von Datensammlungsregeln

Voraussetzungen der Protokollweiterleitung

Wenn Sie Nachrichten von einer Protokollweiterleitung sammeln, gelten die folgenden Voraussetzungen:

• Sie benötigen eine designierte Linux-VM als Protokollweiterleitung, um Protokolle zu sammeln.

  • Erstellen einer Linux-VM im Azure-Portal.
  • Linux-Betriebssysteme, die den Azure Monitor-Agent unterstützten.

• Wenn Ihre Protokollweiterleitung keine Azure-VM ist, muss der Azure Arc Connected Machine-Agent darauf installiert sein.

• Auf der Linux-VM mit der Protokollweiterleitung muss Python 2.7 oder 3 installiert sein. Verwenden Sie zur Überprüfung den Befehl python --version oder python3 --version. Wenn Sie Python 3 verwenden, stellen Sie sicher, dass diese Version auf dem Computer als Standardbefehl festgelegt ist, oder führen Sie die Skripts mit dem Befehl „python3“ anstelle von „python“ aus.

• Auf der Protokollweiterleitung muss entweder der Daemon syslog-ng oder rsyslog aktiviert sein.

• Informationen zu den Speicherplatzanforderungen für Ihre Protokollweiterleitung finden Sie unter Leistungsbenchmark für Azure Monitor Agent. Sie können auch diesen Blogbeitrag lesen, der Entwürfe für die skalierbare Erfassung enthält.

• Ihre Protokollquellen, Sicherheitsgeräte und Appliances müssen so konfiguriert werden, dass sie ihre Protokollnachrichten an den Syslog-Daemon der Protokollweiterleitung und nicht an ihren lokalen Syslog-Daemon senden.

Voraussetzungen für Computersicherheit

Konfigurieren Sie die Sicherheit des Computers gemäß der Sicherheitsrichtlinie Ihrer Organisation. Beispielsweise können Sie das Netzwerk so konfigurieren, dass es der Sicherheitsrichtlinie für das Unternehmensnetzwerk entspricht, und die Ports und Protokolle im Daemon Ihren Anforderungen entsprechend ändern. Um die Sicherheitskonfiguration Ihres Computers zu verbessern, schützen Sie Ihren virtuellen Computer in Azure, oder lesen Sie diese bewährten Methoden für die Netzwerksicherheit.

Wenn Ihre Geräte Syslog- und CEF-Protokolle über TLS senden, z. B. weil sich Ihre Protokollweiterleitung in der Cloud befindet, müssen Sie den Syslog-Daemon (rsyslog oder syslog-ng) so konfigurieren, dass er über TLS kommuniziert: Weitere Informationen finden Sie unter:

• Verschlüsseln des Syslog-Datenverkehrs mit TLS – rsyslog
• Verschlüsseln von Protokollnachrichten mit TLS – syslog-ng

Konfigurieren des Datenconnectors

Der Einrichtungsprozess für syslog über AMA oder Common Event Format (CEF) über AMA-Datenconnectors umfasst die folgenden Schritte:

1. Installieren Sie den Azure Monitor Agent und erstellen Sie eine Datensammelregel (DCR), indem Sie eine der folgenden Methoden verwenden:
   • Azure oder Defender-Portal
   • Erfassungs-API für Azure Monitor-Protokolle
2. Wenn Sie Protokolle von anderen Computern mithilfe einer Protokollweiterleitung sammeln, führen Sie das Installationsskript auf der Protokollweiterleitung aus, um den Syslog-Daemon zum Lauschen nach Nachrichten von anderen Computern zu konfigurieren und um die erforderlichen lokalen Ports zu öffnen.

Wählen Sie die entsprechende Registerkarte für Anweisungen aus.

Azure oder Defender-Portal

Erstellen einer Datensammlungsregel

Öffnen Sie zunächst den Datenconnector in Microsoft Sentinel, und erstellen Sie eine Datenconnectorregel.

1. Wählen Sie für Microsoft Sentinel im Azure-Portalunter KonfigurationDatenconnectorsaus.
   Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfiguration>Datenconnectors aus.

2. Für Syslog geben Sie Syslog in das Suchfeld ein. Wählen Sie aus den Ergebnissen den Connector Syslog via AMA aus.
   Für CEF geben Sie CEF in das Suchfeld ein. Wählen Sie aus den Ergebnissen den Connector Common Event Format (CEF) via AMA aus.

3. Wählen Sie im Detailbereich Connectorseite öffnen aus.

4. Wählen Sie im Bereich Konfiguration die Option + Datensammlungsregel erstellen aus.

   

   

5. Auf der Registerkarte Basic:

   • Geben Sie einen DCR-Namen ein.
   • Wählen Sie Ihr Abonnement aus.
   • Wählen Sie die Ressourcengruppe aus, in der Sie Ihre DCR speichern möchten.

   

6. Wählen Sie Weiter: Ressourcen> aus.

Definieren von VM-Ressourcen

Wählen Sie auf der Registerkarte Ressourcen die Computer aus, auf denen Sie den AMA installieren möchten – in diesem Fall Ihren Protokollweiterleitungscomputer. Wenn Ihre Protokollweiterleitung nicht in der Liste erscheint, ist möglicherweise der Azure Connected Machine-Agent nicht installiert.

1. Verwenden Sie die verfügbaren Filter oder das Suchfeld, um nach ihrer VM für die Protokollweiterleitung zu suchen. Erweitern Sie ein Abonnement in der Liste, um seine Ressourcengruppen zu sehen, und eine Ressourcengruppe, um ihre VMs zu sehen.

2. Wählen Sie die VM mit der Protokollweiterleitung, auf der Sie den AMA installieren möchten. Das Kontrollkästchen wird neben dem Namen der VM angezeigt, wenn Sie mit dem Mauszeiger darüber fahren.

   

3. Überprüfen Sie Ihre Änderungen, und wählen Sie Weiter: Sammeln> aus.

Auswählen von Einrichtungen und Schweregraden

Beachten Sie, dass die Verwendung derselben Einrichtung für Syslog- und CEF-Nachrichten bei der Datenerfassung zu Duplizierungen führen kann. Weitere Informationen finden Sie unter Vermeidung von Duplizierungen bei der Datenerfassung.

1. Wählen Sie auf der Registerkarte Sammeln den minimalen Protokollierungsgrad für jede Einrichtung. Wenn Sie eine Protokollebene auswählen, sammelt Microsoft Sentinel Protokolle für die ausgewählte Ebene und andere Ebenen mit höherem Schweregrad. Wenn Sie beispielsweise LOG_ERR auswählen, erfasst Microsoft Sentinel Protokolle für die EbenenLOG_ERR, LOG_CRIT, LOG_ALERT und LOG_EMERG.

   

2. Überprüfen Sie Ihre Auswahl und wählen Sie Weiter: Überprüfen + Erstellen aus.

Überprüfen und Erstellen der Regel

Nachdem Sie alle Registerkarten abgeschlossen haben, überprüfen Sie, was Sie eingegeben haben, und erstellen Sie die Datensammlungsregel.

1. Wählen Sie auf der Registerkarte Bewerten und erstellen die Option Erstellen aus.

   

   Der Connector installiert den Azure Monitor Agent auf den Computern, die Sie bei der Erstellung Ihrer DCR ausgewählt haben.

2. Überprüfen Sie die Benachrichtigungen im Azure-Portal oder im Microsoft Defender-Portal, um zu sehen, ob die DCR erstellt und der Agent installiert ist.

3. Wählen Sie auf der Connectorseite Aktualisieren, um die DCR in der Liste anzuzeigen.

Protokollerfassungs-API

Installieren des Azure Monitor-Agents

Befolgen Sie die entsprechenden Anweisungen aus der Azure Monitor-Dokumentation, um den Azure Monitor-Agent auf Ihrer Protokollweiterleitung zu installieren. Denken Sie daran, die Anweisungen für Linux zu verwenden, nicht die für Windows.

• Installieren des AMA mithilfe von PowerShell
• Installieren des AMA mithilfe der Azure CLI
• Installieren des AMA mithilfe einer Azure Resource Manager-Vorlage

Sie können Datensammlungsregeln (Data Collection Rules, DCRs) mithilfe der Azure Monitor Protokollerfassungs-API erstellen. Weitere Informationen finden Sie unter Datensammlungsregeln in Azure Monitor.

Erstellen der Datensammlungsregel

Erstellen Sie eine JSON-Datei für die Datensammlungsregel, erstellen Sie eine API-Anforderung, und senden Sie die Anforderung.

1. Bereiten Sie eine DCR-Datei im JSON-Format vor. Der Inhalt dieser Datei wird der Anforderungstext in Ihrer API-Anforderung.

   Ein Beispiel finden Sie unter Anforderungstext für Syslog-/CEF-DCR-Erstellung. Informationen zum Sammeln von Syslog- und CEF-Nachrichten in derselben Datensammlungsregel finden Sie im Beispiel Syslog- und CEF-Datenströme in derselben DCR.

   • Stellen Sie sicher, dass das Feld streams für Syslog-Nachrichten auf Microsoft-Syslog, oder für CEF-Nachrichten auf Microsoft-CommonSecurityLog festgelegt ist.
   • Fügen Sie die Filter- und Facility-Protokollebenen in den Parametern facilityNames und logLevels hinzu. Siehe Beispiele für Abschnitte „facilities“ (Einrichtungen) und „log levels“ (Protokolliergrade).

2. Erstellen Sie eine API-Anforderung in einem REST-API-Client Ihrer Wahl.

   1. Kopieren Sie für die Anforderungs-URL und Header die folgende Anforderungs-URL und den folgenden Header.

      PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
      

      • Ersetzen Sie die Platzhalter {subscriptionId} und {resourceGroupName} durch die entsprechenden Werte.
      • Geben Sie anstelle des Platzhalters {dataCollectionRuleName} einen Namen Ihrer Wahl für den DCR ein.

   2. Anforderungstext: Kopieren Sie den Inhalt der DCR-JSON-Datei, die Sie (oben in Schritt 1) erstellt haben, und fügen Sie ihn in den Anforderungstext ein.

3. Senden Sie die Anforderung.

   Ein Beispiel für die Antwort, die Sie erhalten sollten, finden Sie unter Antwort für Syslog-/CEF-DCR-Erstellung.

Verknüpfen der DCR mit der Protokollweiterleitung

Nun müssen Sie eine DCR-Zuordnung (DCR Association, DCRA) erstellen, die die DCR an die VM-Ressource bindet, die Ihre Protokollweiterleitung hostet.

1. Erstellen Sie eine API-Anforderung in einem REST-API-Client Ihrer Wahl.

2. Kopieren Sie für die Anforderungs-URL und Header die folgende Anforderungs-URL und den folgenden Header.

   PUT 
   https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
   

   • Ersetzen Sie die Platzhalter {subscriptionId}, {resourceGroupName} und {virtualMachineName} durch die entsprechenden Werte.
   • Geben Sie anstelle des Platzhalters {dataCollectionRuleAssociationName} einen Namen Ihrer Wahl für den DCR ein.

3. Kopieren Sie für den Anforderungstext den folgenden Anforderungstext.

   {
     "properties": {
       "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
     }
   }
   

   • Ersetzen Sie die Platzhalter {subscriptionId} und {resourceGroupName} durch die entsprechenden Werte.
   • Geben Sie anstelle des Platzhalters {dataCollectionRuleName} einen Namen Ihrer Wahl für den DCR ein.

4. Senden Sie die Anforderung.

Beispiele für Abschnitte „facilities“ (Einrichtungen) und „log levels“ (Protokollebenen)

Sehen Sie sich diese Beispiele der Einstellungen für Einrichtungen und Protokollebenen an. Das name-Feld enthält den Filternamen.

Bei der Erfassung von CEF-Nachrichten sollte "streams" den Wert "Microsoft-CommonSecurityLog" anstatt "Microsoft-Syslog" haben.

In diesem Beispiel werden Ereignisse von den Einrichtungen cron, daemon, local0, local3 und uucp mit den Protokollebenen Warning, Error, Critical, Alert und Emergency erfasst:

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

Syslog- und CEF-Datenströme in der gleichen DCR

Dieses Beispiel zeigt, wie Sie Syslog- und CEF-Nachrichten in der gleichen DCR sammeln können.

Die DCR sammelt CEF-Ereignisnachrichten für:

• Die Einrichtungen authpriv und mark mit den Protokollebenen Info, Notice, Warning, Error, Critical, Alert und Emergency.
• Die Einrichtung daemon mit den Protokollebenen Warning, Error, Critical, Alert und Emergency.

Sie sammelt Syslog-Ereignisnachrichten für:

• Die Einrichtungen kern, local0, local5 und news mit den Protokollebenen Critical, Alert und Emergency.
• Die Einrichtungen mail und uucp mit der Protokollebene Emergency.

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Ausführen des Skripts „installation“

Wenn Sie eine Protokollweiterleitung verwenden, konfiguriert dieses Skript den Syslog-Daemon, um auf Nachrichten von anderen Computern zu lauschen und die erforderlichen lokalen Ports zu öffnen.

1. Kopieren Sie auf der Connector-Seite die Befehlszeile, die unter Führen Sie den folgenden Befehl aus, um den CEF-Collector zu installieren und anzuwenden: erscheint.

   

   Oder kopieren Sie sie von hier:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. Melden Sie sich bei der VM mit der Protokollweiterleitung an, auf der Sie gerade die AMA installiert haben.

3. Fügen Sie den Befehl ein, den Sie im letzten Schritt kopiert haben, um das Installationsskript zu starten.
   Das Skript konfiguriert den rsyslog- oder syslog-ng-Daemon für die Verwendung des gewünschten Protokolls und startet den Daemon neu. Das Skript öffnet Port 514, um eingehende Nachrichten sowohl in UDP- als auch in TCP-Protokollen abzuhören. Um diese Einstellung zu ändern, sehen Sie in der Konfigurationsdatei des Syslog-Daemons nach, die dem auf dem Computer ausgeführten Daemon-Typ entspricht:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Hinweis

   Um Szenarien mit vollen Datenträgern zu vermeiden, bei denen der Agent nicht funktionieren kann, empfehlen wir, das Sie die Konfiguration von syslog-ng oder rsyslog so festlegen, dass nicht benötigte Protokolle nicht gespeichert werden. Ein Szenario mit vollem Datenträger unterbricht die Funktion des installierten AMA. Weitere Informationen finden Sie unter RSyslog oder Syslog-ng.

Testen des Connectors

Vergewissern Sie sich, dass die Protokollnachrichten Ihres Linux-Rechners oder Ihrer Sicherheitsgeräte und -Appliances in Microsoft Sentinel aufgenommen werden.

1. Um zu überprüfen, ob der Syslog-Daemon am UDP-Port ausgeführt wird und ob der AMA lauscht, führen Sie den folgenden Befehl aus:

   netstat -lnptv
   

   Es sollte angezeigt werden, dass der Daemon rsyslog oder syslog-ng an Port 514 lauscht.

2. Um Nachrichten zu erfassen, die von einer Protokollierung oder einem verbundenen Gerät gesendet werden, führen Sie diesen Befehl im Hintergrund aus:

   tcpdump -i any port 514 -A -vv &
   

3. Nachdem Sie die Überprüfung abgeschlossen haben, empfiehlt es sich, tcpdump zu beenden: Geben Sie fg ein, und drücken Sie dann STRG+C.

4. Zum Senden von Demonachrichten führen Sie eine der folgenden Schritte aus:

   • Verwenden des Hilfsprogramms netcat. In diesem Beispiel liest das Hilfsprogramm Daten, die mit dem echo-Befehl gesendet wurden, wobei der newline-Schalter deaktiviert war. Das Hilfsprogramm schreibt die Daten dann ohne Timeout an den UDP-Port 514 auf dem localhost. Zum Ausführen des Hilfsprogramms netcat müssen Sie möglicherweise ein anderes Paket installieren.

     echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
     

   • Verwenden der Protokollierung. In diesem Beispiel wird die Nachricht im CEF-RFC-Format in die Einrichtung local 4mit dem Schweregrad Warning an Port 514 auf dem lokalen Host geschrieben. Die Flags -t und --rfc3164 werden verwendet, um das erwartete RFC-Format einzuhalten.

     logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time"
     

5. Um zu überprüfen, ob der Connector ordnungsgemäß installiert ist, führen Sie das Problembehandlungsskript mit einem dieser Befehle aus:

   • Führen Sie für CEF-Protokolle Folgendes aus:

      sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --cef
     

   • Führen Sie für ASA-Protokolle von Cisco (Adaptive Security Appliance) Folgendes aus:

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --asa
     

   • Führen Sie für FTD-Protokolle von Cisco (Firepower Threat Defense) Folgendes aus:

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --ftd
     

Zugehöriger Inhalt

• Connectors „Syslog über AMA“ und „CEF (Common Event Format) über AMA“ für Microsoft Sentinel
• Datensammlungsregeln in Azure Monitor