Erstellen von Cloud Discovery-Momentaufnahmeberichten
Es ist wichtig, ein Protokoll manuell hochzuladen und es von Microsoft Defender for Cloud Apps analysieren zu lassen, bevor Sie versuchen, den automatischen Protokollsammler zu verwenden. Informationen zur Funktionsweise des Protokollsammlers und zum erwarteten Protokollformat finden Sie unter Verwenden von Datenverkehrsprotokollen für Cloud Discovery.
Wenn Sie noch über kein Protokoll verfügen aber ein Beispiel sehen möchten, wie Ihr Protokoll aussehen sollte, laden Sie eine Beispielprotokolldatei herunter. Führen Sie die folgende Prozedur aus, um zu sehen, wie Ihr Protokoll aussehen sollte.
So erstellen Sie einen Momentaufnahmebericht:
Sammeln Sie Protokolldateien von Ihrer Firewall und Ihrem Proxy, über die Benutzer in Ihrer Organisation auf das Internet zugreifen. Stellen Sie sicher, dass Sie Protokolle zu Spitzenzeiten des Datenverkehrs sammeln, die für alle Benutzeraktivitäten in Ihrer Organisation repräsentativ sind.
Wählen Sie im Microsoft Defender-Portal unter Cloud-Apps die Option Cloud Discovery.
Ziehen Sie in der oberen rechten Ecke Aktionen nach unten, und wählen Sie Momentaufnahmebericht zu Cloud Discovery erstellen.
Wählen Sie Weiter aus.
Geben Sie einen Berichtsnamen und ein Beschreibung ein
Wählen Sie die Quelle aus, aus der Sie die Protokolldateien hochladen möchten. Wenn Ihre Quelle nicht unterstützt wird (siehe Unterstützte Firewalls und Proxys für die vollständige Liste), können Sie einen benutzerdefinierten Parser erstellen. Weitere Informationen finden Sie unter Use a custom log parser (Verwenden eines benutzerdefinierten Protokollparsers).
Überprüfen Sie das Protokollformat, um sicherzustellen, dass es gemäß dem Beispielprotokoll, das Sie herunterladen können, ordnungsgemäß formatiert ist. Wählen Sie unter Protokollformat überprüfen, Protokollformat anzeigen dann Beispielprotokoll herunterladen aus. Vergleichen Sie Ihr Protokoll mit dem bereitgestellten Beispiel, um sicherzustellen, dass es kompatibel ist.
Hinweis
Das FTP-Beispielformat wird in Momentaufnahmen und automatisierten Upload unterstützt, während Syslog nur in automatisierten Uploads unterstützt wird. Beim Herunterladen eines Beispielprotokolls wird ein FTP-Beispielprotokoll heruntergeladen.
Laden Sie Datenverkehrsprotokolle hoch, die Sie hochladen möchten. Sie können bis zu 20 Dateien gleichzeitig hochladen. Komprimierte und gezippte Dateien werden ebenfalls unterstützt.
Wählen Sie Protokolle hochladen.
Nach Abschluss des Hochladens wird die Statusmeldung in der oberen rechten Ecke des Bildschirms angezeigt, damit Sie wissen, dass Ihr Protokoll erfolgreich hochgeladen wurde.
Nachdem Sie Ihre Protokolldateien hochgeladen haben, dauert es einige Zeit, bis sie geparst und analysiert werden. Nachdem die Verarbeitung Ihrer Protokolldateien abgeschlossen ist, erhalten Sie eine E-Mail, in der Sie darüber informiert werden, dass die Verarbeitung abgeschlossen wurde.
Ein Benachrichtigungsbanner wird am oberen Rand des Cloud Discovery-Dashboards in der Statusleiste angezeigt. Das Banner aktualisiert Sie mit dem Verarbeitungsstatus Ihrer Protokolldateien.
Nachdem die Protokolle erfolgreich hochgeladen wurden, sollte eine Benachrichtigung angezeigt werden, die Sie darüber informiert, dass die Verarbeitung der Protokolldatei erfolgreich abgeschlossen wurde. An diesem Punkt können Sie den Bericht anzeigen, indem Sie den Link in der Statusleiste auswählen. Oder wählen Sie im Microsoft Defender-Portal Einstellungen.
Wählen Sie dann unter Cloud Discovery die Option Momentaufnahmeberichte und anschließend Ihren Momentaufnahmebericht.
Verwenden von Datenverkehrsprotokollen für Cloud Discovery
Cloud Discovery verwendet die Daten in Ihrem Datenverkehrsprotokollen. Je detaillierter Ihr Protokoll ist, desto besser ist die Sichtbarkeit, die Sie erhalten. Cloud Discovery erfordert Webdatenverkehr mit den folgenden Attributen:
- Datum der Transaktion
- Quell-IP
- Quell-Benutzer – sehr empfohlen
- Ziel-IP-Adresse
- Ziel-URL empfohlen (URLs bieten eine höhere Genauigkeit für die Cloud-App-Erkennung als IP-Adressen)
- Gesamtmenge der Daten (Dateninformationen sind sehr wertvoll)
- Menge der hochgeladenen/heruntergeladenen Daten (bietet Einblicke in Nutzungsmuster von Cloud-Apps)
- Ergriffene Aktion (erlaubt/blockiert)
Cloud Discovery kann keine Attribute anzeigen oder analysieren, die nicht in Ihren Protokollen enthalten sind. Beispielsweise enthält das Cisco ASA Firewall-Standardprotokollformat weder die Anzahl hochgeladener Bytes pro Transaktion noch den Benutzernamen und die Ziel-URL (sondern nur die Ziel-IP-Adresse). Daher werden diese Attribute nicht in Cloud Discovery-Daten für diese Protokolle angezeigt, und die Sichtbarkeit der Cloud-Apps ist eingeschränkt. Für Cisco ASA-Firewalls muss die Informationsebene auf 6 festgelegt werden.
Damit ein Cloud Discovery-Bericht erfolgreich generiert werden kann, müssen die Datenverkehrsprotokolle die folgenden Bedingungen erfüllen:
- Datenquelle wird unterstützt.
- Das Protokollformat entspricht dem erwarteten Standardformat (Format, das beim Hochladen durch das Protokolltool überprüft wird).
- Ereignisse sind nicht mehr als 90 Tage alt.
- Die Protokolldatei ist gültig und enthält Informationen zum ausgehenden Datenverkehr.
Nächste Schritte
Wenn Probleme auftreten, helfen wir Ihnen. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie bitte ein Supportticket.