Teilen über

[Veraltet] Squid-Proxyconnector für Microsoft Sentinel

  • Artikel

Wichtig

Die Protokollsammlung aus vielen Appliances und Geräten wird jetzt vom Common Event Format (CEF) über AMA, Syslog über AMA oder benutzerdefinierte Protokolle über den AMA-Datenconnector in Microsoft Sentinel unterstützt. Weitere Informationen finden Sie unter Suchen Ihres Microsoft Sentinel-Datenconnectors.

Mit dem Connector Squid Proxy können Sie Ihre Squid Proxy-Protokolle auf einfache Weise mit Microsoft Sentinel verbinden. So erhalten Sie einen besseren Einblick in den Netzwerkproxy-Datenverkehr Ihrer Organisation und können Ihre Sicherheitsprozesse verbessern.

Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.

Connectorattribute

Connectorattribut BESCHREIBUNG
Log Analytics-Tabellen SquidProxy_CL
Unterstützung für Datensammlungsregeln Derzeit nicht unterstützt
Unterstützt von Microsoft Corporation

Abfragebeispiele

Top 10: Proxyergebnisse

SquidProxy 

| where isnotempty(ResultCode) 

| summarize count() by ResultCode 

| top 10 by count_

Top 10: Peerhosts

SquidProxy 

| where isnotempty(PeerHost) 

| summarize count() by PeerHost 

| top 10 by count_

Installationsanweisungen des Anbieters

HINWEIS: Damit dieser Datenconnector wie erwartet funktioniert, ist er von einem Parser abhängig, der auf einer Kusto-Funktion basiert, die als Teil der Lösung bereitgestellt wird. Um den Funktionscode in Log Analytics anzuzeigen, öffnen Sie das Blatt „Log Analytics-/Microsoft Sentinel-Protokolle“, klicken Sie auf „Funktionen“, suchen Sie nach dem Alias „Squid Proxy“, und laden Sie den Funktionscode, oder klicken Sie hier. Geben Sie in der zweiten Zeile der Abfrage die Hostnamen Ihrer SquidProxy-Geräte und alle anderen eindeutigen Bezeichner für den Protokollstream ein. Die Aktivierung der Funktion dauert nach der Installation/Aktualisierung der Lösung in der Regel zehn bis 15 Minuten.

  1. Installieren und Integrieren des Agents für Linux oder Windows

Installieren Sie den Agent auf dem Squid Proxy-Server, auf dem die Protokolle generiert werden.

Protokolle von auf Linux- oder Windows-Servern bereitgestellten Squid Proxy-Instanzen werden von Linux- oder Windows-Agents gesammelt.

  1. Konfigurieren der zu erfassenden Protokolle

Konfigurieren des zu sammelnden benutzerdefinierten Protokollverzeichnis

  1. Wählen Sie den obigen Link aus, um die erweiterten Einstellungen Ihres Arbeitsbereichs zu öffnen.
  2. Wählen Sie im linken Bereich Daten und dann Benutzerdefinierte Protokolle aus, und klicken Sie auf Hinzufügen+.
  3. Klicken Sie auf Durchsuchen, um ein Beispiel für eine Squid Proxy-Protokolldatei hochzuladen (z. B. access.log oder cache.log). Klicken Sie anschließend auf Weiter >.
  4. Wählen Sie Neue Zeile als Datensatztrennzeichen aus, und klicken Sie auf Weiter >.
  5. Wählen Sie Windows oder Linux aus, und geben Sie den Pfad zu Squid Proxy-Protokollen ein. Dies sind die Standardpfade:
  • Windows-Verzeichnis: C:\Squid\var\log\squid\*.log
  • Linux-Verzeichnis: /var/log/squid/*.log
  1. Nachdem Sie den Pfad eingegeben haben, klicken Sie auf das Symbol „+“, um ihn anzuwenden. Klicken Sie dann auf Weiter >.
  2. Fügen Sie SquidProxy_CL als benutzerdefinierten Protokollnamen hinzu, und klicken Sie auf Fertig.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.