[Veraltet] VMware vCenter Connector für Microsoft Sentinel

Artikel
08/22/2024

Wichtig

Die Protokollsammlung aus vielen Appliances und Geräten wird jetzt vom Common Event Format (CEF) über AMA, Syslog über AMA oder benutzerdefinierte Protokolle über den AMA-Datenconnector in Microsoft Sentinel unterstützt. Weitere Informationen finden Sie unter Suchen Ihres Microsoft Sentinel-Datenconnectors.

Mit dem vCenter-Connector können Sie Ihre vCenter-Serverprotokolle auf einfache Weise mit Microsoft Sentinel verbinden. So erhalten Sie einen besseren Einblick in die Rechenzentren Ihrer Organisation und können Ihre Sicherheitsprozesse verbessern.

Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.

Connectorattribute

Connectorattribut	BESCHREIBUNG
Log Analytics-Tabellen	vcenter_CL
Unterstützung für Datensammlungsregeln	Derzeit nicht unterstützt
Unterstützt von	Microsoft Corporation

Abfragebeispiele

Ereignisse gesamt nach Ereignisname

vCenter 

| summarize count() by EventType

An-/Abmelden bei vCenter Server

vCenter 

| where EventType in ('UserLogoutSessionEvent','UserLoginSessionEvent') 

| summarize count() by EventType,EventID,UserName,UserAgent 

| top 10 by count_

Voraussetzungen

Um die Integration in [veraltet] VMware vCenter zu ermöglichen, stellen Sie sicher, dass Sie folgendes haben:

Schließen Sie benutzerdefinierte Voraussetzungen ein, wenn dies für die Konnektivität erforderlich ist. Andernfalls löschen Sie benutzerdefinierte Einstellungen: Beschreibung für alle benutzerdefinierten Voraussetzungen

Installationsanweisungen des Anbieters

HINWEIS: Damit dieser Datenconnector wie erwartet funktioniert, ist er von einem Parser abhängig, der auf einer Kusto-Funktion basiert, die als Teil der Lösung bereitgestellt wird. Um den Funktionscode in Log Analytics anzuzeigen, öffnen Sie das Blatt „Log Analytics/Microsoft Sentinel-Protokolle“, klicken Sie auf „Functions“, suchen Sie nach dem Alias „VMware vCenter“, und laden Sie den Funktionscode, oder klicken Sie hier. Geben Sie in der zweiten Zeile der Abfrage die Hostnamen Ihrer VMware vCenter-Geräte und alle anderen eindeutigen Bezeichner für den Protokollstream ein. Die Aktivierung der Funktion dauert in der Regel 10 bis 15 Minuten nach der Installation/Aktualisierung der Lösung.

Wenn Sie die vCenter-Lösung von ContentHub nicht installiert haben, führen Sie diese Schritte aus, um den Kusto-Funktionsalias vCenter zu verwenden.

Installieren und Onboarding des Agents für Linux

In der Regel sollten Sie den Agent auf einem anderen Computer als dem installieren, auf dem die Protokolle generiert werden.

Syslog-Protokolle werden nur von Linux-Agents gesammelt.

Konfigurieren der zu erfassenden Protokolle

Führen Sie die folgenden Konfigurationsschritte aus, um vCenter-Serverprotokolle in Microsoft Sentinel abzurufen. Weitere Informationen zu diesen Schritten finden Sie in der Azure Monitor-Dokumentation. Bei vCenter Server-Protokollen treten beim Analysieren der Daten durch OMS-Agent-Daten mit den Standardeinstellungen Probleme auf. Daher empfehlen wir, die Protokolle mithilfe der folgenden Anweisungen in der benutzerdefinierten Tabelle vcenter_CL zu erfassen.

Melden Sie sich bei dem Server an, auf dem Sie den OMS-Agent installiert haben.
Laden Sie die Konfigurationsdatei herunter: vCenter.conf wget -v https://aka.ms/sentinel-vcenteroms-conf -O vcenter.conf
Kopieren Sie vcenter.conf in diesen Ordner: /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp vcenter.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Bearbeiten Sie vcenter.conf wie folgt:

a. vcenter.conf verwendet standardmäßig Port 22033. Stellen Sie sicher, dass dieser Port nicht von einer anderen Quelle auf Ihrem Server verwendet wird.

b. Wenn Sie den Standardport für vcenter.conf ändern möchten, stellen Sie sicher, dass Sie nicht die Standardports der Azure-Agents für Überwachung und Protokollanalyse verwenden. (Beispielsweise verwendet CEF TCP-Port 25226 oder 25224.)

c. Ersetzen Sie workspace_id durch den tatsächlichen Wert Ihrer Arbeitsbereichs-ID (Zeilen 13, 14, 15, 18).
Speichern Sie die Änderungen, und starten Sie den Azure Log Analytics-Agent für Linux mit dem folgenden Befehl neu: sudo /opt/microsoft/omsagent/bin/service_control restart.
Ändern Sie die Datei „/etc/rsyslog.conf“: Fügen Sie die folgende Vorlage vorzugsweise am Anfang/vor dem Abschnitt mit den Anweisungen hinzu
```
 $template vcenter,"%timestamp% %hostname% %msg%\ n" 
```

Hinweis: Es befindet sich kein Leerzeichen zwischen dem Schrägstrich (\) und dem Zeichen „n“ im obigen Befehl.

Erstellen Sie eine benutzerdefinierte Konfigurationsdatei (beispielsweise 10-vcenter.conf) in /etc/rsyslog.d/, und fügen Sie die folgenden Filterbedingungen hinzu.

Laden Sie die Konfigurationsdatei herunter: 10-vCenter.conf

 With an added statement you will need to create a filter which will specify the logs coming from the vcenter server to be forwarded to the custom table.

 reference: [Filter Conditions — rsyslog 8.18.0.master documentation](https://rsyslog.readthedocs.io/en/latest/configuration/filters.html)

 Here is an example of filtering that can be defined, this is not complete and will require additional testing for each installation.
	 if $rawmsg contains "vcenter-server" then @@127.0.0.1:22033;vcenter
	 & stop 
	 if $rawmsg contains "vpxd" then @@127.0.0.1:22033;vcenter
	 & stop

Restart rsyslog systemctl restart rsyslog
Konfigurieren und Verbinden der vCenter-Geräte

Befolgen Sie diese Anweisungen, um vCenter für die Weiterleitung von Syslog-Nachrichten zu konfigurieren. Verwenden Sie die IP-Adresse oder den Hostnamen für das Linux-Gerät mit installiertem Linux-Agent als Ziel-IP-Adresse.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.

Teilen über