Freigeben über

Konfigurieren des automatischen Protokolluploads mit lokalem Docker unter Linux

Sie können den automatischen Protokollupload für fortlaufende Berichte in Defender for Cloud Apps mithilfe von Docker auf einem lokalen Ubuntu- oder CentOS-Server konfigurieren.

Wichtig

Wenn Sie RHEL Version 7.1 oder höher verwenden, müssen Sie Podman für die automatische Protokollsammlung anstelle von Docker verwenden. Weitere Informationen finden Sie unter Konfigurieren des automatischen Protokolluploads mit Podman.

Voraussetzungen

Spezifikation Beschreibung
Betriebssystem Eine der folgenden Varianten:
  • Ubuntu 14.04, 16.04, 18.04 und 20.04
  • CentOS 7.2 oder höher
    		•
    Speicherplatz 250 GB
    CPU-Kerne 2
    CPU-Architektur Intel 64 und AMD 64
    RAM 4 GB

    Stellen Sie sicher, dass Sie Ihre Firewall nach Bedarf festlegen. Weitere Informationen finden Sie unter Netzwerkanforderungen.

    Entfernen eines vorhandenen Protokollsammlers

    Wenn Sie über einen vorhandenen Protokollsammler verfügen und ihn vor der erneuten Bereitstellung entfernen möchten, oder wenn Sie ihn einfach entfernen möchten, führen Sie die folgenden Befehle aus:

    docker stop <collector_name>
docker rm <collector_name>

    Protokollsammlerleistung

    Der Protokollsammler kann eine Protokollkapazität von bis zu 50 GB pro Stunde erfolgreich verarbeiten. Die Standard Engpässe im Protokollsammlungsprozess sind:

    • Netzwerkbandbreite: Ihre Netzwerkbandbreite bestimmt die Geschwindigkeit des Protokolluploads.

    • E/A-Leistung des virtuellen Computers: Bestimmt die Geschwindigkeit, mit der Protokolle auf den Datenträger des Protokollsammlers geschrieben werden. Der Protokollsammler verfügt über einen integrierten Sicherheitsmechanismus, der die Rate überwacht, mit der Protokolle eingehen, und sie mit der Uploadrate vergleicht. Bei Überlastung beginnt der Protokollsammler, Protokolldateien zu löschen. Wenn Ihr Setup in der Regel 50 GB pro Stunde überschreitet, wird empfohlen, den Datenverkehr auf mehrere Protokollsammler aufzuteilen.

    Schritt 1 – Konfiguration des Webportals: Definieren von Datenquellen und Verknüpfen der Datenquellen mit einem Protokollsammler

    1. Wählen Sie im Microsoft Defender-Portal Einstellungen>Cloud Apps>Cloud Discovery>Automatischer Protokollupload>Datenquellen aus.

    2. Erstellen Sie für jede Firewall oder jeden Proxy, aus dem Sie Protokolle hochladen möchten, eine übereinstimmende Datenquelle.

      1. Wählen Sie +Datenquelle hinzufügen aus.

        Screenshot der Schaltfläche

      2. Benennen Sie Ihren Proxy oder Ihre Firewall.

        Screenshot des Dialogfelds

      3. Wählen Sie in der Liste Quelle die Anwendung aus. Wenn Sie benutzerdefiniertes Protokollformat auswählen, um mit einem Netzwerk Anwendung zu arbeiten, das nicht aufgeführt ist, finden Sie unter Arbeiten mit dem benutzerdefinierten Protokollparser Konfigurationsanweisungen.

      4. Vergleichen Sie Ihr Protokoll mit dem Beispiel des erwarteten Protokollformats. Wenn Ihr Protokolldateiformat nicht mit diesem Beispiel übereinstimmt, sollten Sie Ihre Datenquelle als Sonstige hinzufügen.

      5. Legen Sie den Empfängertyp entweder auf FTP, FTPS, Syslog – UDP oder Syslog – TCP oder Syslog – TLS fest.

        Hinweis

        Die Integration in sichere Übertragungsprotokolle (FTPS und Syslog – TLS) erfordert häufig zusätzliche Einstellungen für Ihre Firewall/Ihren Proxy.

      6. Wiederholen Sie diesen Vorgang für jede Firewall und jeden Proxy, deren Protokolle verwendet werden können, um Datenverkehr in Ihrem Netzwerk zu erkennen. Es wird empfohlen, eine dedizierte Datenquelle pro Netzwerkgerät einzurichten, um Folgendes zu ermöglichen:

      • Überwachen Sie die status jedes Geräts zu Untersuchungszwecken separat.
      • Erkunden Sie die Schatten-IT-Ermittlung pro Gerät, wenn jedes Gerät von einem anderen Benutzersegment verwendet wird.

    3. Wählen Sie oben auf der Seite die Registerkarte Protokollsammler und dann Protokollsammler hinzufügen aus.

    4. Im Dialogfeld Protokollsammler erstellen :

      1. Geben Sie im Feld Name einen aussagekräftigen Namen für Ihren Protokollsammler ein.

      2. Geben Sie dem Protokollsammler einen Namen , und geben Sie die Host-IP-Adresse (private IP-Adresse) des Computers ein, den Sie zum Bereitstellen von Docker verwenden. Die Host-IP-Adresse kann durch den Computernamen ersetzt werden, wenn ein DNS-Server (oder ein entsprechender Server) vorhanden ist, der den Hostnamen auflöst.

      3. Wählen Sie alle Datenquellen aus, die Sie mit dem Collector verbinden möchten, und wählen Sie Aktualisieren aus, um die Konfiguration zu speichern.

        Weitere Bereitstellungsinformationen werden im Abschnitt Nächste Schritte angezeigt, einschließlich eines Befehls, den Sie später zum Importieren der Collectorkonfiguration verwenden werden. Wenn Sie Syslog ausgewählt haben, enthalten diese Informationen auch Daten darüber, an welchem Port der Syslog-Listener lauscht.

      4. Verwenden Sie das Symbol zum Kopieren in die Zwischenablage.Schaltfläche "Kopieren ", um den Befehl in die Zwischenablage zu kopieren und an einem separaten Speicherort zu speichern.

      5. Verwenden Sie den Export.Schaltfläche "Exportieren ", um die erwartete Datenquellenkonfiguration zu exportieren. Diese Konfiguration beschreibt, wie Sie den Protokollexport in Ihren Appliances festlegen sollten.

    Für Benutzer, die erstmals Protokolldaten über FTP senden, empfehlen wir, das Kennwort für den FTP-Benutzer zu ändern. Weitere Informationen finden Sie unter Ändern des FTP-Kennworts.

    Schritt 2: Lokale Bereitstellung Ihres Computers

    Die folgenden Schritte beschreiben die Bereitstellung in Ubuntu. Die Bereitstellungsschritte für andere unterstützte Plattformen können geringfügig abweichen.

    1. Öffnen Sie ein Terminal auf Ihrem Ubuntu-Computer.

    2. Ändern Sie zu Stammberechtigungen, indem Sie Folgendes ausführen:

      sudo -i

    3. Führen Sie die folgenden beiden Befehle aus, um einen Proxy in Ihrem Netzwerk zu umgehen:

      export http_proxy='<IP>:<PORT>' (e.g. 168.192.1.1:8888)
export https_proxy='<IP>:<PORT>'

    4. Wenn Sie die Softwarelizenzbedingungen akzeptieren, deinstallieren Sie alte Versionen, und installieren Sie Docker CE, indem Sie die für Ihre Umgebung geeigneten Befehle ausführen:

      1. Entfernen Sie alte Versionen von Docker:

        yum erase docker docker-engine docker.io

      2. Voraussetzungen für die Installation der Docker-Engine:

        yum install -y yum-utils

      3. Docker-Repository hinzufügen:

        yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
yum makecache

      4. Installieren Sie die Docker-Engine:

        yum -y install docker-ce

      5. Starten Sie Docker:

        systemctl start docker
systemctl enable docker

      6. Testen der Docker-Installation:

        docker run hello-world

    5. Stellen Sie das Collectorimage auf dem Hostcomputer bereit, indem Sie die Collectorkonfiguration importieren. Importieren Sie die Konfiguration, indem Sie den im Portal generierten Ausführungsbefehl kopieren. Wenn Sie einen Proxy konfigurieren müssen, fügen Sie die Proxy-IP-Adresse und die Portnummer hinzu. Wenn Ihre Proxydetails beispielsweise 172.31.255.255:8080 sind, lautet Ihr aktualisierter Ausführungsbefehl:

      (echo 6f19225ea69cf5f178139551986d3d797c92a5a43bef46469fcc997aec2ccc6f) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.255.255.255'" -e "PROXY=172.31.255.255:8080" -e "CONSOLE=tenant.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter

    6. Überprüfen Sie mit dem folgenden Befehl, ob der Collector ordnungsgemäß ausgeführt wird:

      docker logs <collector_name>

      Die Meldung sollte angezeigt werden: Erfolgreich abgeschlossen! Zum Beispiel:

      Screenshot eines Befehls, mit dem überprüft wird, ob Docker ordnungsgemäß ausgeführt wird.

    Schritt 3: Lokale Konfiguration Ihrer Netzwerkgeräte

    Konfigurieren Sie Ihre Netzwerkfirewalls und Proxys so, dass protokolle in regelmäßigen Abständen in den dedizierten Syslog-Port oder das FTP-Verzeichnis exportiert werden, entsprechend den Anweisungen im Dialogfeld. Zum Beispiel:

    BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

    Schritt 4: Überprüfen der erfolgreichen Bereitstellung im Portal

    Überprüfen Sie die status des Collectors in der Tabelle Log Collector, und stellen Sie sicher, dass die status Verbunden ist. Wenn es erstellt ist, ist es möglich, dass die Protokollsammlerverbindung und die Analyse noch nicht abgeschlossen wurden.

    Vergewissern Sie sich, dass der Collector status Verbunden ist.

    Sie können auch zum Governanceprotokoll wechseln und überprüfen, ob Protokolle regelmäßig in das Portal hochgeladen werden.

    Alternativ können Sie den Protokollsammler status aus dem Docker-Container mithilfe der folgenden Befehle überprüfen:

    1. Melden Sie sich beim Container an:

      docker exec -it <Container Name> bash

    2. Überprüfen Sie, ob der Protokollsammler status:

      collector_status -p

    Wenn während der Bereitstellung Probleme auftreten, finden Sie weitere Informationen unter Problembehandlung bei der Cloudermittlung.

    Optional: Erstellen benutzerdefinierter fortlaufender Berichte

    Vergewissern Sie sich, dass die Protokolle in Defender for Cloud Apps hochgeladen werden und dass Berichte generiert werden. Erstellen Sie nach der Überprüfung benutzerdefinierte Berichte. Sie können benutzerdefinierte Ermittlungsberichte basierend auf Microsoft Entra Benutzergruppen erstellen. Wenn Sie beispielsweise die Cloudnutzung Ihrer Marketingabteilung anzeigen möchten, importieren Sie die Marketinggruppe mithilfe der Funktion Benutzergruppe importieren. Erstellen Sie dann einen benutzerdefinierten Bericht für diese Gruppe. Sie können einen Bericht auch basierend auf IP-Adresstags oder IP-Adressbereichen anpassen.

    1. Wählen Sie im Microsoft Defender-Portal Einstellungen>Cloud-Apps>Cloud Discovery>Fortlaufende Berichte aus.

    2. Wählen Sie die Schaltfläche Bericht erstellen aus, und füllen Sie die Felder aus.

    3. Unter Filter können Sie die Daten nach Datenquelle, nach importierter Benutzergruppe oder nach IP-Adresstags und -bereichen filtern.

      Hinweis

      Beim Anwenden von Filtern auf fortlaufende Berichte wird die Auswahl eingeschlossen, nicht ausgeschlossen. Wenn Sie beispielsweise einen Filter auf eine bestimmte Benutzergruppe anwenden, wird nur diese Benutzergruppe in den Bericht aufgenommen.

      Benutzerdefinierter fortlaufender Bericht.

    Nächste Schritte

    Ändern der FTP-Konfiguration des Protokollsammlers

    Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie bitte ein Supportticket.