Configurer le chargement automatique de journal à l’aide de Docker en local sur Windows

Article
08/08/2024

Vous pouvez configurer le chargement automatique des journaux pour des rapports continus dans Defender for Cloud Apps à l’aide d’un Docker sur Windows.

Prérequis

Spécifications de l’architecture :

Caractéristique	Description
Système d’exploitation	Celui-ci peut avoir l'une des valeurs suivantes : Windows 10 (Fall Creators Update) Windows Server version 1709 et ultérieures (SAC) Windows Server 2019 (LTSC)
Espace disque	250 Go
Cœurs de processeur	2
Architecture CPU	Intel 64 et AMD 64
RAM	4 Go

Pour obtenir la liste des architectures Docker prises en charge, consultez la documentation d’installation de Docker.

Définissez votre pare-feu en fonction des besoins. Pour plus d’informations, consultez Configuration exigée pour le réseau.
La virtualisation du système d’exploitation doit être activée avec Hyper-V.

Important

Les clients de société avec plus de 250 utilisateurs ou plus de 10 millions de dollars USD en revenus annuels nécessitent un abonnement payant pour utiliser Docker Desktop pour Windows. Pour plus d’informations, consultez Vue d’ensemble de l’abonnement Docker.
Un utilisateur doit être connecté pour que Docker collecte les journaux. Nous vous recommandons de déconnecter vos utilisateurs Docker sans nous déconnecter.
Docker pour Windows n’est pas officiellement pris en charge dans les scénarios de virtualisation VMWare.
Docker pour Windows n’est pas officiellement pris en charge dans les scénarios de virtualisation imbriquée. Si vous envisagez toujours d’utiliser la virtualisation imbriquée, reportez-vous au guide officiel de Docker.
Pour plus d’informations sur la configuration et l’implémentation supplémentaires pour Docker pour Windows, consultez Installer Docker Desktop sur Windows.

Supprimer un collecteur de journaux existant

Si vous disposez d’un collecteur de journaux existant et souhaitez le supprimer avant de le déployer à nouveau, ou si vous souhaitez simplement le supprimer, exécutez les commandes suivantes :

docker stop <collector_name>
docker rm <collector_name>

Performances du collecteur de journaux

Le collecteur de journaux peut gérer correctement une capacité allant jusqu’à 50 Go par heure. Les principaux goulots d’étranglement dans le processus de collecte des journaux sont les suivants :

Bande passante réseau - Votre bande passante réseau détermine la vitesse de chargement des journaux.
Performances d’E/S de la machine virtuelle - Détermine la vitesse à laquelle les journaux sont écrits sur le disque du collecteur de journaux. Le collecteur de journaux dispose d’un mécanisme de sécurité intégré qui surveille le débit auquel les journaux arrivent et le compare au débit de chargement. En cas de congestion, le collecteur de journaux commence à supprimer des fichiers journaux. Si votre configuration dépasse généralement 50 Go par heure, nous vous recommandons de diviser le trafic entre plusieurs collecteurs de journaux.

Étape 1 – Configuration du portail web

Suivez les étapes ci-dessous pour définir vos sources de données et les lier à un collecteur de journaux. Un seul collecteur de journaux peut gérer plusieurs sources de données.

Dans le portail Microsoft Defender, sélectionnez l’onglet Paramètres>Applications cloud>Cloud Discovery>Chargement automatique de journal>Sources de données.
Pour chaque pare-feu ou proxy à partir desquels vous voulez charger des journaux, créez une source de données correspondante :
1. Sélectionnez +Ajouter une source de données.
2. Nommez votre proxy ou pare-feu.
3. Sélectionnez l’appareil dans la liste Source. Si vous sélectionnez Format de journal personnalisé pour utiliser une appliance réseau qui n’est pas listée, consultez Utilisation de l’analyseur de journal personnalisé pour obtenir des instructions de configuration.
4. Comparez votre journal à l’exemple de format de journal attendu. Si le format de votre fichier journal ne correspond pas à cet exemple, vous devez ajouter votre source de données en sélectionnant Autre.
5. Définissez le Type de récepteur sur FTP, FTPS, Syslog – UDP ou Syslog – TCP ou Syslog – TLS.
  
  Remarque
  
  L’intégration à des protocoles de transfert sécurisés (FTPS et Syslog – TLS) nécessite souvent un paramètre supplémentaire pour votre pare-feu/proxy.
6. Répétez ce processus pour chaque pare-feu ou proxy dont les journaux peuvent être utilisés pour détecter le trafic sur votre réseau. Il est recommandé de définir une source de données dédiée par appareil réseau pour vous permettre de :
  - Superviser l’état de chaque appareil séparément à des fins d’investigation
  - Explorer Shadow IT Discovery pour chaque appareil, si chaque appareil est utilisé par un segment d’utilisateur différent
En haut de la page, sélectionnez l’onglet Collecteurs de journaux, puis Ajouter un collecteur de journaux.
Dans la boîte de dialogue Créer un collecteur de journaux :
1. Dans le champ Nom, saisissez un nom explicite pour votre collecteur de journaux.
2. Donnez un nom au collecteur de journaux et saisissez l’adresse IP de l’hôte (adresse IP privée) de l’ordinateur que vous utiliserez pour déployer le Docker. L’adresse IP de l’hôte peut être remplacée par le nom de l’ordinateur s’il existe un serveur DNS (ou un équivalent) qui résout le nom d’hôte.
3. Sélectionnez toutes les Sources de données que vous voulez connecter au collecteur, puis cliquez sur Mettre à jour pour enregistrer la configuration.
  
  D’autres informations de déploiement s’affichent dans la section Étapes suivantes, notamment une commande que vous utiliserez ultérieurement pour importer la configuration du collecteur. Si vous avez sélectionné Syslog, ces informations incluent également des données sur le port utilisé par l’écouteur Syslog pour écouter.
4. Utilisez le bouton Copier pour copier la commande dans le Presse-papiers et l’enregistrer dans un emplacement distinct.
5. Utilisez le bouton Exporter pour exporter la configuration de la source de données attendue. Cette configuration décrit comment définir l’exportation du journal dans vos appliances.

Pour les utilisateurs qui envoient des données de journal via FTP pour la première fois, nous vous recommandons de modifier le mot de passe de l’utilisateur FTP. Pour plus d’informations, consultez Changer le mot de passe de FTP.

Étape 2 : Déploiement local de votre ordinateur

La procédure suivante décrit le déploiement dans Windows. Les étapes de déploiement pour d’autres plateformes sont légèrement différentes.

Ouvrez un terminal PowerShell en tant qu’administrateur sur votre ordinateur Windows.
Exécutez la commande suivante pour télécharger le fichier script PowerShell du programme d’installation de Docker pour Windows :
```
Invoke-WebRequest https://adaprodconsole.blob.core.windows.net/public-files/LogCollectorInstaller.ps1 -OutFile (Join-Path $Env:Temp LogCollectorInstaller.ps1)
```
Pour vérifier que le programme d’installation est signé par Microsoft, consultez Valider la signature du programme d’installation.
Pour activer l’exécution du script PowerShell, exécutez :
```
Set-ExecutionPolicy RemoteSigned`
```
Pour installer le client Docker sur votre ordinateur, exécutez :
```
& (Join-Path $Env:Temp LogCollectorInstaller.ps1)`
```
L’ordinateur redémarre automatiquement après l’exécution de la commande.
Lorsque l’ordinateur est à nouveau opérationnel, exécutez la même commande :
```
& (Join-Path $Env:Temp LogCollectorInstaller.ps1)`
```
Exécutez le programme d’installation de Docker, en choisissant d’utiliser WSL 2 au lieu d’Hyper-V.

Une fois l’installation terminée, l’ordinateur redémarre automatiquement.
Une fois le redémarrage terminé, ouvrez le client Docker et acceptez le contrat d’abonnement Docker.
Si l’installation de WSL2 n’est pas terminée, un message indique que le noyau Linux WSL 2 est installé au moyen d’un package de mise à jour MSI distinct.
Terminez l’installation en téléchargeant le package. Pour en savoir plus, consultez Télécharger le package de mise à jour du noyau Linux.
Ouvrez à nouveau le client Docker Desktop et vérifiez qu’il a démarré.

Ouvrez une invite de commandes en tant qu’administrateur et saisissez la commande d’exécution que vous avez copiée précédemment à partir du portail à l’Étape 1 – Configuration du portail web.

Si vous devez configurer un proxy, ajoutez l’adresse IP et le numéro de port du proxy. Par exemple, si les détails de votre proxy sont 172.31.255.255:8080, votre commande d’exécution mise à jour est :

(echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.255.255.255'" -e "PROXY=172.31.255.255:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter

Pour vérifier que le collecteur fonctionne correctement, exécutez :
```
docker logs <collector_name>
```
Vous devez voir le message Opération terminée Par exemple :

Étape 3 : Configuration locale de vos appliances réseau

Configurez vos pare-feu et proxys réseau pour exporter régulièrement les journaux vers le port Syslog dédié du répertoire FTP conformément aux instructions données dans la boîte de dialogue. Par exemple :

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Étape 4 - Vérifier la réussite du déploiement dans le portail

Consultez l’état du collecteur dans le tableau Collecteur de journaux et vérifiez que l’état est Connecté. Si l’état est Créé, il est possible que la connexion du collecteur de journaux et l’analyse n’aient pas été effectuées.

Vous pouvez aussi accéder au journal de gouvernance et vérifier que les journaux sont régulièrement chargés sur le portail.

Vous pouvez également vérifier l’état du collecteur de journaux à partir du conteneur Docker à l’aide des commandes suivantes :

Se connecter au conteneur :
```
docker exec -it <Container Name> bash
```
Vérifier l’état du collecteur de journaux :
```
collector_status -p
```

Si vous rencontrez des problèmes lors du déploiement, consultez Dépannage de Cloud Discovery.

Facultatif : Créer des rapports continus personnalisés

Vérifiez que les journaux sont chargés sur Defender for Cloud Apps et que les rapports sont générés. Après vérification, créez des rapports personnalisés. Vous pouvez ensuite créer des rapports de découverte personnalisés basés sur des groupes d’utilisateurs Microsoft Entra. Par exemple, pour voir l’utilisation cloud de votre service marketing, importez le groupe marketing à l’aide de la fonctionnalité d’importation des groupes d’utilisateurs. Créez ensuite un rapport personnalisé pour ce groupe. Vous pouvez également personnaliser un rapport en fonction d’une balise d’adresse IP ou de plages d’adresses IP.

Dans le portail Microsoft Defender, sélectionnez Paramètres>Applications Cloud>Cloud Discovery>Rapport continu.
Cliquez sur le bouton Créer un rapport et renseignez les champs.
Sous Filtres, vous pouvez filtrer les données par source de données, par groupe d’utilisateurs importé ou par balises et plages d’adresses IP.

Remarque

Lors de l’application de filtres sur des rapports continus, la sélection sera incluse, non exclue. Par exemple, si vous appliquez un filtre sur un certain groupe d’utilisateurs, seul ce groupe d’utilisateurs sera inclus dans le rapport.

Facultatif - Valider la signature du programme d’installation

Pour vérifier que le programme d’installation de Docker est signé par Microsoft :

Cliquez avec le bouton droit sur le fichier et sélectionnez Propriétés.
Cliquez sur Signatures numériques et vérifiez la présence du message Cette signature numérique est valide.
Vérifiez que l’option Microsoft Corporation figure en tant qu’entrée unique sous Nom du signataire.

Si la signature numérique n’est pas valide, vous recevez le message Cette signature numérique n’est pas valide :

Étapes suivantes

Modifier la configuration FTP du collecteur de journaux

Si vous rencontrez des problèmes, nous sommes là pour vous aider. Pour obtenir de l’aide ou du support pour votre problème de produit, veuillez ouvrir un ticket de support.

Partager via