Configurez le téléchargement automatique de journaux pour les rapports continus de Defender for Cloud Apps

Les collecteurs de journaux vous permettent d'automatiser facilement le chargement des journaux à partir de votre réseau. Le collecteur de journaux s’exécute sur votre réseau et reçoit les journaux via Syslog ou FTP. Chaque log est automatiquement traité, compressé et transmis au portail. Les journaux FTP sont importés dans Microsoft Defender pour les applications cloud une fois le transfert FTP du fichier vers le collecteur de journaux terminé. Pour Syslog, le collecteur de journaux écrit les journaux reçus sur le disque. Le collecteur charge ensuite le fichier dans Defender for Cloud Apps lorsque la taille du fichier est supérieure à 40 Ko.

Une fois qu’un journal est chargé dans Defender pour Cloud Apps, il est déplacé vers un répertoire de sauvegarde. Le répertoire de sauvegarde stocke les 20 derniers journaux. Lorsque de nouveaux journaux arrivent, les anciens journaux sont supprimés. Chaque fois que l’espace disque du collecteur de journaux est plein, le collecteur de journaux supprime les nouveaux journaux jusqu’à ce qu’il dispose de plus d’espace disque libre (cela ne devrait pas se produire si les conditions préalables sont correctement remplies). Vous recevrez un avertissement dans l'onglet Collecteurs de journaux des paramètres Télécharger automatiquement les journaux lorsque le collecteur de journaux supprime les nouveaux journaux parce que l'espace disque est plein.

Avant de configurer la collecte automatique des fichiers journaux, vérifiez que votre fichier journal correspond au type de fichier journal attendu. Vous souhaitez vous assurer que Defender pour Cloud Apps peut analyser votre fichier spécifique. Pour plus d’informations, consultez Utilisation des journaux de trafic pour la découverte du cloud.

Remarque

  • Defender for Cloud Apps prend en charge le transfert des journaux de votre serveur SIEM vers le collecteur de journaux en supposant que les journaux sont transférés dans leur format d’origine. Cependant, nous vous recommandons fortement d'intégrer le collecteur de journaux directement à votre pare-feu et/ou proxy.
  • Le collecteur de journaux compresse les données avant leur chargement. Le trafic sortant sur le collecteur de journaux sera de 10 % de la taille des journaux de trafic qu'il reçoit.
  • Si le collecteur de journaux rencontre des problèmes, vous recevrez une alerte si aucune donnée n'a été reçue pendant 48 heures.

Prérequis

Vérifiez que votre environnement répond à la configuration système requise suivante :

  • Espace disque 250 Go
  • Cœurs de processeur : 2
  • Architecture du processeur : Intel® 64 et AMD 64
  • RAM : 4 Go
  • Définir votre pare-feu comme décrit dans Configuration réseau requise

Remarque

Pour installer une nouvelle version du collecteur de journaux, vous devez arrêter votre collecteur de journaux, supprimer l'image actuelle et installer la nouvelle.

Remarque

Si vous avez un collecteur de logs existant et souhaitez retirer le conteneur collecteur avant de le déployer à nouveau, ou si vous souhaitez simplement retirer le conteneur collecteur, exécutez les commandes suivantes :

docker stop <collector_name>

docker rm <collector_name>

Performances du collecteur de journaux

Le collecteur de journaux peut gérer correctement une capacité allant jusqu'à 50 Go par heure. Les principaux goulots d'étranglement dans le processus de collecte des journaux sont les suivants :

  • Bande passante réseau - Votre bande passante réseau détermine la vitesse de chargement des journaux.
  • Performances d'E/S de la machine virtuelle - Détermine la vitesse à laquelle les journaux sont écrits sur le disque du collecteur de journaux. Le collecteur de journaux dispose d'un mécanisme de sécurité intégré qui surveille le débit auquel les journaux arrivent et le compare au débit de chargement. En cas de congestion, le collecteur de journaux commence à supprimer des fichiers journaux. Si votre configuration dépasse généralement 50 Go par heure, nous vous recommandons de diviser le trafic entre plusieurs collecteurs de journaux.

Contenu connexe

Le collecteur de journaux prend en charge deux modes de déploiement Conteneur : Choisissez le guide de déploiement des conteneurs pour votre plateforme :

Étapes suivantes

Utilisation des données de découverte du cloud

  • Last updated on