Speciális naplógyűjtő-kezelés

Ez a cikk bemutatja, hogyan konfigurálhat speciális beállításokat Felhőhöz készült Defender Alkalmazások felhőfelderítési naplógyűjtőihez.

Felhőhöz készült Defender Alkalmazások felhőfelderítése továbbra is az alapszintű tűzfalformátumokra összpontosít. Előfordulhat, hogy a tűzfal szintjén továbbított naplók módosításai nem működnek, vagy problémákat okozhatnak az elemzés során. Ha ilyen típusú hibákat talál, javasoljuk, hogy továbbra is használja az alapszintű tűzfalformátumot, vagy használja a beállításokat az egyéni naplógyűjtővel. További információ: Egyéni naplóelemző használata.

Ez a cikk azt ismerteti, hogyan módosíthatja a Felhőhöz készült Defender Apps felhőfelderítési Docker konfigurációját.

A naplógyűjtő FTP-konfigurációjának módosítása

Az alábbi szakaszokban ismertetett lépésekkel módosíthatja a Felhőhöz készült Defender Apps Cloud Discovery Docker konfigurációját.

A naplógyűjtő verziójának ellenőrzése

A rendszeren jelenleg telepített naplógyűjtő verziójának ellenőrzéséhez csatlakozzon a naplógyűjtő gazdagéphez, és futtassa a következőt:

cat /var/adallom/versions | grep columbus-

Az FTP-jelszó módosítása

Ez az eljárás azt ismerteti, hogyan módosíthatja a naplógyűjtő fájlok eléréséhez használt jelszót:

1. Csatlakozás a naplógyűjtő gazdagépre, és futtassa a következőt:

   docker exec -it <collector name> pure-pw passwd <ftp user>
   

2. Írja be az új jelszót, majd írja be újra a megerősítéshez.

3. Futtassa a következő parancsot a módosítás alkalmazásához:

   docker exec -it <collector name> pure-pw mkdb
   

A következő tartalmakat tekintheti meg:

• run_logs
• ssl_update
• config.json

Tanúsítványfájlok testreszabása

Ez az eljárás azt ismerteti, hogyan szabhatja testre a felhőfelderítési Docker-példány biztonságos kapcsolataihoz használt tanúsítványfájlokat.

1. Nyisson meg egy FTP-ügyfelet, és csatlakozzon a naplógyűjtő gazdagéphez.

2. Lépjen a ssl_update könyvtárba, és töltse fel az új tanúsítványfájlokat, beleértve a következő fájlokat:

   Fogadó típusa	Szükséges fájlok
   FTP	- pure-ftpd.pem: Tartalmazza a kulcs- és tanúsítványadatokat
   Syslog	- ca.pem: Az ügyfél tanúsítványának aláírásához használt hitelesítésszolgáltatói tanúsítvány. - server-key.pem és server-cert.pem: A naplógyűjtő tanúsítványa és kulcsa A rendszer TLS-en keresztül küldi el a syslog-üzeneteket a naplógyűjtőnek, ami kölcsönös TLS-hitelesítést igényel, beleértve az ügyfél- és kiszolgálótanúsítványok hitelesítését is.

   A fájlnevek megadása kötelező. Ha valamelyik fájl hiányzik, a frissítés meghiúsul.

3. Terminálablakban futtassa a következőt:

   docker exec -t <collector name> update_certs
   

   A kimenetnek a következő kódhoz hasonlóan kell megjelennie:

   root@DockerPlayground:~# docker exec -t columbus update_certs
   rsyslog: stopped
   rsyslog: started
   ftpd: stopped
   ftpd: started
   root@DockerPlayground:~#
   

4. Terminálablakban futtassa a következőt:

   docker exec <collector name> chmod -R 700 /etc/ssl/private/
   

A naplógyűjtő engedélyezése proxy mögött

Ha proxy mögött fut, előfordulhat, hogy a naplógyűjtő nem tud adatokat küldeni Felhőhöz készült Defender Appsbe. Ez például azért fordulhat elő, mert a naplógyűjtő nem bízik a proxy főtanúsítvány-szolgáltatójában, és nem tud csatlakozni Felhőhöz készült Microsoft Defender-alkalmazásokhoz a konfiguráció lekéréséhez vagy a kapott naplók feltöltéséhez.

Az alábbi eljárások bemutatják, hogyan engedélyezheti a naplógyűjtőt proxy mögött.

Tipp.

Előfordulhat, hogy módosítani szeretné a naplógyűjtő által a Sysloghoz vagy FTP-hez használt tanúsítványokat, vagy meg szeretné oldani a tűzfalak és proxyk kapcsolati problémáit a naplógyűjtőhöz. További információ: A naplógyűjtő FTP-konfigurációjának módosítása.

A naplógyűjtő beállítása proxy mögött

Győződjön meg arról, hogy végrehajtotta a Docker Windows vagy Linux rendszerű gépen való futtatásához szükséges lépéseket, és sikeresen letöltötte a Felhőhöz készült Defender Apps Docker-rendszerképet a gazdaszámítógépre.

További információ: Automatikus naplófeltöltés konfigurálása folyamatos jelentésekhez.

Docker-naplógyűjtő tároló létrehozásának ellenőrzése

Ellenőrizze, hogy a tároló létrejött-e, és fut-e. A rendszerhéjban futtassa a következőt:

docker ps

Az alábbihoz hasonló kimenetnek kell megjelennie:

A proxy legfelső szintű hitelesítésszolgáltatói tanúsítványának másolása a tárolóba

Másolja a hitelesítésszolgáltatói tanúsítványt a virtuális gépről a Felhőhöz készült Defender Apps-tárolóba. A következő példában a tároló neve Ubuntu-LogCollector , a CA-tanúsítvány neve Proxy-CA.crt.

Az alábbi parancs a tanúsítványt a futó tároló egyik mappájába másolja. Futtassa a parancsot az Ubuntu-gazdagépen:

docker cp Proxy-CA.crt Ubuntu-LogCollector:/var/adallom/ftp/discovery

A konfiguráció beállítása a hitelesítésszolgáltatói tanúsítvánnyal való működéshez

1. Lépjen be a tárolóba. Futtassa a következő parancsot a bash megnyitásához a naplógyűjtő tárolóban:

   docker exec -it Ubuntu-LogCollector /bin/bash
   

2. A tárolón belüli bash ablakból lépjen a Java jre mappába. A verzióval kapcsolatos elérési úttal kapcsolatos hibák elkerülése érdekében használja a következő parancsot:

   cd "$(find /opt/jdk/*/jre -name "bin" -printf '%h' -quit)"
   cd bin
   

3. Importálja a korábban másolt főtanúsítványt a felderítési mappából a Java KeyStore-ba, és adjon meg egy jelszót.

   Az alapértelmezett jelszó a következő changeit: . További információ: A Java KeyStore jelszavának módosítása.

   ./keytool --import --noprompt --trustcacerts --alias SelfSignedCert --file /var/adallom/ftp/discovery/Proxy-CA.crt --keystore ../lib/security/cacerts --storepass <password>
   

4. Ellenőrizze, hogy a tanúsítvány megfelelően lett-e importálva a CA-kulcstárba. Futtassa a következő parancsot az importálás során megadott alias (SelfSignedCert) kereséséhez:

   ./keytool --list --keystore ../lib/security/cacerts | grep self
   

Látnia kell az importált proxy hitelesítésszolgáltatói tanúsítványát. Példa:

Syslog-üzeneteket küldő IP-címek korlátozása a naplógyűjtőnek Linuxon

A Docker-rendszerkép biztonságossá tételéhez és annak biztosításához, hogy csak egy IP-cím küldhesse el a syslog-üzeneteket a naplógyűjtőnek, hozzon létre egy IP-táblaszabályt a gazdaszámítógépen, amely engedélyezi a bemeneti forgalmat, és az üzembe helyezéstől függően az adott portokon (például TCP/601 vagy UDP/514) érkező forgalmat elveti.

Az alábbi parancs egy példát mutat be arra, hogyan hozhat létre ip-táblaszabályt, amely hozzáadható a gazdagéphez. Ez a táblaszabály lehetővé teszi, hogy az "1.2.3.4" IP-cím csatlakozzon a naplógyűjtő tárolóhoz a 601-es TCP-porton keresztül, és minden más, más IP-címről érkező kapcsolatot ugyanazon a porton keresztül helyezzen el.

iptables -I DOCKER-USER \! --src 1.2.3.4 -m tcp -p tcp --dport 601 -j DROP

A naplógyűjtő beállítása az új konfigurációval való futtatásra

A tároló készen áll.

Futtassa a collector_config parancsot a naplógyűjtő létrehozása során használt API-jogkivonat használatával. Példa:

A parancs futtatásakor adja meg a saját API-jogkivonatát, például collector_config abcd1234abcd1234abcd1234abcd1234 ${CONSOLE} ${COLLECTOR}

Példa:

A naplógyűjtő mostantól képes kommunikálni a Felhőhöz készült Defender-alkalmazásokkal. Miután adatokat küldött Felhőhöz készült Defender-alkalmazásoknak, a naplógyűjtő állapota kifogástalan állapotról Csatlakozás változik. Példa:

Feljegyzés

Ha frissítenie kell a naplógyűjtő konfigurációját, például adatforrás hozzáadásához vagy eltávolításához, általában törölnie kell a tárolót, és újra végre kell hajtania az előző lépéseket.

Ennek elkerülése érdekében újra futtathatja a collector_config eszközt az Felhőhöz készült Defender Apps portálon létrehozott új API-jogkivonattal.

A Java KeyStore jelszavának módosítása

1. Állítsa le a Java KeyStore-kiszolgálót.

2. Nyisson meg egy bash shellt a tárolóban, és lépjen az appdata/conf mappába.

3. A kiszolgáló KeyStore-jelszavának módosításához futtassa a következőt:

   keytool -storepasswd -new newStorePassword -keystore server.keystore
   -storepass changeit
   

   Az alapértelmezett kiszolgálójelszó a következő changeit: .

4. A tanúsítvány jelszavának módosításához futtassa a következőt:

   keytool -keypasswd -alias server -keypass changeit -new newKeyPassword -keystore server.keystore -storepass newStorePassword
   

   Az alapértelmezett kiszolgálói alias a kiszolgáló.

5. Egy szövegszerkesztőben nyissa meg a server-install\conf\server\secured-installed.properties fájlt. Adja hozzá a következő kódsorokat, majd mentse a módosításokat:

   1. Adja meg a kiszolgáló új Java KeyStore-jelszavát: server.keystore.password=newStorePassword
   2. Adja meg a kiszolgáló új tanúsítványjelszót: server.key.password=newKeyPassword

6. Indítsa el a kiszolgálót.

A naplógyűjtő áthelyezése egy másik adatpartícióra Linuxon

Sok vállalatnak követelménye, hogy adatokat helyezzen át egy külön partícióra. Ez az eljárás azt ismerteti, hogyan helyezheti át a Felhőhöz készült Defender Apps Docker-naplógyűjtő lemezképeit egy adatpartícióba a Linux-gazdagépen.

Ez az eljárás azt írja le, hogy az adatokat egy adattár nevű partícióra helyezi át, és feltételezi, hogy már csatlakoztatta a partíciót. Példa:

Egy új partíció hozzáadása és konfigurálása a Linux-gazdagépen nem tartozik az útmutató hatókörébe.

A naplógyűjtő áthelyezése másik partícióra:

1. Állítsa le a Docker szolgáltatást. Futtatás:

   service docker stop
   

2. Helyezze át a naplógyűjtő adatait az új partícióra. Futtatás:

   mv /var/lib/docker /datastore/docker
   

3. Távolítsa el a régi Docker-tárkönyvtárat (/var/lib/docker), és hozzon létre egy szimbolikus hivatkozást az új könyvtárra (/datastore/docker). Futtatás:

   rm -rf /var/lib/docker && ln -s /datastore/docker /var/lib/
   

4. Indítsa el a Docker szolgáltatást. Futtatás:

   service docker start
   

5. Szükség esetén ellenőrizze a naplógyűjtő állapotát. Futtatás:

   docker ps
   

A naplógyűjtő lemez használatának vizsgálata Linuxon

Ez az eljárás azt ismerteti, hogyan tekintheti át a naplógyűjtő lemezhasználatát és helyét.

1. Azonosítsa annak a könyvtárnak az elérési útját, ahol a naplógyűjtő adatait tárolja. Futtatás:

   docker inspect <collector_name> | grep WorkDir
   

   Példa:

   

2. Kérje le a méretet a naplógyűjtő lemezén az azonosított elérési út használatával a "/work" utótag nélkül. Futtatás:

   du -sh /var/lib/docker/overlay2/<log_collector_id>/
   

   

   Feljegyzés

   Ha csak a lemez méretét kell ismernie, használja helyette a következő parancsot: docker ps -s

A naplógyűjtő áthelyezése akadálymentes gazdagépre

Szabályozott környezetekben blokkolható a Docker Hubshoz való hozzáférés, ahol a naplógyűjtő lemezképe fut. Ez megakadályozza, hogy Felhőhöz készült Defender alkalmazások importálják az adatokat a naplógyűjtőből, és megoldható a naplógyűjtő lemezképének akadálymentes gazdagépre való áthelyezése.

Ez az eljárás azt ismerteti, hogyan töltheti le a naplógyűjtő lemezképet a Docker Hubhoz hozzáféréssel rendelkező számítógéppel, és hogyan importálhatja azt a cél gazdagépre.

A letöltött rendszerkép importálható a privát adattárba vagy közvetlenül a gazdagépre. Ez az eljárás azt ismerteti, hogyan töltheti le a naplógyűjtő lemezképét a Windows-számítógépre, majd a WinSCP használatával helyezheti át a naplógyűjtőt a cél gazdagépre.

Előfeltételek

1. Győződjön meg arról, hogy telepítve van a Docker a gazdagépen. Használja például az alábbi letöltések egyikét:

   • https://download.docker.com/linux/ubuntu
   • https://download.docker.com/linux/centos/

2. A letöltés után a Docker offline telepítési útmutatójával telepítheti az operációs rendszert.

   Indítsa el a folyamatot a naplógyűjtő lemezképének exportálásával, majd importálja a lemezképet a cél gazdagépre.

A naplógyűjtő lemezképének exportálása a Docker Hubról

Az alábbi eljárások bemutatják, hogyan exportálhatja a naplógyűjtő rendszerképét Linux vagy Windows használatával.

A rendszerkép exportálása Linuxon

1. A Docker Hubhoz hozzáféréssel rendelkező Linux rendszerű számítógépeken futtassa az alábbi parancsot a Docker telepítéséhez és a naplógyűjtő lemezkép letöltéséhez.

   curl -o /tmp/MCASInstallDocker.sh https://adaprodconsole.blob.core.windows.net/public-files/MCASInstallDocker.sh && chmod +x /tmp/MCASInstallDocker.sh; /tmp/MCASInstallDocker.sh
   

2. Exportálja a naplógyűjtő rendszerképét. Futtatás:

   docker save --output /tmp/mcasLC.targ mcr.microsoft.com/mcas/logcollector
   chmod +r /tmp/mcasLC.tar
   

   Fontos

   Ügyeljen arra, hogy a kimeneti paraméterrel az STDOUT helyett fájlba írjon.

3. Töltse le a naplógyűjtő lemezképét Windows rendszerű számítógépére C:\mcasLogCollector\ a WinSCP használatával. Példa:

   

A rendszerkép exportálása Windows rendszeren

1. A Docker Hubhoz hozzáféréssel rendelkező Windows 10-számítógépen telepítse a Docker Desktopot.

2. Töltse le a naplógyűjtő rendszerképét. Futtatás:

   docker login -u caslogcollector -p C0llector3nthusiast
   docker pull mcr.microsoft.com/mcas/logcollector
   

3. Exportálja a naplógyűjtő rendszerképét. Futtatás:

   docker save --output C:\mcasLogCollector\mcasLC.targ mcr.microsoft.com/mcas/logcollector
   

   Fontos

   Ügyeljen arra, hogy a kimeneti paraméterrel az STDOUT helyett fájlba írjon.

A naplógyűjtő lemezképének importálása és betöltése a cél gazdagépre

Ez az eljárás azt ismerteti, hogyan továbbíthatja az exportált lemezképet a cél gazdagépre.

1. Töltse fel a naplógyűjtő rendszerképét a cél gazdagépre a következő alatt /tmp/: . Példa:

   

2. A cél gazdagépen importálja a naplógyűjtő lemezképét a Docker-lemezképtárba. Futtatás:

   docker load --input /tmp/mcasLC.tar
   

   Példa:

   

3. Ha szükséges, ellenőrizze, hogy az importálás sikeresen befejeződött-e. Futtatás:

   docker image ls
   

   Példa:

   

   Most már létrehozhatja a naplógyűjtőt a cél gazdagép rendszerképével.

Egyéni portok definiálása a Linuxon futó naplógyűjtők syslog- és FTP-fogadóihoz

Egyes szervezeteknek kötelező egyéni portokat meghatározniuk a Syslog- és FTP-szolgáltatásokhoz.

Adatforrás hozzáadásakor Felhőhöz készült Defender alkalmazásnapló-gyűjtők adott portszámokkal figyelik egy vagy több adatforrás forgalmi naplóit.

Az alábbi táblázat felsorolja a fogadók alapértelmezett figyelési portjait:

Fogadó típusa	Portok
Rendszernapló	* UDP/514 - UDP/51x * TCP/601 – TCP/60x
FTP	* TCP/21

Egyéni portok definiálásához kövesse az alábbi lépéseket:

1. A Microsoft Defender portálon válassza a Gépház. Ezután válassza a Cloud Apps lehetőséget.

2. A Cloud Discovery alatt válassza az Automatikus naplófeltöltés lehetőséget. Ezután válassza a Naplógyűjtők lapot.

3. A Naplógyűjtők lapon adjon hozzá vagy szerkesszen egy naplógyűjtőt, és az adatforrások frissítése után másolja a futtatási parancsot a párbeszédpanelről. Példa:

   

   Ha a megadott módon használja, a varázsló által biztosított parancs konfigurálja a naplógyűjtőt az 514/udp és az 515/udp port használatára. Példa:

   (echo <credentials>) | docker run --name LogCollector1 -p 514:514/udp -p 515:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
   

   Példa:

   

4. Mielőtt a parancsot a gazdaszámítógépen használaná, módosítsa a parancsot az egyéni portok használatára. Ha például úgy szeretné konfigurálni a naplógyűjtőt, hogy a 414-ös és a 415-ös UDP-portot használja, módosítsa a parancsot az alábbiak szerint:

   (echo <credentials>) | docker run --name LogCollector1 -p 414:514/udp -p 415:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
   

   Példa:

   

   Feljegyzés

   Csak a Docker-megfeleltetés módosul. A belsőleg hozzárendelt portok nem változnak, így a gazdagépen bármilyen figyelési portot választhat.

A naplógyűjtő által a Linuxon fogadott forgalom és naplóformátum ellenőrzése

Időnként előfordulhat, hogy az alábbiakhoz hasonló problémákat kell kivizsgálnia:

• A naplógyűjtők adatokat kapnak: Ellenőrizze, hogy a naplógyűjtők Syslog-üzeneteket kapnak-e a berendezésektől, és hogy a tűzfalak nem tiltják-e le.
• A fogadott adatok a megfelelő naplóformátumban találhatóak: Ellenőrizze a naplóformátumot, hogy segítsen az elemzési hibák elhárításában az Felhőhöz készült Defender Apps által várt és a berendezés által küldött naplóformátum összehasonlításával.

Az alábbi lépésekkel ellenőrizheti, hogy a naplógyűjtők fogadják-e a forgalmat:

1. Jelentkezzen be a Docker-tárolót üzemeltető kiszolgálóra.

2. Ellenőrizze, hogy a naplógyűjtő a következő módszerekkel fogad-e Syslog-üzeneteket:

   • Használjon tcpdump vagy hasonló parancsot az 514-ös port hálózati forgalmának elemzéséhez:

     tcpdump -Als0 port 514
     

     Ha minden megfelelően van konfigurálva, látnia kell a berendezések hálózati forgalmát. Példa:

     

   • Használjon netcat vagy hasonló parancsot a gazdaszámítógép hálózati forgalmának elemzéséhez:

     1. Telepítse a netcatet és a wgetet.

     2. Töltsön le egy minta naplófájlt a Microsoft Defender XDR-ből. Szükség esetén bontsa ki a naplófájlt.

        1. A Microsoft Defender XDR-ben a Cloud Apps alatt válassza a Cloud Discovery>Actions>Create Cloud Discovery pillanatkép-jelentést.

        2. Válassza ki az Adatforrás mezőben azt a forrást, amelyről naplófájlokat kíván feltölteni.

        3. Válassza a Nézet lehetőséget, és ellenőrizze, hogy a jobb gombbal kattintson a Mintanapló letöltése elemre, és másolja ki az URL-cím hivatkozását.

        4. Válassza a Mégse bezárása lehetőséget.>

     3. Futtatás:

        wget <URL_address_to_sample_log>
        

     4. Futtassa netcat az adatokat a naplógyűjtőbe való streameléshez.

        cat <path_to_downloaded_sample_log>.log | nc -w 0 localhost <datasource_port>
        

     Ha a gyűjtő megfelelően van konfigurálva, a naplóadatok megjelennek az üzenetfájlban, és nem sokkal azután, hogy feltöltik őket a Felhőhöz készült Defender Alkalmazások portálra.

   • Vizsgálja meg a releváns fájlokat a Felhőhöz készült Defender Apps Docker-tárolóban:

     1. Jelentkezzen be a tárolóba. Futtatás:

        docker exec -it <Container Name> bash
        

     2. Annak megállapítása, hogy a Rendszernapló-üzenetek az üzenetfájlba vannak-e írva. Futtatás:

        cat /var/adallom/syslog/<your_log_collector_port>/messages
        

     Ha minden megfelelően van konfigurálva, látnia kell a berendezések hálózati forgalmát. Példa:

     

     Feljegyzés

     A fájl írása addig folytatódik, amíg el nem éri a 40 KB-os méretet. Példa:

3. Tekintse át a címtárban lévő Felhőhöz készült Defender-alkalmazásokba /var/adallom/discoverylogsbackup feltöltött naplókat. Példa:

   

4. Ellenőrizze a naplógyűjtő által kapott naplóformátumot a Felhőhöz készült Defender Alkalmazások létrehozása naplógyűjtő varázslóban /var/adallom/discoverylogsbackup megadott mintanapló-formátummal összehasonlítva.

Az üzenetfájl kimenetének írása egy helyi fájlba

Ha saját mintanaplót szeretne használni, de nem fér hozzá a berendezéshez, az alábbi parancsokkal írja a naplógyűjtő syslog könyvtárában található üzenetfájl kimenetét a gazdagép egyik helyi fájljába:

docker exec CustomerLogCollectorName tail -f -q /var/adallom/syslog/<datasource_port>/messages > /tmp/log.log

Hasonlítsa össze a kimeneti fájlt (/tmp/log.log) a címtárban /var/adallom/discoverylogsbackup tárolt üzenettel.

A naplógyűjtő verziójának frissítése

A naplógyűjtő frissítésekor:

• Az új verzió telepítése előtt állítsa le a naplógyűjtőt, és távolítsa el az aktuális lemezképet.
• Az új verzió telepítése után frissítse a tanúsítványfájlokat.

Következő lépések

A Cloud Discovery üzembe helyezése

Felhasználói tevékenység szabályzatai

Ha bármilyen problémába ütközik, azért vagyunk itt, hogy segítsünk. A termékproblémával kapcsolatos segítségért vagy támogatásért nyisson meg egy támogatási jegyet.