Automatikus naplófeltöltés konfigurálása a Dockerrel az Azure-ban

  • Cikk

Megjegyzés:

Felhőhöz készült Microsoft Defender Alkalmazások mostantól a A Microsoft 365 Defender, amely korrelál a Microsoft Defender-csomag különböző jeleivel, és incidensszintű észlelést, vizsgálatot és hatékony válaszképességeket biztosít. További információ: Felhőhöz készült Microsoft Defender Alkalmazások a Microsoft 365 Defenderben.

Az automatikus naplófeltöltést Felhőhöz készült Defender-alkalmazásokban konfigurálhatja a folyamatos jelentésekhez az Ubuntu, Red Hat Enterprise Linux (RHEL) vagy CentOS rendszeren futó Docker használatával az Azure-ban.

Előfeltételek

  • Operációs rendszer:

    • Ubuntu 14.04, 16.04, 18.04 és 20.04
    • RHEL 7.2 vagy újabb
    • CentOS 7.2 vagy újabb

  • Lemezterület: 250 GB

  • CPU-magok: 2

  • CPU-architektúra: Intel® 64 és AMD 64

  • RAM: 4 GB

  • A tűzfal beállítása a hálózati követelményekben leírtak szerint

Megjegyzés:

Ha van egy meglévő naplógyűjtője, és el szeretné távolítani, mielőtt újra üzembe helyezné, vagy egyszerűen csak el szeretné távolítani, futtassa a következő parancsokat:

docker stop <collector_name>
docker rm <collector_name>

A naplógyűjtő teljesítménye

A naplógyűjtő legfeljebb 10 adatforrásból álló, óránként legfeljebb 50 GB-os naplókapacitást képes kezelni. A naplógyűjtési folyamat legfontosabb szűk keresztmetszetei a következők:

  • Hálózati sávszélesség – A hálózati sávszélesség határozza meg a naplófeltöltés sebességét.

  • A virtuális gép I/O-teljesítménye – Meghatározza, hogy a naplók milyen sebességgel legyenek megírva a naplógyűjtő lemezére. A naplógyűjtő beépített biztonsági mechanizmussal rendelkezik, amely nyomon követi, hogy a naplók milyen sebességgel érkeznek, és ezt az értéket összehasonlítja a feltöltési sebességgel. Hálózati torlódás esetén a naplógyűjtő megkezdi a naplófájlok eldobását. Ha a beállítás általában meghaladja az óránkénti 50 GB-ot, javasoljuk, hogy ossza fel a forgalmat több naplógyűjtő között.

Megjegyzés:

Ha több mint 10 adatforrásra van szüksége, javasoljuk, hogy ossza fel az adatforrásokat több naplógyűjtő között.

Beállítás és konfigurálás

1. lépés – Webportál konfigurálása: Adatforrások megadása és naplógyűjtőhöz társítása

  1. A Microsoft 365 Defender portálon válassza a Gépház. Ezután válassza a Cloud Apps lehetőséget.

  2. A Cloud Discovery alatt válassza az Automatikus naplófeltöltés lehetőséget. Ezután válassza az Adatforrások lapot.

  3. Minden olyan tűzfalhoz vagy proxyhoz, amelyről naplókat szeretne feltölteni, hozzon létre egy megfelelő adatforrást.

    1. Kattintson az Adatforrás hozzáadása lehetőségre.
      Add a data source.
    2. Nevezze el a proxyt vagy a tűzfalat.
      Name for proxy or firewall.
    3. Válassza ki a készüléket a Forrás listáról. Ha egyéni naplóformátumot választ egy olyan hálózati berendezés használatához, amely nem szerepel a listán, a konfigurációs utasításokért tekintse meg az egyéni naplóelemző használata című témakört.
    4. Hasonlítsa össze a naplót a várt naplóformátum mintájával. Ha a naplófájl formátuma nem egyezik meg a mintával, akkor az adatforrást másként kell hozzáadnia.
    5. Állítsa be a fogadó típusát FTP, FTPS, Syslog – UDP vagy Syslog – TCP vagy Syslog – TLS értékre.

    Megjegyzés:

    A biztonságos átviteli protokollokkal (FTPS és Syslog – TLS) való integrációhoz gyakran további beállításokra vagy a tűzfalra/proxyra van szükség.

    f. Minden olyan tűzfal és proxy esetében ismételje meg a műveletet, amelynek a naplói alkalmasak a hálózati forgalom meghatározására. Javasoljuk, hogy hálózati eszközönként egy dedikált adatforrást állítson be, amely lehetővé teszi a következőket:

    • Vizsgálat céljából külön monitorozza az egyes eszközök állapotát.
    • Ha az egyes eszközöket egy másik felhasználói szegmens használja, tekintse át az árnyék informatikai felderítési lehetőségeit eszközenként.

  4. Lépjen a lap felső részén található Naplógyűjtők lapra.

    1. Kattintson a Naplógyűjtő felvétele gombra.
    2. Nevezze el a naplógyűjtőt.
    3. Adja meg a Docker üzembe helyezéséhez használni kívánt gép állomás IP-címét (privát IP-címét). A gazdagép IP-címe lecserélhető a gép nevére, ha van egy DNS-kiszolgáló (vagy azzal egyenértékű), amely feloldja a gazdagép nevét.
    4. Jelölje ki a gyűjtőhöz csatlakozni kívánt összes adatforrást, és a konfiguráció mentéséhez kattintson a Frissítés gombra.
      Select data sources.

  5. További üzembe helyezési információk jelennek meg. Másolja a futtatási parancsot a párbeszédpanelről. A vágólap ikonja a másolás használatával is használható. copy to clipboard icon.

  6. Exportálja a várt adatforrás-konfigurációt. Ez a konfiguráció azt ismerteti, hogyan kell beállítani a naplóexportálást a berendezésekben.

    Create log collector.

    Megjegyzés:

    • Egy naplógyűjtő több adatforrás kezelésére is alkalmas.
    • Másolja ki a képernyő tartalmát, mert szüksége lesz az adatokra, amikor konfigurálja a naplógyűjtőt az Felhőhöz készült Defender-alkalmazásokkal való kommunikációra. Ha a Syslog fogadótípust választotta, akkor az információk között azt is megtalálja, hogy a Syslog-figyelő melyik portot figyeli.
    • A naplóadatokat FTP-en keresztül első alkalommal küldő felhasználók számára javasoljuk az FTP-felhasználó jelszavának módosítását. További információ: Az FTP-jelszó módosítása.

2. lépés – A gép üzembe helyezése az Azure-ban

Megjegyzés:

Az alábbi lépések az Ubuntuban történő üzembe helyezést írják le. A többi platform üzembe helyezési lépései kissé eltérőek.

  1. Hozzon létre egy új Ubuntu-gépet az Azure-környezetben.

  2. A gép üzembe helyezése után nyissa meg a portokat a következővel:

    1. Gépi nézetben válassza ki a megfelelő felületet a gépi nézetben, és kattintson rá duplán.
    2. Nyissa meg a Hálózati biztonsági csoportot , és válassza ki a megfelelő hálózati biztonsági csoportot.
    3. Nyissa meg a bejövő biztonsági szabályokat, és kattintson a Hozzáadás gombra.Add inbound security rules.
    4. Adja hozzá a következő szabályokat ( Speciális módban):
    Name Célporttartományok Protokoll Forrás Destination
    caslogcollector_ftp 21 TCP Your appliance's IP address's subnet Bármelyik
    caslogcollector_ftp_passive 20000-20099 TCP Your appliance's IP address's subnet Bármelyik
    caslogcollector_syslogs_tcp 601-700 TCP Your appliance's IP address's subnet Bármelyik
    caslogcollector_syslogs_udp 514-600 UDP Your appliance's IP address's subnet Bármelyik

    Ubuntu Azure rules.

  3. Térjen vissza a géphez, és kattintson a Csatlakozás gombra egy terminál megnyitásához a gépen.

  4. Váltás gyökérjogjogokra a következő használatával sudo -i: .

  5. Ha elfogadja a szoftverlicenc feltételeit, távolítsa el a régi verziókat, és telepítse a Docker CE-t a környezetének megfelelő parancsok futtatásával:

  1. Távolítsa el a Docker régi verzióit: yum erase docker docker-engine docker.io

  2. A Docker-motor előfeltételeinek telepítése: yum install -y yum-utils

  3. Docker-adattár hozzáadása:

    yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
yum makecache

  4. Telepítse a Docker-motort: yum -y install docker-ce

  5. A Docker indítása

    systemctl start docker
systemctl enable docker

  6. Docker telepítésének tesztelése: docker run hello-world

  1. A Microsoft 365 Defender portáljának Naplógyűjtő létrehozása ablakában másolja a parancsot a gyűjtő konfigurációjának importálásához az üzemeltető gépen:

    Copy command to import collector configuration on hosting machine.

  2. Futtassa a parancsot a naplógyűjtő üzembe helyezéséhez.

    (echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='192.168.1.1'" -e "PROXY=192.168.10.1:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter

    Ubuntu proxy.

  3. A naplógyűjtő megfelelő működésének ellenőrzéséhez futtassa a következő parancsot: Docker logs <collector_name>. A következő eredményt kell kapnia: Sikeresen befejeződött!

    Command to verify log collector is running properly.

3. lépés – A hálózati berendezések helyszíni konfigurálása

Konfigurálja a hálózati tűzfalakat és proxykat, hogy rendszeresen exportálják a naplókat az FTP-könyvtár dedikált Syslog-portjára a párbeszédpanel irányainak megfelelően. Például:

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

4. lépés – A sikeres üzembe helyezés ellenőrzése a Felhőhöz készült Defender Apps portálon

Ellenőrizze a gyűjtő állapotát a Naplógyűjtő táblában, és győződjön meg arról, hogy az állapot Csatlakozás. Ha létrejött, lehetséges, hogy a naplógyűjtő kapcsolata és elemzése még nem fejeződött be.

Verify that the collector status is Connected.

A szabályozási naplóba is léphet, és ellenőrizheti, hogy a naplók rendszeresen fel vannak-e töltve a portálra.

Másik lehetőségként a következő parancsokkal ellenőrizheti a naplógyűjtő állapotát a Docker-tárolóból:

  1. Jelentkezzen be a tárolóba a következő paranccsal: docker exec -it <Container Name> bash
  2. Ellenőrizze a naplógyűjtő állapotát a következő paranccsal: collector_status -p

Ha az üzembe helyezés során problémákat tapasztal, tekintse meg a Cloud Discovery hibaelhárítását.

Nem kötelező – Egyéni folyamatos jelentések létrehozása

Ellenőrizze, hogy a naplók Felhőhöz készült Defender-alkalmazásokba vannak-e feltöltve, és hogy a jelentések létrejönnek-e. Az ellenőrzés után hozzon létre egyéni jelentéseket. Egyéni felderítési jelentéseket hozhat létre az Azure Active Directory felhasználói csoportjai alapján. Ha például látni szeretné a marketingosztály felhőbeli használatát, importálja a marketingcsoportot a felhasználói csoport importálása funkcióval. Ezután hozzon létre egy egyéni jelentést ehhez a csoporthoz. A jelentéseket az IP-címcímke vagy AZ IP-címtartományok alapján is testre szabhatja.

  1. A Microsoft 365 Defender portálon válassza a Gépház. Ezután válassza a Cloud Apps lehetőséget.

  2. A Cloud Discovery alatt válassza a Folyamatos jelentések lehetőséget.

  3. Kattintson a Jelentés létrehozása gombra, és töltse ki a mezőket.

  4. A Szűrők csoportban adatforrás, importált felhasználói csoport vagy IP-címcímkék és -tartományok alapján szűrheti az adatokat.

    Megjegyzés:

    Ha szűrőket alkalmaz a folyamatos jelentésekre, a kijelölés nem kizárt. Ha például szűrőt alkalmaz egy adott felhasználói csoportra, akkor csak az adott felhasználói csoport szerepel a jelentésben.

    Custom continuous report.

Következő lépések

A naplógyűjtő FTP-konfigurációjának módosítása

Ha bármilyen problémába ütközik, azért vagyunk itt, hogy segítsünk. A termékproblémával kapcsolatos segítségért vagy támogatásért nyisson meg egy támogatási jegyet.