Connettore VMware vCenter per Microsoft Sentinel
Il connettore vCenter consente di connettere facilmente i log del server vCenter con Microsoft Sentinel. In questo modo è possibile ottenere maggiori informazioni sui data center dell'organizzazione e migliorare le funzionalità operative di sicurezza.
Si tratta di contenuto generato automaticamente. Per le modifiche, contattare il provider di soluzioni.
attributi Connessione or
| Attributo Connessione or | Descrizione |
|---|---|
| Tabelle di Log Analytics | vCenter_CL |
| Supporto delle regole di raccolta dati | Non è al momento supportato |
| Supportata da: | Microsoft Corporation |
Esempi di query
Totale eventi per tipo di evento
vCenter
| summarize count() by EventType
accedere al server vCenter
vCenter
| where EventType in ('UserLogoutSessionEvent','UserLoginSessionEvent')
| summarize count() by EventType,EventID,UserName,UserAgent
| top 10 by count_
Istruzioni di installazione fornitore
NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Log di Microsoft Sentinel, fare clic su Funzioni e cercare l'alias VMware vCenter e caricare il codice della funzione o fare clic qui, nella seconda riga della query immettere i nomi host dei dispositivi VMware vCenter e qualsiasi altro identificatore univoco per il logstream. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.
- Se la soluzione vCenter non è stata installata da ContentHub, seguire la procedura per usare l'alias della funzione Kusto, vCenter
- Installare ed eseguire l'onboarding dell'agente per Linux
È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.
I log syslog vengono raccolti solo dagli agenti Linux .
- Configurare i log da raccogliere
Seguire la procedura di configurazione seguente per ottenere i log del server vCenter in Microsoft Sentinel. Per altri dettagli su questi passaggi, vedere la documentazione di Monitoraggio di Azure. Per i log del server vCenter, si verificano problemi durante l'analisi dei dati in base ai dati dell'agente OMS usando le impostazioni predefinite. È quindi consigliabile acquisire i log nella tabella personalizzata vCenter_CL seguendo le istruzioni riportate di seguito.
Accedere al server in cui è stato installato l'agente OMS.
Scaricare il file di configurazione vCenter.conf wget -v https://aka.ms/sentinel-vcenteroms-conf -O vcenter.conf
Copiare vcenter.conf nella cartella /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/ . cp vcenter.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Modificare vcenter.conf come indicato di seguito:
a. vcenter.conf usa la porta 22033 per impostazione predefinita. Verificare che questa porta non venga usata da nessun'altra origine nel server
b. Se si vuole modificare la porta predefinita per vcenter.conf , assicurarsi di non usare le porte predefinite dell'agente di analisi /log di Azure, ad esempio CEF usa la porta TCP 25226 o 25224.
c. sostituire workspace_id con il valore reale dell'ID area di lavoro (righe 13.14.15.18)
Salvare le modifiche e riavviare l'agente di Azure Log Analytics per il servizio Linux con il comando seguente: sudo /opt/microsoft/omsagent/bin/service_control restart
Modificare il file /etc/rsyslog.conf: aggiungere il modello seguente preferibilmente alla sezione iniziale/prima delle direttive $template vcenter,"%timestamp% %hostname% %msg%\n"
Creare un file conf personalizzato in /etc/rsyslog.d/ ad esempio 10-vcenter.conf e aggiungere le condizioni di filtro seguenti.
Con un'istruzione aggiunta è necessario creare un filtro che specifichi i log provenienti dal server vcenter da inoltrare alla tabella personalizzata.
reference: Filter Conditions — rsyslog 8.18.0.master documentation
Di seguito è riportato un esempio di filtro che può essere definito, che non è completo e richiederà test aggiuntivi per ogni installazione. se $rawmsg contiene "vcenter-server", @@127.0.0.1:22033; vcenter & stop se $rawmsg contiene "vpxd" e quindi @@127.0.0.1:22033; vcenter & stop
Riavviare rsyslog systemctl restart rsyslog
Configurare e connettere i dispositivi vCenter
Seguire queste istruzioni per configurare vCenter per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.
Passaggi successivi
Per altre informazioni, vedere la soluzione correlata in Azure Marketplace.