Condividi tramite

[Deprecato] Connettore VMware vCenter per Microsoft Sentinel

  • Articolo

Importante

La raccolta di log da molti dispositivi e appliance è ora supportata da Common Event Format (CEF) tramite AMA, syslog tramite AMA o log personalizzati tramite il connettore dati AMA in Microsoft Sentinel. Per altre informazioni, vedere Trovare il connettore dati di Microsoft Sentinel.

Il connettore vCenter consente di connettere facilmente i log del server vCenter con Microsoft Sentinel. In questo modo è possibile ottenere maggiori informazioni sui data center dell'organizzazione e migliorare le funzionalità operative di sicurezza.

Questo contenuto è generato automaticamente. Per modifiche, contattare il provider di soluzioni.

Attributi connettore

Attributo connettore Descrizione
Tabelle Log Analytics vcenter_CL
Supporto regole di raccolta dati Non è al momento supportato
Supportata da: Microsoft Corporation

Esempi di query

Totale eventi in base a tipo di evento

vCenter 

| summarize count() by EventType

accedere al/disconnettersi dal server vCenter

vCenter 

| where EventType in ('UserLogoutSessionEvent','UserLoginSessionEvent') 

| summarize count() by EventType,EventID,UserName,UserAgent 

| top 10 by count_

Prerequisiti

Per eseguire l'integrazione con [Deprecato] VMware vCenter, assicurarsi di disporre di:

  • Includere prerequisiti personalizzati se la connettività richiede: altrimenti eliminare le dogane: Descrizione per qualsiasi prerequisito personalizzato

Istruzioni per l’installazione di Vendor

NOTA: per funzionare come previsto questo connettore dati dipende da un parser basato su una funzione Kusto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Log di Microsoft Sentinel, fare clic su Funzioni e cercare l'alias VMware vCenter e caricare il codice della funzione o fare clic qui, nella seconda riga della query immettere i nomi host dei dispositivi VMware vCenter e qualsiasi altro identificatore univoco per il logstream. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.

  1. Se la soluzione vCenter non è stata installata da ContentHub, seguire la procedura per usare l'alias della funzione Kusto, vCenter
  1. Installare e caricare l'agente per Linux

È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux.

  1. Configurare i log da raccogliere

Seguire la procedura di configurazione seguente per ottenere i log del server vCenter in Microsoft Sentinel. Per informazioni più dettagliate su questi attributi, consultare la documentazione relativa a Monitoraggio di Azure. Per i log del server vCenter, si verificano problemi durante l'analisi dei dati in base ai dati dell'agente OMS usando le impostazioni predefinite. È quindi consigliabile acquisire i log nella tabella personalizzata vcenter_CL seguendo le istruzioni riportate di seguito.

  1. Accedere al server in cui è stato installato l'agente OMS.

  2. Scaricare il file di configurazione vCenter.conf wget -v https://aka.ms/sentinel-vcenteroms-conf -O vcenter.conf

  3. Copiare la cartella vcenter.conf to the /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp vcenter.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Modificare vcenter.conf come indicato di seguito:

    a. vcenter.conf usa la porta 22033 per impostazione predefinita. Verificare che questa porta non venga usata da nessun'altra origine nel server

    b. Se si desidera modificare la porta predefinita per vcenter.conf, assicurarsi di non usare le porte predefinite dell'agente di analisi /log di Azure (ad esempio CEF usa la porta TCP 25226 o 25224)

    c. sostituire workspace_id con il valore reale dell'ID area di lavoro (righe 13.14.15.18)

  5. Salvare le modifiche e riavviare l'agente di Azure Log Analytics per il servizio Linux con il comando seguente: sudo /opt/microsoft/omsagent/bin/service_control restart

  6. Modificare il file /etc/rsyslog.conf : aggiungere il modello seguente preferibilmente nella sezione delle direttive inizio/before

     $template vcenter,"%timestamp% %hostname% %msg%\ n"

Nota: non c'è spazio tra le barre(\) e il carattere 'n' nel comando precedente.

  1. Creare un file conf personalizzato in /etc/rsyslog.d/ ad esempio 10-vcenter.conf e aggiungere le condizioni di filtro seguenti.

Scaricare il file di configurazione 10-vCenter.conf

 With an added statement you will need to create a filter which will specify the logs coming from the vcenter server to be forwarded to the custom table.

 reference: [Filter Conditions — rsyslog 8.18.0.master documentation](https://rsyslog.readthedocs.io/en/latest/configuration/filters.html)

 Here is an example of filtering that can be defined, this is not complete and will require additional testing for each installation.
	 if $rawmsg contains "vcenter-server" then @@127.0.0.1:22033;vcenter
	 & stop 
	 if $rawmsg contains "vpxd" then @@127.0.0.1:22033;vcenter
	 & stop

  1. Riavviare rsyslog systemctl restart rsyslog

  2. Configurare e connettere i dispositivi vCenter

Seguire queste istruzioni per configurare vCenter per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, visitare la soluzione correlata in Azure Marketplace.