Azure Monitor エージェントを使用して Syslog と CEF のメッセージを Microsoft Sentinel に取り込む

この記事では、AMA 経由の Syslog コネクタと AMA 経由の Common Event Format (CEF) コネクタを使って、Linux マシンから、またネットワークとセキュリティ デバイスおよびアプライアンスから、Common Event Format (CEF) のものを含む Syslog メッセージをすばやくフィルター処理して取り込む方法について説明します。 これらのデータ コネクタの詳細については、「Microsoft Sentinel 用の AMA を介した Syslog と AMA を介した Common Event Format (CEF)」を参照してください。

前提条件

開始する前に、リソースを構成し、このセクションで説明されている適切なアクセス許可を取得する必要があります。

Microsoft Sentinel の前提条件

適切な Microsoft Sentinel ソリューションをインストールし、この記事の手順を完了するためのアクセス許可があることを確認します。

• Microsoft Sentinel のコンテンツ ハブから、適切なソリューション、すなわち Syslog または Common Event Format をインストールします。 詳細については、「Microsoft Sentinel のすぐに利用できるコンテンツを検出して管理する」を参照してください。

• ご使用の Azure アカウントには、次の Azure ロールベースのアクセス制御 (Azure RBAC) の各ロールが必要です。

  組み込みのロール	Scope	理由
  - Virtual Machine Contributor - Azure Connected Machine    リソース管理者	仮想マシン (VM) Virtual Machine Scale Sets Azure Arc 対応サーバー	エージェントをデプロイするため
  次のアクションを含む任意のロール Microsoft.Resources/deployments/*	サブスクリプション Resource group 既存のデータ収集ルール	Azure Resource Manager テンプレートをデプロイするには
  Monitoring Contributor	サブスクリプション Resource group 既存のデータ収集ルール	データ収集ルールを作成または編集するには

ログ フォワーダーの前提条件

ログ フォワーダーからメッセージを収集する場合は、次の前提条件が適用されます。

• ログを収集するには、指定された Linux VM (ログ フォワーダー) が必要です。

  • Azure portal で Linux VM を作成する。
  • Azure Monitor エージェントでサポートされている Linux オペレーティング システム。

• ログ フォワーダーが Azure 仮想マシン "でない" 場合、Azure Arc Connected Machine エージェントがインストールされている必要があります。

• Linux ログ フォワーダー VM に Python 2.7 または 3 がインストールされている必要があります。 python --version または python3 --version コマンドを使用して確認してください。 Python 3 を使用している場合は、マシンで既定のコマンドとして設定されていることを確認するか、'python' ではなく 'python3' コマンドを使用してスクリプトを実行します。

• ログ フォワーダーでは、syslog-ng または rsyslog デーモンのいずれかが有効になっている必要があります。

• ログ フォワーダーの領域要件については、「Azure Monitor エージェントのパフォーマンス ベンチマーク」を参照してください。 また、スケーラブルなインジェストの設計に関する記載を含むこのブログ投稿も確認することをお勧めします。

• ログ ソース、セキュリティ デバイスとアプライアンスは、ローカル Syslog デーモンではなく、ログ フォワーダーの Syslog デーモンにログ メッセージを送信するように構成する必要があります。

マシンのセキュリティの前提条件

組織のセキュリティ ポリシーに従って、マシンのセキュリティを構成してください。 たとえば、企業のネットワーク セキュリティ ポリシーに合わせてネットワークを構成し、デーモンのポートとプロトコルを要件に合わせて変更することができます。 マシンのセキュリティ構成を向上させるには、Azure で VM をセキュリティで保護するか、ネットワーク セキュリティに関するこれらのベスト プラクティスを確認してください。

ログ フォワーダーがクラウドにあるなどの理由で、デバイスが TLS 経由で Syslog および CEF ログを送信する場合、TLS で通信するように Syslog デーモン (rsyslog または syslog-ng) を構成する必要があります。 詳細については、以下を参照してください:

• TLS を使用した Syslog トラフィックの暗号化 – rsyslog
• TLS を使用したログ メッセージの暗号化 – syslog-ng

データコネクターを構成する

AMA 経由の Syslog データ コネクタまたは AMA 経由の Common Event Format (CEF) データ コネクタの設定プロセスには、次の 2 つの手順が含まれます。

1. 次のいずれかの方法で、Azure Monitor エージェントをインストールし、データ収集ルール (DCR) を作成します。
   • Azure または Defender ポータル
   • Azure Monitor ログ インジェスト API
2. ログ フォワーダーを使って他のマシンからログを収集する場合は、ログ フォワーダーで "インストール" スクリプトを実行して、他のマシンからのメッセージをリッスンするように Syslog デーモンを構成し、必要なローカル ポートを開きます。

手順に適したタブを選択します。

Azure または Defender ポータル

データ収集ルールを作成する

開始するには、Microsoft Sentinel でデータ コネクタを開き、データ コネクタ ルールを作成します。

1. Azure portal の Microsoft Sentinel の場合、[構成] の下にある [データ コネクタ] を選びます。
   Defender ポータルの Microsoft Sentinel の場合は、[Microsoft Sentinel]>[構成]>[データ コネクタ] を選びます。

2. Syslog の場合、[検索] ボックスに「Syslog」と入力します。 結果から AMA 経由の Syslog コネクタを選びます。
   CEF の場合、[検索] ボックスに「CEF」と入力します。 結果から、AMA 経由の Common Event Format (CEF) コネクタを選びます。

3. 詳細ウィンドウで [コネクタ ページを開く] を選択します。

4. [構成] 領域で、[+データ収集ルールの作成] を選びます。

   

   

5. [基本] タブで次の操作を行います。

   • DCR 名を入力します。
   • サブスクリプションを選択します。
   • DCR を置くリソース グループを選びます。

   

6. [次へ: リソース]> を選択します。

VM のリソースの定義

[リソース] タブで、AMA をインストールするマシン (この場合はログ フォワーダー マシン) を選択します。 ログ フォワーダーが一覧に表示されない場合は、Azure Connected Machine エージェントがインストールされていない可能性があります。

1. 使用可能なフィルターまたは検索ボックスを使用して、ログ フォワーダー VM を見つけます。 一覧でサブスクリプションを展開するとそのリソース グループを表示でき、リソース グループを展開するとその VM を表示できます。

2. AMA をインストールするログ フォワーダー VM を選択します。 VM 名にマウス ポインターを合わせると、その横にチェック ボックスが表示されます。

   

3. 変更内容を確認し、[Next: Collect > (次へ: 収集 >) を選択します。

機能と重大度の選択

Syslog メッセージと CEF メッセージの両方に同じ機能を使用すると、データ インジェストで重複が発生する場合があります。 詳細については、「データ インジェストの重複を回避する」を参照してください。

1. [収集] タブで、各機能の最小ログ レベルを選択します。 ログ レベルを選択すると、Microsoft Sentinel によって、選択したレベルと、重大度がより高いその他のレベルのログが収集されます。 たとえば、[LOG_ERR] を選択すると、Microsoft Sentinel によって、LOG_ERR、LOG_CRIT、LOG_ALERT、LOG_EMERG レベルのログが収集されます。

   

2. 選択内容を確認し、[次へ: 確認と作成] を選択します。

ルールを確認して作成する

すべてのタブを完了したら、入力した内容を確認し、データ収集ルールを作成します。

1. [レビューと作成] タブで、 [作成] を選択します。

   

   コネクタにより、DCR の作成時に選択したマシンに Azure Monitor エージェントがインストールされます。

2. Azure portal または Microsoft Defender ポータルで通知を確認し、DCR が作成されてエージェントがインストールされるタイミングを確認します。

3. コネクタ ページで [最新の情報に更新] を選択して、DCR が一覧に表示されていることを確認します。

ログ インジェスト API

Azure Monitor エージェントのインストール

Azure Monitor のドキュメントの適切な手順に従って、ログ フォワーダーに Azure Monitor エージェントをインストールします。 Windows 用ではなく、必ず Linux 用の手順を使用してください。

• PowerShell を使用して AMA をインストールする
• Azure CLI を使用して AMA をインストールする
• Azure Resource Manager テンプレートを使用して AMA をインストールする

Azure Monitor ログ インジェスト API を使用して、データ収集ルール (DCR) を作成できます。 詳細については、「Azure Monitor のデータ収集ルール」を参照してください。

データ収集ルールを作成する

データ収集ルールの JSON ファイルを作成し、API 要求を作成して、要求を送信します。

1. JSON 形式で DCR ファイルを準備します。 このファイルの内容は、API 要求の要求本文になります。

   例については、「Syslog/CEF DCR 作成要求本文」をご覧ください。 同じデータ収集ルールで Syslog メッセージと CEF メッセージを収集するには、「同じ DCR での Syslog と CEF のストリーミング」の例を参照してください。

   • streams フィールドが、Syslog メッセージの場合は Microsoft-Syslog に、 また CEF メッセージの場合は Microsoft-CommonSecurityLog に設定されていることを確認します。
   • facilityNames と logLevels パラメーターにフィルターと機能のログ レベルを追加します。 「機能とログ レベルのセクションの例」を参照してください。

2. 任意の REST API クライアントで API 要求を作成します。

   1. 要求 URL とヘッダーについては、次の要求 URL とヘッダーをコピーします。

      PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
      

      • {subscriptionId} と {resourceGroupName} プレースホルダーは適切な値に置き換えます。
      • {dataCollectionRuleName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

   2. 要求本文については、(上のステップ 1 で) 作成した DCR JSON ファイルの内容をコピーして、要求本文に貼り付けます。

3. 要求を送信します。

   受信する必要がある応答の例については、「Syslog/CEF DCR 作成応答」をご覧ください。

DCR をログ フォワーダーに関連付ける

次に、ログ フォワーダーをホストする VM リソースに DCR を結び付ける DCR の関連付け (DCRA) を作成する必要があります。

1. 任意の REST API クライアントで API 要求を作成します。

2. 要求 URL とヘッダーについては、次の要求 URL とヘッダーをコピーします。

   PUT 
   https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
   

   • {subscriptionId}、{resourceGroupName}､{virtualMachineName} プレースホルダーを適切な値に置き換えます。
   • {dataCollectionRuleAssociationName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

3. 要求本文については、次の要求本文をコピーします。

   {
     "properties": {
       "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
     }
   }
   

   • {subscriptionId} と {resourceGroupName} プレースホルダーは適切な値に置き換えます。
   • {dataCollectionRuleName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

4. 要求を送信します。

機能とログ レベルのセクションの例

機能とログ レベルの設定について、次の例をご確認ください。 name フィールドにはフィルター名が含まれます。

CEF メッセージのインジェストの場合、"streams" の値は "Microsoft-Syslog" ではなく "Microsoft-CommonSecurityLog" にする必要があります。

この例では、cron、daemon、local0、local3、および uucp の各機能から Warning、Error、Critical、Alert、および Emergency の各ログ レベルのイベントを収集します。

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

同じ DCR での Syslog と CEF のストリーミング

この例では、同じ DCR で Syslog と CEF のメッセージを収集する方法を示します。

DCR は、次の場合に CEF イベント メッセージを収集します。

• Info、Notice、Warning、Error、Critical、Alert、および Emergency の各ログ レベルの authpriv および mark 機能
• Warning、Error、Critical、Alert、および Emergency の各ログ レベルの daemon 機能

次の場合に Syslog イベント メッセージを収集します。

• Critical、Alert、および Emergency の各ログ レベルの kern、local0、local5、および news 機能
• Emergency ログ レベルの mail および uucp 機能

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

"インストール" スクリプトを実行する

ログ フォワーダーを使用している場合、他のマシンからのメッセージをリッスンするように Syslog デーモンを構成し、必要なローカル ポートを開きます。

1. コネクタ ページで、[次のコマンドを実行して、CEF コレクターをインストールして適用します] の下に表示されるコマンド ラインをコピーします。

   

   ここからコピーすることもできます。

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. AMA をインストールしたばかりのログ フォワーダー マシンにサインインします。

3. 最後の手順でコピーしたコマンドを貼り付けて、インストール スクリプトを起動します。
   スクリプトは、必要なプロトコルを使用するように rsyslog または syslog-ng デーモンを構成し、デーモンを再起動します。 このスクリプトは、UDP および TCP プロトコルの両方で受信メッセージをリッスンするために、ポート 514 を開きます。 この設定を変更するには、マシン上で実行されているデーモンの種類に応じた Syslog デーモン構成ファイルを参照してください。

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Note

   エージェントが機能できないディスクがいっぱいになるシナリオを回避するため、不要なログを格納しないように syslog-ng または rsyslog の構成を設定することをお勧めします。 ディスクがいっぱいになるシナリオでは、インストールされている AMA の機能が中断されます。 詳細については、「RSyslog」または「Syslog-ng」を参照してください。

接続をテストする

Linux マシンまたはセキュリティ デバイスとアプライアンスからのログ メッセージが Microsoft Sentinel に取り込まれたことを確認します。

1. syslog デーモンが UDP ポートで実行されていること、および AMA がリッスンしていることを検証するには、次のコマンドを実行します。

   netstat -lnptv
   

   rsyslog または syslog-ng デーモンがポート 514 でリッスンしていることが示されます。

2. ロガーまたは接続されているデバイスから送信されたメッセージをキャプチャするには、バックグラウンドで次のコマンドを実行します。

   tcpdump -i any port 514 -A -vv &
   

3. 検証が完了したら、fg を入力し、Ctrl+C を選択して tcpdump を停止することをお勧めします。

4. デモ メッセージを送信するには、次の手順を実行します。

   • netcat ユーティリティを使用します。 この例では、ユーティリティは、改行スイッチをオフにして、echo コマンドで投稿されたデータを読み取ります。 次に、このユーティリティは、タイムアウトなしで localhost の UDP ポート 514 にデータを書き込みます。 netcat ユーティリティを実行するには、別のパッケージをインストールすることが必要な場合があります。

     echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
     

   • ロガーを使用します。 この例では、ローカル ホスト上のポート 514 に対して重大度レベル Warning で local 4 機能に CEF RFC 形式でメッセージを書き込みます。 -t と --rfc3164 フラグは、予期されている RFC 形式に準拠するために使用されます。

     logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time"
     

5. コネクタが正しくインストールされていることを確認するには、次のコマンドのいずれかを使用してトラブルシューティング スクリプトを実行します。

   • CEF ログの場合は、次を実行します。

      sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --cef
     

   • Cisco Adaptive Security Appliance (ASA) ログの場合は、次を実行します。

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --asa
     

   • Cisco Firepower Threat Defense (FTD) ログの場合は、次を実行します。

     sudo wget -O Sentinel_AMA_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Sentinel_AMA_troubleshoot.py&&sudo python Sentinel_AMA_troubleshoot.py --ftd
     

関連するコンテンツ

• Microsoft Sentinel 用の AMA を介した Syslog コネクタと AMA を介した Common Event Format (CEF) コネクタ
• Azure Monitor のデータ収集ルール