Tutorial: Encaminhar dados do Syslog para um workspace do Log Analytics por meio do Agente do Azure Monitor com o Microsoft Sentinel

Artigo
06/19/2023

Neste tutorial, você configura uma VM (máquina virtual) do Linux para encaminhar dados de Syslog para o workspace usando o Agente do Azure Monitor. Essas etapas permitem que você colete e monitore dados de dispositivos baseados em Linux em que não é possível instalar um agente como um dispositivo de rede de firewall.

Configure seu dispositivo baseado em Linux para enviar dados para uma VM do Linux. Agente do Azure Monitor na VM encaminha os dados do Syslog para o workspace do Log Analytics. Em seguida, use o Microsoft Sentinel ou o Azure Monitor para monitorar o dispositivo a partir dos dados armazenados no workspace do Log Analytics.

Neste tutorial, você aprenderá como:

Crie uma regra de coleta de dados.
Verifique se o Agente do Azure Monitor está em execução.
Habilite a recepção de log na porta 514.
Verifique se os dados do Syslog são encaminhados para o workspace do Log Analytics

Pré-requisitos

Para concluir as etapas neste tutorial, você deve ter os seguintes recursos e funções:

Uma conta do Azure com uma assinatura ativa. Crie uma conta gratuitamente.

Uma conta do Azure com as seguintes funções para implantar o agente e criar as regras de coleta de dados:

Função interna	Escopo	Motivo
- Colaborador da Máquina Virtual - Administrador de Recursos do Azure Connected Machine	– Máquinas virtuais – Conjuntos de dimensionamento – Servidores habilitados para Azure Arc	Para implantar o agente
Qualquer função que inclua a ação Microsoft.Resources/deployments/*	– Assinatura – Grupo de recursos – Regra de coleta de dados existente	Para implantar os modelos do Azure Resource Manager
Colaborador de monitoramento	– Assinatura – Grupo de recursos – Regra de coleta de dados existente	Criar ou editar regras de coleta de dados

Um workspace do Log Analytics.
Um servidor Linux executando um sistema operacional que dá suporte ao Agente do Azure Monitor.
- Sistemas operacionais Linux com suporte para o Agente do Azure Monitor.
- Crie uma VM do Linux no portal do Azure ou adicione um servidor Linux local ao Azure Arc.
Um dispositivo baseado em Linux que gera dados de log de eventos como um dispositivo de rede de firewall.

Criar uma regra de coleta de dados

Confira as instruções passo a passo em Criar uma regra de coleta de dados.

Verificar se o Agente do Azure Monitor está em execução

No Microsoft Sentinel ou no Azure Monitor, verifique se o Agente do Azure Monitor está em execução na VM.

No portal do Azure, pesquise por Microsoft Sentinel ou Azure Monitor e abra-o.
Se você estiver usando o Microsoft Sentinel, selecione o workspace apropriado.
Em Geral, selecione Logs.
Feche a página Consultas para que a guia Nova Consulta apareça.
Execute a consulta a seguir em que você substitui o valor do computador pelo nome da VM do Linux.
```
Heartbeat
| where Computer == "vm-linux"
| take 10
```

Habilitar a recepção de log na porta 514

Verifique se a VM que está coletando os dados de log permite a recepção na porta 514 TCP ou UDP, dependendo da origem do Syslog. Em seguida, configure o daemon de Syslog do Linux interno na VM para escutar mensagens de Syslog dos dispositivos. Após terminar essas etapas, configure o dispositivo baseado em Linux para enviar logs para sua VM.

As duas seções a seguir abordam como adicionar uma regra de porta de entrada para uma VM do Azure e configurar o daemon de Syslog do Linux interno.

Permitir o tráfego de Syslog de entrada na VM

Se você estiver encaminhando dados de Syslog para uma VM do Azure, siga essas etapas para permitir a recepção na porta 514.

No portal do Azure, pesquise e selecione Máquinas virtuais.
Selecione a VM.
Em Configurações, selecione Rede.
Selecione Adicionar regra de porta de entrada.
Insira os valores a seguir.

Campo Valor

Intervalos de portas de destino 514

Protocolo TCP ou UDP dependendo da origem do Syslog

Ação Allow

Nome AllowSyslogInbound

Use os valores padrão no restante dos campos.
Selecione Adicionar.

Campo	Valor
Intervalos de portas de destino	514
Protocolo	TCP ou UDP dependendo da origem do Syslog
Ação	Allow
Nome	AllowSyslogInbound

Configurar o daemon do Syslog do Linux

Observação

Para evitar cenários de Disco Completo em que o agente não pode funcionar, recomendamos que você defina a configuração syslog-ng ou rsyslog para não armazenar logs desnecessários. Um cenário de Disco Completo interrompe a função do Agente do Azure Monitor instalado. Leia mais sobre rsyslog ou syslog-ng.

Conecte-se à VM do Linux e execute o seguinte comando para configurar o daemon do Syslog do Linux:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py

Esse script pode fazer alterações no rsyslog.d e syslog-ng.

Verificar se os dados do Syslog são encaminhados para o workspace do Log Analytics

Após configurar seu dispositivo baseado em Linux para enviar logs para sua VM, verifique se o Agente do Azure Monitor está encaminhando os dados do Syslog para o workspace.

No portal do Azure, pesquise por Microsoft Sentinel ou Azure Monitor e abra-o.
Se você estiver usando o Microsoft Sentinel, selecione o workspace apropriado.
Em Geral, selecione Logs.
Feche a página Consultas para que a guia Nova Consulta apareça.
Execute a consulta a seguir em que você substitui o valor do computador pelo nome da VM do Linux.
```
Syslog
| where Computer == "vm-linux"
| summarize by HostName
```

Limpar os recursos

Avalie se você precisa dos recursos como a VM que você criou. Os recursos que você deixa em execução podem lhe custar dinheiro. Exclua os recursos que não sejam necessários individualmente. Você também pode excluir o grupo de recursos para excluir todos os recursos criados.

Próximas etapas

Saiba mais sobre:

Regras de coleta de dados no Azure Monitor Coletam eventos do Syslog com o Agente do Azure Monitor