[Preterido] Conector VMware vCenter para Microsoft Sentinel

Artigo
08/22/2024

Importante

A coleta de logs de muitos dispositivos e dispositivos agora é suportada pelo Common Event Format (CEF) via AMA, Syslog via AMA ou Custom Logs via conector de dados AMA no Microsoft Sentinel. Para obter mais informações, veja Localizar o conector de dados do Microsoft Sentinel.

O conector vCenter permite que você conecte facilmente os logs do servidor vCenter com o Microsoft Sentinel. Isso lhe dá mais informações sobre os data centers da sua organização e melhora seus recursos de operação de segurança.

Trata-se de conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Atributo do conector	Description
Tabela(s) do Log Analytics	vcenter_CL
Suporte a regras de coleta de dados	Não é suportado atualmente
Apoiado por	Corporação Microsoft

Exemplos de consulta

Total de eventos por tipo de evento

vCenter 

| summarize count() by EventType

entrar/sair no vCenter Server

vCenter 

| where EventType in ('UserLogoutSessionEvent','UserLoginSessionEvent') 

| summarize count() by EventType,EventID,UserName,UserAgent 

| top 10 by count_

Pré-requisitos

Para integrar com o VMware vCenter [Preterido], certifique-se de:

Inclua pré-requisitos personalizados se a conectividade exigir - caso contrário, exclua costumes: Descrição para qualquer pré-requisito personalizado

Instruções de instalação do fornecedor

NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar como esperado, que é implementado como parte da solução. Para visualizar o código da função no Log Analytics, abra a folha Log Analytics/Microsoft Sentinel Logs, clique em Funções e procure o alias VMware vCenter e carregue o código da função ou clique aqui, na segunda linha da consulta, insira o(s) nome(s) do(s) seu(s) dispositivo(s) VMware vCenter e quaisquer outros identificadores exclusivos para o logstream. A função geralmente leva de 10 a 15 minutos para ser ativada após a instalação/atualização da solução.

Se você não tiver instalado a solução vCenter do ContentHub, siga as etapas para usar o alias de função Kusto, vCenter

Instalar e integrar o agente para Linux

Normalmente, você deve instalar o agente em um computador diferente daquele em que os logs são gerados.

Os logs do Syslog são coletados somente de agentes Linux .

Configurar os logs a serem coletados

Siga as etapas de configuração abaixo para obter logs do servidor vCenter no Microsoft Sentinel. Consulte a Documentação do Azure Monitor para obter mais detalhes sobre estas etapas. Para logs do vCenter Server, temos problemas ao analisar os dados pelos dados do agente do OMS usando as configurações padrão. Por isso, aconselhamos a capturar os logs em vcenter_CL de tabela personalizada usando as instruções abaixo.

Faça login no servidor onde você instalou o agente do OMS.
Baixar arquivo de configuração vCenter.conf wget -v https://aka.ms/sentinel-vcenteroms-conf -O vcenter.conf
Copie vcenter.conf para a pasta /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp vcenter.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Edite vcenter.conf da seguinte maneira:

a. vcenter.conf usa a porta 22033 por padrão. Verifique se essa porta não está sendo usada por nenhuma outra fonte no seu servidor

b. Se você quiser alterar a porta padrão para vcenter.conf , certifique-se de não usar as portas padrão do agente analítico /log monotoring do Azure, ou seja, (por exemplo, o CEF usa a porta TCP 25226 ou 25224)

c. substitua workspace_id pelo valor real do ID do espaço de trabalho (linhas 13,14,15,18)
Salve as alterações e reinicie o agente do Azure Log Analytics para o serviço Linux com o seguinte comando: sudo /opt/microsoft/omsagent/bin/service_control restart
Modificar o arquivo /etc/rsyslog.conf - adicione o modelo abaixo, de preferência na seção de diretivas inicial / antes
```
 $template vcenter,"%timestamp% %hostname% %msg%\ n" 
```

Observação - Não há espaço entre slash(\) e o caractere 'n' no comando acima.

Crie um arquivo conf personalizado em /etc/rsyslog.d/ por exemplo 10-vcenter.conf e adicione as seguintes condições de filtro.

Baixar arquivo de configuração 10-vCenter.conf

 With an added statement you will need to create a filter which will specify the logs coming from the vcenter server to be forwarded to the custom table.

 reference: [Filter Conditions — rsyslog 8.18.0.master documentation](https://rsyslog.readthedocs.io/en/latest/configuration/filters.html)

 Here is an example of filtering that can be defined, this is not complete and will require additional testing for each installation.
	 if $rawmsg contains "vcenter-server" then @@127.0.0.1:22033;vcenter
	 & stop 
	 if $rawmsg contains "vpxd" then @@127.0.0.1:22033;vcenter
	 & stop

Reiniciar rsyslog systemctl reiniciar rsyslog
Configurar e conectar o(s) dispositivo(s) vCenter

Siga estas instruções para configurar o vCenter para encaminhar o syslog. Use o endereço IP ou nome de host para o dispositivo Linux com o agente Linux instalado como o endereço IP de destino.

Próximos passos

Para obter mais informações, vá para a solução relacionada no Azure Marketplace.

Partilhar via