適用於 Microsoft Sentinel 的 Microsoft Sysmon For Linux 連接器

  • 發行項

適用於Linux 的Sysmon提供進程建立、網路連線和其他系統事件的詳細資訊。 [適用於 linux 的 Sysmon 連結：]。 適用於Linux的Sysmon連接器會使用 Syslog 作為其數據擷取方法。 此解決方案相依於 ASIM 以如預期般運作。 部署 ASIM 以從解決方案取得完整值。

這是自動產生的內容。 如需變更，請連絡解決方案提供者。

連線 or 屬性

連線 or 屬性 描述
Log Analytics 數據表（s） Syslog （Sysmon）
數據收集規則支援 工作區轉換 DCR
支援者： Microsoft Corporation

查詢範例

代理程式名稱的前10個事件

vimProcessCreateLinuxSysmon
         
| summarize count() by ActingProcessName
          
| top 10 by count_

廠商安裝指示

此數據連接器取決於以 Kusto Functions 為基礎的 ASIM 剖析器，才能如預期般運作。 部署剖析器

將會部署下列函式：

  • vimFileEventLinuxSysmonFileCreated， vimFileEventLinuxSysmonFileDeleted

  • vimProcessCreateLinuxSysmon、 vimProcessTerminateLinuxSysmon

  • vimNetworkSessionLinuxSysmon

閱讀更多資訊

  1. 安裝並上線適用於Linux的代理程式

在一般情況下，建議您將代理程式安裝在其他電腦上，而非在產生記錄用的電腦上。

Syslog 記錄只會從 Linux 代理程式收集。

  1. 設定要收集的記錄

設定您要收集的目標設施及其嚴重性。

  1. 在工作區進階設定 [組態] 下，選取 [數據]，然後選取 [Syslog]。
  2. 選取 [將下列設定套用至我的機器 ]，然後選取設施與嚴重性。
  3. 按一下 [檔案] 。

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案 。