Share via

Esercitazione: Inoltrare i dati syslog a un'area di lavoro Log Analytics con Microsoft Sentinel usando l'agente di Monitoraggio di Azure

  • Articolo

In questa esercitazione viene configurata una macchina virtuale Linux per inoltrare i dati Syslog all'area di lavoro usando l'agente di Monitoraggio di Azure. Questi passaggi consentono di raccogliere e monitorare i dati dai dispositivi basati su Linux in cui non è possibile installare un agente come un dispositivo di rete firewall.

Configurare il dispositivo basato su Linux per inviare dati a una macchina virtuale Linux. L'agente di Monitoraggio di Azure nella macchina virtuale inoltra i dati Syslog all'area di lavoro Log Analytics. Usare quindi Microsoft Sentinel o Monitoraggio di Azure per monitorare il dispositivo dai dati archiviati nell'area di lavoro Log Analytics.

In questa esercitazione apprenderai a:

  • Creare una regola di raccolta dati.
  • Verificare che l'agente di Monitoraggio di Azure sia in esecuzione.
  • Abilitare la ricezione log sulla porta 514.
  • Verificare che i dati syslog vengano inoltrati all'area di lavoro Log Analytics.

Prerequisiti

Per completare i passaggi di questa esercitazione, è necessario disporre delle risorse e dei ruoli seguenti:

Creare una regola di raccolta dati

Vedere le istruzioni dettagliate in Creare una regola di raccolta dati.

Verificare che l'agente di Monitoraggio di Azure sia in esecuzione

In Microsoft Sentinel o Monitoraggio di Azure verificare che l'agente di Monitoraggio di Azure sia in esecuzione nella macchina virtuale.

  1. Nella portale di Azure cercare e aprire Microsoft Sentinel o Monitoraggio di Azure.

  2. Se si usa Microsoft Sentinel, selezionare l'area di lavoro appropriata.

  3. In Generale, selezionare Log.

  4. Chiudere la pagina Query in modo che venga visualizzata la scheda Nuova query .

  5. Eseguire la query seguente in cui sostituire il valore del computer con il nome della macchina virtuale Linux.

    Heartbeat
| where Computer == "vm-linux"
| take 10

Abilitare la ricezione dei log sulla porta 514

Verificare che la macchina virtuale che raccoglie i dati di log consenta la ricezione sulla porta 514 TCP o UDP a seconda dell'origine Syslog. Configurare quindi il daemon Syslog Linux predefinito nella macchina virtuale per l'ascolto dei messaggi Syslog dai dispositivi. Dopo aver completato questi passaggi, configurare il dispositivo basato su Linux per inviare i log alla macchina virtuale.

Le due sezioni seguenti illustrano come aggiungere una regola di porta in ingresso per una macchina virtuale di Azure e configurare il daemon Syslog Linux predefinito.

Consentire il traffico Syslog in ingresso nella macchina virtuale

Se si inoltrano dati Syslog a una macchina virtuale di Azure, seguire questa procedura per consentire la ricezione sulla porta 514.

  1. Nella portale di Azure cercare e selezionare Macchine virtuali.

  2. Selezionare la macchina virtuale.

  3. In Impostazioni selezionare Rete.

  4. Selezionare Aggiungi regola porta in ingresso.

  5. Immettere i valori seguenti.

    Campo valore
    Intervalli porte di destinazione 514
    Protocollo TCP o UDP a seconda dell'origine Syslog
    Azione Consenti
    Nome AllowSyslogInbound

    Usare i valori predefiniti per i campi rimanenti.

  6. Selezionare Aggiungi.

Configurare il daemon Syslog linux

Connessione alla macchina virtuale Linux ed eseguire il comando seguente per configurare il daemon Syslog Linux:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py

Questo script può apportare modifiche sia per rsyslog.d che per syslog-ng.

Nota

Per evitare scenari con disco completo in cui l'agente non può funzionare, è consigliabile impostare o rsyslogsyslog-ng non archiviare i log non necessario. Uno scenario full disk interrompe la funzione dell'agente di Monitoraggio di Azure installato. Altre informazioni su rsyslog o syslog-ng.

Verificare che i dati syslog vengano inoltrati all'area di lavoro Log Analytics

Dopo aver configurato il dispositivo basato su Linux per inviare i log alla macchina virtuale, verificare che l'agente di Monitoraggio di Azure stia inoltrando i dati Syslog all'area di lavoro.

  1. Nella portale di Azure cercare e aprire Microsoft Sentinel o Monitoraggio di Azure.

  2. Se si usa Microsoft Sentinel, selezionare l'area di lavoro appropriata.

  3. In Generale, selezionare Log.

  4. Chiudere la pagina Query in modo che venga visualizzata la scheda Nuova query .

  5. Eseguire la query seguente in cui sostituire il valore del computer con il nome della macchina virtuale Linux.

    Syslog
| where Computer == "vm-linux"
| summarize by HostName

Pulire le risorse

Valutare se sono necessarie risorse come la macchina virtuale creata. Le risorse lasciate in esecuzione possono costare denaro. Eliminare le risorse non necessarie singolarmente. È anche possibile eliminare il gruppo di risorse per eliminare tutte le risorse create.

Contenuto correlato