Coletar dados em formatos de log personalizados para o Microsoft Sentinel com o agente do Log Analytics

Muitos aplicativos registram dados em arquivos de texto em vez de serviços de log padrão, como o log de eventos do Windows ou o Syslog. Você pode usar o agente do Log Analytics para coletar dados em arquivos de texto de formatos não padrão de computadores Windows e Linux. Uma vez coletados, você pode analisar os dados em campos individuais em suas consultas ou extrair os dados durante a coleta para campos individuais.

Este artigo descreve como conectar suas fontes de dados ao Microsoft Sentinel usando formatos de log personalizados. Para obter mais informações sobre conectores de dados suportados que usam esse método, consulte Referência de conectores de dados.

Saiba tudo sobre logs personalizados na documentação do Azure Monitor.

Instalar o agente do Log Analytics

Instale o agente do Log Analytics na máquina Linux ou Windows que gerará os logs.

Alguns fornecedores recomendam instalar o agente do Log Analytics em um servidor de log separado em vez de diretamente no dispositivo. Consulte a seção do seu produto na página de referência de conectores de dados ou a documentação do seu próprio produto.

Selecione a guia apropriada abaixo, dependendo se seu conector faz parte da solução listada no hub de conteúdo do Microsoft Sentinel ou não.

Configurar os logs a serem coletados

Muitos tipos de dispositivos têm seus próprios conectores de dados que aparecem na página Conectores de dados no Microsoft Sentinel. Alguns desses conectores exigem instruções adicionais especiais para configurar corretamente a coleta de logs no Microsoft Sentinel. Estas instruções podem incluir a implementação de um analisador baseado em uma função Kusto.

Todos os conectores listados no Microsoft Sentinel exibirão instruções específicas em suas respetivas páginas de conectores no portal, bem como em suas seções da página de referência de conectores de dados do Microsoft Sentinel.

Se o seu produto não tiver uma solução com um conector de dados listado no Hub de conteúdo, consulte a documentação do fornecedor para obter instruções sobre como configurar o registro em log para seu dispositivo.

Configurar o agente do Log Analytics

1. Na página do conector, selecione o link de configuração Abrir os logs personalizados do espaço de trabalho.

   Ou, no menu de navegação do espaço de trabalho do Log Analytics, selecione Logs personalizados.

2. Na guia Tabelas personalizadas, selecione Adicionar log personalizado.

3. No separador Exemplo, carregue uma amostra de um ficheiro de registo a partir do seu dispositivo (por exemplo, acesso.log ou erro.log). Em seguida, selecione Seguinte.

4. Na guia Delimitador de registro, selecione um delimitador de registro, Nova linha ou Carimbo de data/hora (consulte as instruções nessa guia) e selecione Avançar.

5. Na guia Caminhos de coleção, selecione um tipo de caminho do Windows ou Linux e insira o caminho para os logs do dispositivo com base na sua configuração. Em seguida, selecione Seguinte.

6. Dê ao seu log personalizado um nome e, opcionalmente, uma descrição e selecione Avançar.
   Não termine seu nome com "_CL", pois ele será anexado automaticamente.

Encontre os seus dados

Para consultar os dados de log personalizados em Logs, digite o nome que você deu ao log personalizado (terminando em "_CL") na janela de consulta.

Próximos passos

Neste documento, você aprendeu como coletar dados de tipos de log personalizados para ingerir no Microsoft Sentinel. Para saber mais sobre o Microsoft Sentinel, consulte os seguintes artigos:

• Saiba como obter visibilidade dos seus dados e potenciais ameaças.
• Comece a detetar ameaças com o Microsoft Sentinel.
• Use pastas de trabalho para monitorar seus dados.