カスタムログパーサーを使用する

[アーティクル]
11/28/2024

Defender for Cloud Appsを使用すると、クラウド検出に使用できるように、ログの形式に合わせてカスタムパーサーを構成し、処理できます。通常、ファイアウォールまたはデバイスがDefender for Cloud Appsで明示的にサポートされていない場合は、カスタムパーサーを使用します。これは、CSV パーサーまたはカスタムキー値パーサーです。

カスタムパーサーを使用すると、このプロセスに従って、サポートされていないファイアウォールのログを使用できます。

カスタムパーサーを構成するには:

Microsoft Defender ポータルの [Cloud Apps] で、[Cloud Discovery>Actions>Create Cloud Discovery スナップショット report] を選択します。以下に例を示します。
レポート名と説明を入力します
[ ソース] で、下までスクロールし、[ カスタムログ形式...] を選択します。例えば：

$[Create new cloud discovery スナップショット report]$新しいクラウド検出の作成スナップショットレポート$ ダイアログのスクリーンショット。$
ファイアウォールとプロキシからログを収集し、organizationのユーザーがインターネットにアクセスします。組織内のすべてのユーザーアクティビティを代表するトラフィックのピーク時にログを収集してください。
テキストエディターで処理するログを開きます。その形式を確認し、ログ内の列名が [ カスタムログ形式 ] ダイアログのフィールドに対応していることを確認します。

必須フィールドは、[ カスタムログ形式 ] ダイアログでアスタリスク (*) でマークされ、[ カスタムログ形式 ] ダイアログと同じ順序でログに存在する必要があります。ログは、ログに必要なフィールドが見つかった場合にのみ処理されます。 Defender for Cloud Appsによって使用されない追加のフィールドは破棄されます。
[カスタムログ形式] ダイアログで、データに基づいてフィールドを入力し、データ内のどの列がDefender for Cloud Appsの特定のフィールドに関連付けられているかを示します。正しく関連付けるために、ログファイル内の列名を変更する必要がある場合があります。

注:

フィールドでは大文字と小文字が区別されます。列の名前のスペルと入力は、Defender for Cloud Appsとログファイルで同じように行ってください。また、選択した日付形式が同一であることを確認します。

たとえば、次の画像は、テキストエディターで開かれたサンプルログファイルと、対応する [カスタムログ形式 ] ダイアログが設定されていることを示しています。
[保存] を選択します。構成したカスタムログ形式は、既定のカスタムパーサーとして保存されます。 [編集] を選択すると、いつでも編集できます。
[ トラフィックログのアップロード] で、変更したログファイルを選択し、[ ログのアップロード ] を選択してアップロードします。一度に最大 20 個のファイルをアップロードできます。圧縮ファイルや zip ファイルもサポートされています。