カスタムログパーサーの使用

[アーティクル]
08/22/2024

Defender for Cloud Apps では、クラウドディスカバリーに使用できるように、ログの形式を一致させて処理するためのカスタムパーサーを構成できます。通常、ファイアウォールまたはデバイスが Defender for Cloud Apps によって明示的にサポートされていない場合に、カスタムパーサーを使用します。これは、CSV パーサーまたはカスタムのキー値パーサーになります。

カスタムパーサーでこのプロセスに従うと、サポートされていないファイアウォールからログを使用することができます。

カスタムパーサーを構成するには:

Microsoft Defender Portal の [クラウドアプリ] で、[Cloud Discovery]>[アクション]>[Cloud Discovery スナップショットレポートの作成] を選択します。次に例を示します。
[レポート名] と [説明] を入力します。
[ソース] で一番下までスクロールし、[カスタムログ形式] を選択します。次に例を示します。
組織のユーザーがインターネットアクセスに使用するファイアウォールとプロキシからログを収集します。組織内のすべてのユーザーアクティビティを代表するトラフィックのピーク時にログを収集してください。
テキストエディターで処理するログを開きます。ログの形式を確認し、ログの列名と [カスタムログ形式] ダイアログのフィールドとが対応するようにします。

必須フィールは、[カスタムログ形式] ダイアログでアスタリスク (*) でマークされ、[カスタムログ形式] ダイアログに表示されるのと同じ順序でログに存在する必要があります。ログは、必須フィールドがログ内に見つかった場合にのみ処理されます。 Defender for Cloud Apps によって使用されない余分なフィールドは破棄されます。
[カスタムログ形式] ダイアログで、ログのデータに基づいてフィールドに入力して、データ内のどの列が Defender for Cloud Apps の特定のフィールドに関連付けられるかを示します。必要に応じて、正しく対応するようにログファイルの列名を変更します。

Note

フィールド名は大文字と小文字が区別されます。 Defender for Cloud Apps とログファイルで列の名前が同じように入力されていることを確認します。また、選択した日付形式が同じであることを確認します。

たとえば、次の画像に示しているのは、テキストエディターで開いたサンプルログファイルとそれに対応する [カスタムログ形式] ダイアログです。
[保存] を選択します。構成したカスタムログ形式は、既定のカスタムパーサーとして保存されます。 [編集] を選択すると、いつでも編集できます。
[トラフィックログのアップロード] で、変更したログファイルを選択し、[ログのアップロード] を選択してアップロードします。一度に最大 20 個のファイルをアップロードできます。圧縮ファイルや zip ファイルもサポートされています。