Clouddetectierapporten voor momentopnamen maken
Het is belangrijk om een logboek handmatig te uploaden en Microsoft Defender for Cloud Apps het te laten parseren voordat u de automatische logboekverzamelaar probeert te gebruiken. Zie Verkeerslogboeken gebruiken voor clouddetectie voor informatie over hoe de logboekverzamelaar werkt en de verwachte logboekindeling.
Als u nog geen logboek hebt en u een voorbeeld wilt zien van hoe uw logboek eruit moet zien, downloadt u een voorbeeldlogboekbestand. Volg de onderstaande procedure om te zien hoe uw logboek eruit moet zien.
Een momentopnamerapport maken:
Verzamel logboekbestanden van uw firewall en proxy, waardoor gebruikers in uw organisatie toegang hebben tot internet. Zorg ervoor dat u logboeken verzamelt tijdens piekmomenten die representatief zijn voor alle gebruikersactiviteit in uw organisatie.
Selecteer in de Microsoft Defender Portal onder Cloud-appsde optie Clouddetectie.
Selecteer in de rechterbovenhoek Acties en selecteer Cloud Discovery-momentopnamerapport maken.
Selecteer Volgende.
Voer een rapportnaam en een beschrijving in
Selecteer de bron waaruit u de logboekbestanden wilt uploaden. Als uw bron niet wordt ondersteund (zie Ondersteunde firewalls en proxy's voor de volledige lijst), kunt u een aangepaste parser maken. Zie Een aangepaste logboekparser gebruiken voor meer informatie.
Controleer de logboekindeling om ervoor te zorgen dat deze correct is opgemaakt volgens het voorbeeldlogboek dat u kunt downloaden. Selecteer onder Uw logboekindeling controlerende optie Logboekindeling weergeven en selecteer vervolgens Voorbeeldlogboek downloaden. Vergelijk uw logboek met het opgegeven voorbeeld om ervoor te zorgen dat het compatibel is.
Opmerking
De FTP-voorbeeldindeling wordt ondersteund in momentopnamen en geautomatiseerd uploaden, terwijl syslog alleen wordt ondersteund in geautomatiseerd uploaden. Als u een voorbeeldlogboek downloadt, wordt er een FTP-voorbeeldlogboek gedownload.
Upload verkeerslogboeken die u wilt uploaden. U kunt maximaal 20 bestanden tegelijk uploaden. Gecomprimeerde en gezipte bestanden worden ook ondersteund.
Selecteer Logboeken uploaden.
Nadat het uploaden is voltooid, wordt het statusbericht weergegeven in de rechterbovenhoek van het scherm, zodat u weet dat uw logboek is geüpload.
Nadat u uw logboekbestanden hebt geüpload, duurt het enige tijd voordat ze zijn geparseerd en geanalyseerd. Nadat de verwerking van uw logboekbestanden is voltooid, ontvangt u een e-mail met de melding dat dit is gebeurd.
Er wordt een meldingsbanner weergegeven op de statusbalk boven aan het Cloud Discovery-dashboard . De banner werkt u bij met de verwerkingsstatus van uw logboekbestanden.
Nadat de logboeken zijn geüpload, ziet u een melding dat de verwerking van het logboekbestand is voltooid. Op dit moment kunt u het rapport bekijken door de koppeling in de statusbalk te selecteren. Of selecteer instellingen in de Microsoft Defender Portal.
Selecteer vervolgens onder Cloud Discoveryde optie Momentopnamerapporten en selecteer uw momentopnamerapport.
Verkeerslogboeken gebruiken voor clouddetectie
Cloud discovery gebruikt de gegevens in uw verkeerslogboeken. Hoe gedetailleerder uw logboek, hoe beter u zicht krijgt. Voor clouddetectie zijn webverkeersgegevens met de volgende kenmerken vereist:
- Datum van de transactie
- Bron-IP
- Brongebruiker - sterk aanbevolen
- Doel-IP-adres
- Aanbevolen doel-URL ( URL's bieden een hogere nauwkeurigheid voor detectie van cloud-apps dan IP-adressen)
- Totale hoeveelheid gegevens (gegevensinformatie is zeer waardevol)
- Hoeveelheid geüploade of gedownloade gegevens (geeft inzicht in de gebruikspatronen van de cloud-apps)
- Uitgevoerde actie (toegestaan/geblokkeerd)
Clouddetectie kan geen kenmerken weergeven of analyseren die niet in uw logboeken zijn opgenomen. De standaardlogboekindeling van Cisco ASA Firewall heeft bijvoorbeeld niet het aantal geüploade bytes per transactie, gebruikersnaam en doel-URL (alleen doel-IP). Daarom worden deze kenmerken niet weergegeven in clouddetectiegegevens voor deze logboeken en is het inzicht in de cloud-apps beperkt. Voor Cisco ASA-firewalls moet u het informatieniveau instellen op 6.
Als u een clouddetectierapport wilt genereren, moeten uw verkeerslogboeken aan de volgende voorwaarden voldoen:
- Gegevensbron wordt ondersteund.
- De logboekindeling komt overeen met de verwachte standaardindeling (de indeling wordt gecontroleerd bij het uploaden door het hulpprogramma Logboek).
- Gebeurtenissen zijn niet meer dan 90 dagen oud.
- Het logboekbestand is geldig en bevat informatie over uitgaand verkeer.
Volgende stappen
Als u problemen ondervindt, zijn wij er om u te helpen. Open een ondersteuningsticket om hulp of ondersteuning te krijgen voor uw productprobleem.