Partilhar via


Tutorial: Encaminhar dados do Syslog para um espaço de trabalho do Log Analytics com o Microsoft Sentinel usando o Azure Monitor Agent

Neste tutorial, você configura uma máquina virtual (VM) Linux para encaminhar dados Syslog para seu espaço de trabalho usando o Azure Monitor Agent. Essas etapas permitem que você colete e monitore dados de dispositivos baseados em Linux nos quais você não pode instalar um agente como um dispositivo de rede de firewall.

Nota

O Container Insights agora suporta a coleta automática de eventos Syslog de nós Linux em seus clusters AKS. Para saber mais, consulte Coleção Syslog com Container Insights.

Configure seu dispositivo baseado em Linux para enviar dados para uma VM Linux. O Agente do Azure Monitor na VM encaminha os dados do Syslog para o espaço de trabalho do Log Analytics. Em seguida, use o Microsoft Sentinel ou o Azure Monitor para monitorar o dispositivo a partir dos dados armazenados no espaço de trabalho do Log Analytics.

Neste tutorial, irá aprender a:

  • Criar uma regra de recolha de dados.
  • Verifique se o Azure Monitor Agent está em execução.
  • Habilite a receção de log na porta 514.
  • Verifique se os dados do Syslog são encaminhados para o espaço de trabalho do Log Analytics.

Pré-requisitos

Para concluir as etapas neste tutorial, você deve ter os seguintes recursos e funções:

Configurar o Azure Monitor Agent para coletar dados do Syslog

Consulte as instruções passo a passo em Coletar eventos do Syslog com o Azure Monitor Agent.

Verifique se o Azure Monitor Agent está em execução

No Microsoft Sentinel ou no Azure Monitor, verifique se o Azure Monitor Agent está em execução na sua VM.

  1. No portal do Azure, procure e abra o Microsoft Sentinel ou o Azure Monitor.

  2. Se você estiver usando o Microsoft Sentinel, selecione o espaço de trabalho apropriado.

  3. Em Geral, selecione Registos.

  4. Feche a página Consultas para que a guia Nova Consulta seja exibida.

  5. Execute a seguinte consulta onde você substitui o valor do computador pelo nome da sua VM Linux.

    Heartbeat
    | where Computer == "vm-linux"
    | take 10
    

Ativar a receção de log na porta 514

Verifique se a VM que está coletando os dados de log permite a receção na porta 514 TCP ou UDP, dependendo da origem do Syslog. Em seguida, configure o daemon Linux Syslog integrado na VM para ouvir mensagens Syslog de seus dispositivos. Depois de concluir essas etapas, configure seu dispositivo baseado em Linux para enviar logs para sua VM.

Nota

Se o firewall estiver em execução, uma regra precisará ser criada para permitir que os sistemas remotos alcancem o ouvinte syslog do daemon: systemctl status firewalld.service

  1. Adicionar para tcp 514 (sua zona/porta/protocolo pode diferir dependendo do seu cenário) firewall-cmd --zone=public --add-port=514/tcp --permanent
  2. Adicionar para udp 514 (sua zona/porta/protocolo pode diferir dependendo do seu cenário) firewall-cmd --zone=public --add-port=514/udp --permanent
  3. Reinicie o serviço de firewall para garantir que as novas regras entrem em vigor systemctl restart firewalld.service

As duas seções a seguir abordam como adicionar uma regra de porta de entrada para uma VM do Azure e configurar o daemon Linux Syslog interno.

Permitir tráfego Syslog de entrada na VM

Se você estiver encaminhando dados do Syslog para uma VM do Azure, siga estas etapas para permitir a receção na porta 514.

  1. No portal do Azure, procure e selecione Máquinas Virtuais.

  2. Selecione a VM.

  3. Em Definições, selecione Redes.

  4. Selecione Adicionar regra de porta de entrada.

  5. Introduza os seguintes valores.

    Campo Value
    Intervalos de portas de destino 514
    Protocolo TCP ou UDP, dependendo da origem do Syslog
    Ação Permitir
    Nome AllowSyslogInbound

    Utilize os valores predefinidos para os restantes campos.

  6. Selecione Adicionar.

Configurar o daemon Linux Syslog

Conecte-se à sua VM Linux e configure o daemon Linux Syslog. Por exemplo, execute o seguinte comando, adaptando o comando conforme necessário para seu ambiente de rede:

sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py

Esse script pode fazer alterações para rsyslog.d e syslog-ng.

Nota

Para evitar cenários de Disco Completo em que o agente não pode funcionar, você deve definir a syslog-ng configuração ou rsyslog para não armazenar logs, que não são necessários para o agente. Um cenário de Disco Completo interrompe a função do Agente do Azure Monitor instalado. Leia mais sobre rsyslog ou syslog-ng.

Verifique se os dados do Syslog foram encaminhados para o espaço de trabalho do Log Analytics

Depois de configurar seu dispositivo baseado em Linux para enviar logs para sua VM, verifique se o Azure Monitor Agent está encaminhando dados Syslog para seu espaço de trabalho.

  1. No portal do Azure, procure e abra o Microsoft Sentinel ou o Azure Monitor.

  2. Se você estiver usando o Microsoft Sentinel, selecione o espaço de trabalho apropriado.

  3. Em Geral, selecione Registos.

  4. Feche a página Consultas para que a guia Nova Consulta seja exibida.

  5. Execute a seguinte consulta onde você substitui o valor do computador pelo nome da sua VM Linux.

    Syslog
    | where Computer == "vm-linux"
    | summarize by HostName
    

Clean up resources (Limpar recursos)

Avalie se você precisa dos recursos como a VM que você criou. Os recursos que você deixa funcionando podem custar dinheiro. Exclua os recursos de que não precisa individualmente. Você também pode excluir o grupo de recursos para excluir todos os recursos criados.