Tutorial: Encaminhar dados do Syslog para um espaço de trabalho do Log Analytics com o Microsoft Sentinel usando o Azure Monitor Agent
Neste tutorial, você configura uma máquina virtual (VM) Linux para encaminhar dados Syslog para seu espaço de trabalho usando o Azure Monitor Agent. Essas etapas permitem que você colete e monitore dados de dispositivos baseados em Linux nos quais você não pode instalar um agente como um dispositivo de rede de firewall.
Nota
O Container Insights agora suporta a coleta automática de eventos Syslog de nós Linux em seus clusters AKS. Para saber mais, consulte Coleção Syslog com Container Insights.
Configure seu dispositivo baseado em Linux para enviar dados para uma VM Linux. O Agente do Azure Monitor na VM encaminha os dados do Syslog para o espaço de trabalho do Log Analytics. Em seguida, use o Microsoft Sentinel ou o Azure Monitor para monitorar o dispositivo a partir dos dados armazenados no espaço de trabalho do Log Analytics.
Neste tutorial, irá aprender a:
- Criar uma regra de recolha de dados.
- Verifique se o Azure Monitor Agent está em execução.
- Habilite a receção de log na porta 514.
- Verifique se os dados do Syslog são encaminhados para o espaço de trabalho do Log Analytics.
Pré-requisitos
Para concluir as etapas neste tutorial, você deve ter os seguintes recursos e funções:
Uma conta do Azure com uma subscrição ativa. Crie uma conta gratuitamente.
Uma conta do Azure com as seguintes funções para implantar o agente e criar as regras de coleta de dados.
Função incorporada Âmbito Razão - Contribuidor
- de Máquina Virtual Azure Connected Machine Resource Administrator- Máquinas
virtuais- Conjuntos de escala-
Servidores habilitados para Azure ArcPara implantar o agente Qualquer função que inclua a ação Microsoft.Resources/deployments/* - Subscrição
- Grupo de recursos
- Regra de recolha de dados existentePara implantar modelos do Azure Resource Manager Colaborador de Monitoramento - Subscrição
- Grupo de recursos
- Regra de recolha de dados existentePara criar ou editar regras de coleta de dados Uma área de trabalho do Log Analytics.
Um servidor Linux que está executando um sistema operacional que dá suporte ao Azure Monitor Agent.
Um dispositivo baseado em Linux que gera dados de log de eventos como um dispositivo de rede de firewall.
Configurar o Azure Monitor Agent para coletar dados do Syslog
Consulte as instruções passo a passo em Coletar eventos do Syslog com o Azure Monitor Agent.
Verifique se o Azure Monitor Agent está em execução
No Microsoft Sentinel ou no Azure Monitor, verifique se o Azure Monitor Agent está em execução na sua VM.
No portal do Azure, procure e abra o Microsoft Sentinel ou o Azure Monitor.
Se você estiver usando o Microsoft Sentinel, selecione o espaço de trabalho apropriado.
Em Geral, selecione Registos.
Feche a página Consultas para que a guia Nova Consulta seja exibida.
Execute a seguinte consulta onde você substitui o valor do computador pelo nome da sua VM Linux.
Heartbeat | where Computer == "vm-linux" | take 10
Ativar a receção de log na porta 514
Verifique se a VM que está coletando os dados de log permite a receção na porta 514 TCP ou UDP, dependendo da origem do Syslog. Em seguida, configure o daemon Linux Syslog integrado na VM para ouvir mensagens Syslog de seus dispositivos. Depois de concluir essas etapas, configure seu dispositivo baseado em Linux para enviar logs para sua VM.
Nota
Se o firewall estiver em execução, uma regra precisará ser criada para permitir que os sistemas remotos alcancem o ouvinte syslog do daemon: systemctl status firewalld.service
- Adicionar para tcp 514 (sua zona/porta/protocolo pode diferir dependendo do seu cenário)
firewall-cmd --zone=public --add-port=514/tcp --permanent
- Adicionar para udp 514 (sua zona/porta/protocolo pode diferir dependendo do seu cenário)
firewall-cmd --zone=public --add-port=514/udp --permanent
- Reinicie o serviço de firewall para garantir que as novas regras entrem em vigor
systemctl restart firewalld.service
As duas seções a seguir abordam como adicionar uma regra de porta de entrada para uma VM do Azure e configurar o daemon Linux Syslog interno.
Permitir tráfego Syslog de entrada na VM
Se você estiver encaminhando dados do Syslog para uma VM do Azure, siga estas etapas para permitir a receção na porta 514.
No portal do Azure, procure e selecione Máquinas Virtuais.
Selecione a VM.
Em Definições, selecione Redes.
Selecione Adicionar regra de porta de entrada.
Introduza os seguintes valores.
Campo Value Intervalos de portas de destino 514 Protocolo TCP ou UDP, dependendo da origem do Syslog Ação Permitir Nome AllowSyslogInbound Utilize os valores predefinidos para os restantes campos.
Selecione Adicionar.
Configurar o daemon Linux Syslog
Conecte-se à sua VM Linux e configure o daemon Linux Syslog. Por exemplo, execute o seguinte comando, adaptando o comando conforme necessário para seu ambiente de rede:
sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python3 Forwarder_AMA_installer.py
Esse script pode fazer alterações para rsyslog.d e syslog-ng.
Nota
Para evitar cenários de Disco Completo em que o agente não pode funcionar, você deve definir a syslog-ng
configuração ou rsyslog
para não armazenar logs, que não são necessários para o agente. Um cenário de Disco Completo interrompe a função do Agente do Azure Monitor instalado.
Leia mais sobre rsyslog ou syslog-ng.
Verifique se os dados do Syslog foram encaminhados para o espaço de trabalho do Log Analytics
Depois de configurar seu dispositivo baseado em Linux para enviar logs para sua VM, verifique se o Azure Monitor Agent está encaminhando dados Syslog para seu espaço de trabalho.
No portal do Azure, procure e abra o Microsoft Sentinel ou o Azure Monitor.
Se você estiver usando o Microsoft Sentinel, selecione o espaço de trabalho apropriado.
Em Geral, selecione Registos.
Feche a página Consultas para que a guia Nova Consulta seja exibida.
Execute a seguinte consulta onde você substitui o valor do computador pelo nome da sua VM Linux.
Syslog | where Computer == "vm-linux" | summarize by HostName
Clean up resources (Limpar recursos)
Avalie se você precisa dos recursos como a VM que você criou. Os recursos que você deixa funcionando podem custar dinheiro. Exclua os recursos de que não precisa individualmente. Você também pode excluir o grupo de recursos para excluir todos os recursos criados.