Raccogliere log da file di testo con l'agente di Monitoraggio di Azure e inserirli in Microsoft Sentinel

Creare la regola di raccolta dati

Per iniziare, aprire il connettore dati Log personalizzati tramite AMA in Microsoft Sentinel e creare una regola di raccolta dati.

1. Per Microsoft Sentinel nel portale di Azure, in Configurazione, selezionare Connettori dati.
   Per Microsoft Sentinel, nel portale di Defender selezionare Microsoft Sentinel>Configurazione>Connettori dati.

2. Digitare personalizzati nella casella di ricerca. Nei risultati selezionare il connettore Log personalizzati tramite AMA.

3. Selezionare Apri la pagina del connettore nel riquadro dei dettagli.

   

4. Nell'area Configurazione, selezionare+Crea regola di raccolta dati.

   

5. Nella scheda Impostazioni generali:

   • Digitare un nome DCR.
   • Selezionare la propria sottoscrizione.
   • Selezionare il gruppo di risorse in cui individuare il DCR.

   

6. Selezionare Avanti: Risorse>.

Definire le risorse della macchina virtuale

Nella scheda Risorse selezionare i computer da cui raccogliere i log. Si tratta dei computer in cui è installata l'applicazione o di quelli contenenti il server d'inoltro dei log. Se il computer che si sta cercando non viene visualizzato nell'elenco, potrebbe non essere una macchina virtuale di Azure con l'agente di Azure Connected Machine installato.

1. Usare i filtri o la casella di ricerca disponibili per trovare il computer che si sta cercando. Espandere una sottoscrizione nell'elenco per visualizzare i gruppi di risorse, poi un gruppo di risorse per visualizzare le macchine virtuali.

2. Selezionare il computer da cui raccogliere i log. La casella di controllo viene visualizzata accanto al nome della macchina virtuale quando si passa il puntatore del mouse su di essa.

   

   Se nei computer selezionati non è già installato, l'agente di Monitoraggio di Azure viene installato quando viene creata e distribuita la regola di raccolta dati.

3. Esaminare le modifiche e selezionare Avanti: Raccogliere>.

Configurare la regola di raccolta dati per l'applicazione

1. Nella scheda Raccolta selezionare l'applicazione o il tipo di dispositivo nell'elenco a discesa Selezionare il tipo di dispositivo (facoltativo) oppure lasciare l'impostazione Nuova tabella personalizzata se l'applicazione o il dispositivo non è elencato.

2. Se si sceglie una delle applicazioni o uno dei dispositivi elencati, il campo Nome tabella viene popolato automaticamente con il nome di tabella corretto. Se si sceglie Nuova tabella personalizzata, immettere un nome di tabella in Nome tabella. Il nome deve terminare con il suffisso _CL.

3. Nel campo Modello file immettere il percorso e il nome dei file di log di testo da raccogliere. Per trovare i nomi e i percorsi di file predefiniti per ogni applicazione o tipo di dispositivo, vedere le istruzioni specifiche per tipo di applicazione. Non è necessario usare i nomi o i percorsi di file predefiniti ed è possibile usare caratteri jolly nel nome file.

4. Nel campo Trasformazione, se nel passaggio 1 è stata scelta una nuova tabella personalizzata, immettere una query Kusto che applica una trasformazione a scelta ai dati.

   Se nel passaggio 1 è stata scelta una delle applicazioni o uno dei dispositivi elencati, questo campo viene popolato automaticamente con la trasformazione corretta. NON modificare la trasformazione visualizzata. A seconda del tipo scelto, questo valore deve essere uno dei seguenti:

   • source (valore predefinito - nessuna trasformazione)
   • source | project-rename Message=RawData (per i dispositivi che inviano log a un server d'inoltro)

5. Rivedere le selezioni, quindi selezionare Avanti: Rivedi e crea.

Rivedere e creare la regola

Dopo aver completato tutte le schede, esaminare gli elementi inseriti e creare la regola di raccolta dati.

1. Nella scheda Rivedi e crea, selezionare Crea.

   

   Il connettore installa l'agente di Monitoraggio di Azure nei computer selezionati durante la creazione del DCR.

2. Controllare le notifiche nel portale di Azure o nel portale di Microsoft Defender per verificare quando viene creato il DCR e l'agente è installato.

3. Selezionare Aggiorna nella pagina del connettore per visualizzare il DCR presente nell'elenco.

Installare l'gente di Monitoraggio di Azure

Seguire le istruzioni appropriate nella documentazione di Monitoraggio di Azure per installare l'agente di Monitoraggio di Azure nel computer che ospita l'applicazione o nel server d'inoltro dei log. Seguire le istruzioni per Windows o per Linux, come appropriato.

• Installare l'AMA con PowerShell
• Installare l'AMA usando l'interfaccia della riga di comando di Azure
• Installare l'AMA usando un modello di Azure Resource Manager

È possibile creare regole di raccolta dati usando l'API inserimento log di Monitoraggio di Azure. Per altre informazioni, vedere Regole di raccolta dati in Monitoraggio di Azure.

Creare la regola di raccolta dati

Usare il modello di ARM seguente per creare o modificare una regola di raccolta dati per la raccolta dei file di log di testo:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "name": "{DCR_NAME}",
            "location": "{DCR_LOCATION}",
            "apiVersion": "2022-06-01",
            "properties": {
                "streamDeclarations": {
                    "Custom-Text-{TABLE_NAME}": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            },
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-Text-{TABLE_NAME}"
                            ],
                            "filePatterns": [
                                "{LOCAL_PATH_FILE_1}","{LOCAL_PATH_FILE_2}"
                            ],
                            "format": "text",
                            "name": "Custom-Text-{TABLE_NAME}"
                        }
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "{WORKSPACE_RESOURCE_PATH}",
                            "workspaceId": "{WORKSPACE_ID}",
                            "name": "workspace"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-Text-{TABLE_NAME}"
                        ],
                        "destinations": [
                            "DataCollectionEvent"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-{TABLE_NAME}"
                    }
                ]
            }
        }
    ]
}

Sostituire i valori {PLACE_HOLDER} con i valori seguenti:

Associare la regola di raccolta dati all'agente di Monitoraggio di Azure

Se si crea la regola di raccolta dati usando un modello di Resource Manager, è comunque necessario associare la regola di raccolta dati agli agenti che la useranno. È possibile modificare la regola di raccolta dati nel portale di Azure e selezionare gli agenti come descritto in Definire le risorse VM.