다음을 통해 공유

연속 보고서에 대한 자동 로그 업로드 구성

  • 아티클

로그 수집기를 사용하면 네트워크에서 로그 업로드를 쉽게 자동화할 수 있습니다. 로그 수집기는 네트워크에서 실행하고 Syslog 또는 FTP를 통해 로그를 수신합니다. 각 로그는 자동으로 처리, 압축 및 포털로 전송됩니다. FTP 로그는 파일이 로그 수집기로 FTP 전송을 완료한 후 Cloud Apps용 Microsoft Defender에 업로드됩니다. Syslog의 경우 로그 수집기는 받은 로그를 디스크에 기록합니다. 그런 다음 수집기는 파일 크기가 40KB보다 크면 Defender for Cloud Apps에 파일을 업로드합니다.

로그가 Defender for Cloud Apps에 업로드되면 백업 디렉터리로 이동됩니다. 백업 디렉터리는 최근 로그 20개를 저장합니다. 새 로그가 도착하면 이전 로그가 삭제됩니다. 로그 수집기 디스크 공간이 가득 찼을 때마다 로그 수집기는 사용 가능한 디스크 공간이 더 많을 때까지 새 로그를 삭제합니다(필수 구성 요소가 제대로 충족되면 이 문제가 발생하지 않음). 이 경우 로그 업로드 설정의 로그 수집기 탭에 경고가 표시됩니다.

자동 로그 파일 수집을 설정하기 전에 로그가 예상 로그 유형과 일치하는지 확인하세요. Defender for Cloud Apps가 특정 파일을 구문 분석할 수 있는지 확인합니다. 자세한 내용은 클라우드 검색에 트래픽 로그 사용을 참조하세요.

참고

  • Defender for Cloud Apps 로그가 원래 형식으로 전달되는 경우 SIEM 서버에서 로그 수집기로 로그 전달을 지원합니다. 그러나 로그 수집기를 방화벽 및/또는 프록시와 직접 통합하는 것이 좋습니다.
  • 로그 수집기는 업로드되기 전에 데이터를 압축합니다. 로그 수집기의 아웃바운드 트래픽은 수신하는 트래픽 로그 크기의 10%가 됩니다.
  • 로그 수집기에서 문제가 발생하면 데이터가 48시간 동안 수신되지 않은 후 경고가 표시됩니다.

필수 구성 요소

  • 디스크 공간 250GB
  • CPU 코어: 2
  • CPU 아키텍처: Intel® 64 및 AMD 64
  • RAM: 4GB
  • 네트워크 요구 사항에 설명된 대로 방화벽 설정

참고

기존 로그 수집기가 있고 다시 배포하기 전에 제거하려는 경우 또는 제거하려는 경우 다음 명령을 실행합니다.

docker stop <collector_name>

docker rm <collector_name>

참고

새 로그 수집기 버전을 설치하려면 로그 수집기를 중지하고, 현재 이미지를 제거하고, 새 로그 수집기를 설치해야 합니다.

로그 수집기 성능

로그 수집기는 시간당 최대 50GB의 로그 용량을 성공적으로 처리할 수 있습니다. 로그 수집 프로세스의 기본 병목 현상은 다음과 같습니다.

  • 네트워크 대역폭 - 네트워크 대역폭에 따라 로그 업로드 속도가 결정됩니다.
  • 가상 머신의 I/O 성능 - 로그 수집기의 디스크에 로그가 기록되는 속도를 결정합니다. 로그 수집기는 로그가 도착하는 속도를 모니터링하고 업로드 속도와 비교하는 기본 제공 안전 메커니즘을 제공합니다. 정체의 경우 로그 수집기가 로그 파일을 삭제하기 시작합니다. 설정이 일반적으로 시간당 50GB를 초과하는 경우 여러 로그 수집기 간에 트래픽을 분할하는 것이 좋습니다.

관련 콘텐츠

로그 수집기는 컨테이너 배포 모드를 지원합니다. 자세한 내용은 다음 항목을 참조하세요.

다음 단계

클라우드 검색 데이터 작업