使用 Azure Monitor 代理将 syslog 和 CEF 消息引入到 Microsoft Sentinel

创建数据收集规则 (DCR)

若要开始创建，请在 Microsoft Sentinel 中打开 Syslog via AMA 或 Common Event Format (CEF) via AMA，并创建数据连接规则 (DCR)。

1. 在 Azure 门户中的“配置”下，选择“数据连接器”。

2. 对于 syslog，请在“搜索”框中键入“Syslog”。 在结果中，选择“通过 AMA 的 Syslog”连接器。
   对于 CEF，请在“搜索”框中键入“CEF”。 在结果中，选择“通过 AMA 的通用事件格式 (CEF)”连接器。

3. 在详细信息窗格中选择“打开连接器页面”。

4. 在“配置”区域中，选择“+ 创建数据收集规则”。

   

   

5. 在“基本信息”选项卡上：

   • 键入 DCR 名称。
   • 选择订阅。
   • 选择要定位 DCR 的资源组。

   

6. 选择“下一步: 资源”。

定义 VM 资源

在“资源”选项卡中，选择要安装 AMA 的计算机，在本例中为日志转发器计算机。 如果列表中未显示日志转发器，则可能未安装 Azure Connected Machine 代理。

1. 使用可用的筛选器或搜索框查找日志转发器 VM。 展开列表中的订阅以查看其资源组，展开资源组以查看其 VM。

2. 选择要在其中安装 AMA 的日志转发器 VM。 将鼠标悬停在 VM 名称上方时，旁边会显示复选框。

   

3. 查看更改并选择“下一步: 收集>”

选择设施和严重性

请注意，对 syslog 和 CEF 消息使用相同的设施可能会导致数据引入重复。 有关详细信息，请参阅避免数据引入重复。

1. 在“收集”选项卡中，为每个设施选择最低日志级别。 选择日志级别后，Microsoft Sentinel 会收集所选级别和其他更高严重性级别的日志。 例如，如果选择 LOG_ERR，Microsoft Sentinel 会收集 LOG_ERR、LOG_CRIT、LOG_ALERT 和 LOG_EMERG 级别的日志。

   

2. 查看所做的选择，然后选择“下一步: 查看 + 创建”。

查看并创建规则

完成所有选项卡后，查看输入的内容并创建数据收集规则。

1. 在“查看 + 创建”选项卡中选择“创建”。

   

   连接器会在创建 DCR 时选择的计算机上安装 Azure Monitor 代理。

2. 查看 Azure 门户中的通知，了解 DCR 的创建时间和代理的安装时间。

3. 选择连接器页上的“刷新”以查看列表中显示的 DCR。

安装 Azure Monitor 代理

按照 Azure Monitor 文档中的相应说明在日志转发器上安装 Azure Monitor 代理。 请记住使用适用于 Linux 的说明，而不是适用于 Windows 的说明。

• 使用 PowerShell 安装 AMA
• 使用 Azure CLI 安装 AMA
• 使用 Azure 资源管理器模板安装 AMA

可以使用 Azure Monitor 日志引入 API 创建数据收集规则 (DCR)。 有关详细信息，请参阅 Azure Monitor 中的数据收集规则。

创建数据收集规则

为数据收集规则创建 JSON 文件，创建 API 请求并发送请求。

1. 准备 JSON 格式的 DCR 文件。 此文件的内容是 API 请求中的请求正文。

   有关示例，请参阅 Syslog/CEF DCR 创建请求正文。 若要在同一数据收集规则中收集 syslog 和 CEF 消息，请参阅同一 DCR 中的 Syslog 和 CEF 流示例。

   • 验证 streams 字段是否针对 syslog 消息设置为 Microsoft-Syslog，或针对 CEF 消息设置为 Microsoft-CommonSecurityLog。
   • 在 facilityNames 和 logLevels 参数中添加筛选器和工具日志级别。 请参阅设施和日志级别部分示例。

2. 在选择的 REST API 客户端中创建 API 请求。

   1. 对于请求 URL 和标头，请复制以下请求 URL 和标头。

      PUT https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
      

      • 用合适的值替代 {subscriptionId} 和 {resourceGroupName} 占位符。
      • 输入为 DCR 选择的名称来替代 {dataCollectionRuleName} 占位符。

   2. 对于“请求主体”，将（在上面步骤 1 中）创建的 DCR JSON 文件的内容复制并粘贴到请求主体中。

3. 发送请求。

   如需应收到的响应的示例，请参阅 Syslog/CEF DCR 创建响应。

将 DCR 与日志转发器相关联

现在，需要创建一个 DCR 关联 (DCRA)，将 DCR 与托管日志转发器的 VM 资源绑定起来。

1. 在选择的 REST API 客户端中创建 API 请求。

2. 对于请求 URL 和标头，请复制以下请求 URL 和标头。

   PUT 
   https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
   

   • 用合适的值替代 {subscriptionId}、{resourceGroupName} 和 {virtualMachineName} 占位符。
   • 输入为 DCR 选择的名称来替代 {dataCollectionRuleAssociationName} 占位符。

3. 对于请求正文，请复制以下请求正文。

   {
     "properties": {
       "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
     }
   }
   

   • 用合适的值替代 {subscriptionId} 和 {resourceGroupName} 占位符。
   • 输入为 DCR 选择的名称来替代 {dataCollectionRuleName} 占位符。

4. 发送请求。

工具和日志级别部分的示例

查看这些工具和日志级别设置示例。 字段 name 包含筛选器名称。

对于 CEF 消息引入，"streams" 的值应该为 "Microsoft-CommonSecurityLog"，而不是 "Microsoft-Syslog"。

此示例从 cron、daemon、local0、local3 和 uucp 工具收集 Warning、Error、Critical、Alert 和 Emergency 日志级别的事件：

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

同一 DCR 中的 Syslog 和 CEF 流

此示例演示如何在同一 DCR 中收集 syslog 和 CEF 消息。

DCR 收集以下对象的 CEF 事件消息：

• authpriv 和 mark 工具，日志级别为 Info、Notice、Warning、Error、Critical、Alert 和 Emergency
• daemon 工具，日志级别为 Warning、Error、Critical、Alert 和 Emergency

它收集以下项的 syslog 事件消息：

• kern、local0、local5 和 news 工具，日志级别为 Critical、Alert 和 Emergency
• mail 和 uucp 工具，日志级别为 Emergency

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }