Azure Monitor エージェントを使用して syslog と CEF のメッセージを Microsoft Sentinel に取り込む

データ収集ルール (DCR) を作成する

はじめに、Microsoft Sentinel で [AMA 経由の Syslog] または [AMA による Common Event Format (CEF)] データ コネクタを開いて、データ収集ルール (DCR) を作成します。

1. Azure portal の Microsoft Sentinel の場合、[構成] の下にある [データ コネクタ] を選びます。
   Defender ポータルの Microsoft Sentinel の場合は、[Microsoft Sentinel]>[構成]>[データ コネクタ] を選びます。

2. Syslog の場合、[検索] ボックスに「Syslog」と入力します。 結果から AMA 経由の Syslog コネクタを選びます。
   CEF の場合、[検索] ボックスに「CEF」と入力します。 結果から、AMA 経由の Common Event Format (CEF) コネクタを選びます。

3. 詳細ウィンドウで [コネクタ ページを開く] を選択します。

4. [構成] 領域で、[+データ収集ルールの作成] を選びます。

   

   

5. [基本] タブで次の操作を行います。

   • DCR 名を入力します。
   • サブスクリプションを選択します。
   • DCR を置くリソース グループを選びます。

   

6. [次へ: リソース]> を選択します。

VM のリソースの定義

[リソース] タブで、AMA をインストールするマシン (この場合はログ フォワーダー マシン) を選択します。 ログ フォワーダーが一覧に表示されない場合は、Azure Connected Machine エージェントがインストールされていない可能性があります。

1. 使用可能なフィルターまたは検索ボックスを使用して、ログ フォワーダー VM を見つけます。 一覧でサブスクリプションを展開するとそのリソース グループを表示でき、リソース グループを展開するとその VM を表示できます。

2. AMA をインストールするログ フォワーダー VM を選択します。 VM 名にマウス ポインターを合わせると、その横にチェック ボックスが表示されます。

   

3. 変更内容を確認し、[Next: Collect > (次へ: 収集 >) を選択します。

機能と重大度の選択

syslog メッセージと CEF メッセージの両方に同じ機能を使用すると、データ インジェストで重複が発生する場合があります。 詳細については、「データ インジェストの重複を回避する」を参照してください。

1. [収集] タブで、各機能の最小ログ レベルを選択します。 ログ レベルを選択すると、Microsoft Sentinel によって、選択したレベルと、重大度がより高いその他のレベルのログが収集されます。 たとえば、[LOG_ERR] を選択すると、Microsoft Sentinel によって、LOG_ERR、LOG_CRIT、LOG_ALERT、LOG_EMERG レベルのログが収集されます。

   

2. 選択内容を確認し、[次へ: 確認と作成] を選択します。

ルールを確認して作成する

すべてのタブを完了したら、入力した内容を確認し、データ収集ルールを作成します。

1. [レビューと作成] タブで、 [作成] を選択します。

   

   コネクタにより、DCR の作成時に選択したマシンに Azure Monitor エージェントがインストールされます。

2. Azure portal または Microsoft Defender ポータルで通知を確認し、DCR が作成されてエージェントがインストールされるタイミングを確認します。

3. コネクタ ページで [最新の情報に更新] を選択して、DCR が一覧に表示されていることを確認します。

Azure Monitor エージェントのインストール

Azure Monitor のドキュメントの適切な手順に従って、ログ フォワーダーに Azure Monitor エージェントをインストールします。 Windows 用ではなく、必ず Linux 用の手順を使用してください。

• PowerShell を使用して AMA をインストールする
• Azure CLI を使用して AMA をインストールする
• Azure Resource Manager テンプレートを使用して AMA をインストールする

Azure Monitor ログ インジェスト API を使用して、データ収集ルール (DCR) を作成できます。 詳細については、「Azure Monitor のデータ収集ルール」を参照してください。

データ収集ルールを作成する

データ収集ルールの JSON ファイルを作成し、API 要求を作成して、要求を送信します。

1. JSON 形式で DCR ファイルを準備します。 このファイルの内容は、API 要求の要求本文になります。

   例については、「Syslog/CEF DCR 作成要求本文」をご覧ください。 同じデータ収集ルールで syslog メッセージと CEF メッセージを収集するには、「同じ DCR での Syslog と CEF のストリーミング」の例を参照してください。

   • streams フィールドが、syslog メッセージの場合は Microsoft-Syslog に、CEF メッセージの場合は Microsoft-CommonSecurityLog に設定されていることを確認します。
   • facilityNames と logLevels パラメーターにフィルターと機能のログ レベルを追加します。 「機能とログ レベルのセクションの例」を参照してください。

2. 任意の REST API クライアントで API 要求を作成します。

   1. 要求 URL とヘッダーについては、次の要求 URL とヘッダーをコピーします。

      PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version=2022-06-01
      

      • {subscriptionId} と {resourceGroupName} プレースホルダーは適切な値に置き換えます。
      • {dataCollectionRuleName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

   2. 要求本文については、(上のステップ 1 で) 作成した DCR JSON ファイルの内容をコピーして、要求本文に貼り付けます。

3. 要求を送信します。

   受信する必要がある応答の例については、「Syslog/CEF DCR 作成応答」をご覧ください。

DCR をログ フォワーダーに関連付ける

次に、ログ フォワーダーをホストする VM リソースに DCR を結び付ける DCR の関連付け (DCRA) を作成する必要があります。

1. 任意の REST API クライアントで API 要求を作成します。

2. 要求 URL とヘッダーについては、次の要求 URL とヘッダーをコピーします。

   PUT 
   https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/virtualMachines/{virtualMachineName}/providers/Microsoft.Insights/dataCollectionRuleAssociations/{dataCollectionRuleAssociationName}?api-version=2022-06-01
   

   • {subscriptionId}、{resourceGroupName}､{virtualMachineName} プレースホルダーを適切な値に置き換えます。
   • {dataCollectionRuleAssociationName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

3. 要求本文については、次の要求本文をコピーします。

   {
     "properties": {
       "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}"
     }
   }
   

   • {subscriptionId} と {resourceGroupName} プレースホルダーは適切な値に置き換えます。
   • {dataCollectionRuleName} プレースホルダーの代わりに、DCR の任意の名前を入力します。

4. 要求を送信します。

機能とログ レベルのセクションの例

機能とログ レベルの設定について、次の例をご確認ください。 name フィールドにはフィルター名が含まれます。

CEF メッセージのインジェストの場合、"streams" の値は "Microsoft-CommonSecurityLog" ではなく "Microsoft-Syslog" にする必要があります。

この例では、cron、daemon、local0、local3、および uucp の各機能から Warning、Error、Critical、Alert、および Emergency の各ログ レベルのイベントを収集します。

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

同じ DCR での Syslog と CEF のストリーミング

この例では、同じ DCR で syslog と CEF のメッセージを収集する方法を示します。

DCR は、次の場合に CEF イベント メッセージを収集します。

• authpriv、mark、Info、Notice、Warning、Error、および Critical の各ログ レベルの Alert および Emergency 機能
• daemon、Warning、Error、Critical、および Alert の各ログ レベルの Emergency 機能

次の場合に syslog イベント メッセージを収集します。

• kern、local0、および local5 の各ログ レベルの news、Critical、Alert、および Emergency 機能
• mail ログ レベルの uucp および Emergency 機能

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }