Indsamling af mikroagenthændelser

Defender for IoT-sikkerhedsagenter indsamler data og systemhændelser fra din lokale enhed og sender dataene til Azure cloudmiljøet til behandling.

Hvis du har konfigureret og oprettet forbindelse til et Log Analytics-arbejdsområde, kan du se disse hændelser i Log Analytics. Du kan få flere oplysninger under Selvstudium: Undersøg sikkerhedsbeskeder.

Microagenten Defender for IoT indsamler mange typer enhedshændelser, herunder nye processer og alle nye forbindelseshændelser. Både den nye proces og nye forbindelseshændelser kan forekomme ofte på en enhed. Denne funktion er vigtig for omfattende sikkerhed, men det antal meddelelser, som sikkerhedsagenterne sender, kan hurtigt opfylde eller overskride din IoT Hub kvote og omkostningsgrænser. Disse meddelelser og hændelser indeholder meget værdifulde sikkerhedsoplysninger, der er vigtige for at beskytte din enhed.

Hvis du vil reducere antallet af meddelelser og omkostninger, samtidig med at du bevarer din enheds sikkerhed, aggregerer Defender for IoT-agenter følgende typer hændelser:

• Behandl hændelser (kun Linux)

• Netværksaktivitetshændelser

• Filsystemhændelser

• Statistikhændelser

Du kan få flere oplysninger under Hændelsessammenlægning for proces- og netværksindsamlere.

Hændelsesbaserede samlere er samlere, der udløses baseret på tilsvarende aktivitet fra enheden. Det kunne f.eks. være a process was started in the device.

Udløserbaserede samlere er samlere, der udløses på en planlagt måde baseret på kundens konfigurationer.

Proceshændelser (hændelsesbaseret samler)

Proceshændelser understøttes på Linux operativsystemer.

Proceshændelser anses for at være identiske, når kommandolinjen og bruger-id'et er identiske.

Standardbufferen for proceshændelser er 256 processer. Når denne grænse er nået, vil bufferen cirkulere, og den ældste proceshændelse kasseres for at gøre plads til den nyeste behandlede hændelse. Der logføres en advarsel om at øge cachestørrelsen.

Dataene, der indsamles for hver hændelse, er:

Netværksaktivitetshændelser (hændelsesbaseret samler)

Netværksaktivitetshændelser anses for at være identiske, når den lokale port, fjernporten, transportprotokollen, den lokale adresse og fjernadressen er identiske.

Standardbufferen for en netværksaktivitetshændelse er 256. I situationer, hvor cachen er fuld:

• Eclipse ThreadX-enheder: Ingen nye netværkshændelser cachelagres, før næste samlingscyklus starter.

• Linux enheder: Den ældste hændelse erstattes af hver ny hændelse. Der logføres en advarsel om at øge cachestørrelsen.

Kun IPv4 understøttes for Linux enheder.

Dataene, der indsamles for hver hændelse, er:

Logonindsamler (hændelsesbaseret samler)

Logonindsamleren indsamler brugerlogon, logon og mislykkede logonforsøg.

Logonindsamleren understøtter følgende typer indsamlingsmetoder:

• UTMP og SYSLOG. UTMP registrerer SSH-interaktive hændelser, telnethændelser og terminallogon samt alle mislykkede logonhændelser fra SSH, telnet og terminal. Hvis SYSLOG er aktiveret på enheden, indsamler logonindsamleren også SSH-logonhændelser via SYSLOG-filen med navnet auth.log.

• PAM (Pluggable Authentication Modules). Indsamler SSH-, telnet- og lokale logonhændelser. Du kan få flere oplysninger under Konfigurer PAM (Pluggable Authentication Modules) til at overvåge logonhændelser.

Følgende data indsamles:

Systemoplysninger (udløserbaseret indsamling)

Dataene, der indsamles for hver hændelse, er:

Egenskaberne for nics består af følgende;

Oprindelig plan (udløserbaseret indsamling)

Den grundlæggende indsamling udfører periodiske CIS-kontroller, og resultaterne for mislykket, pass og skip check sendes til Defender for IoT-cloudtjenesten. Defender for IoT samler resultaterne og giver anbefalinger baseret på eventuelle fejl.

Dataene, der indsamles for hver hændelse, er:

SBoM (udløserbaseret samler)

SBoM-samleren (Software Bill of Materials) indsamler jævnligt de pakker, der er installeret på enheden.

De data, der indsamles for hver pakke, omfatter:

Eksterne hændelser (hændelsesbaseret samler)

Indsamleren af eksterne hændelser indsamler forbindelser og afbrydelser af USB- og Ethernet-hændelser.

Indsamlede felter afhænger af typen af hændelse:

USB-hændelser

Ethernet-hændelser

Filsystemhændelser (hændelsesbaseret samler)

Filsystemhændelsessamleren indsamler hændelser, når der er ændringer under visningsmapper for: oprettelse, sletning, flytning og ændring af mapper og filer. Hvis du vil definere, hvilke mapper og filer du vil overvåge, skal du se Specifikke indstillinger for indsamling af systemoplysninger.

Følgende data indsamles:

Statistikdata (udløserbaseret indsamling)

Statistikopsamleren genererer forskellige statistikker over de forskellige mikroagentindsamlere. Disse statistikker indeholder oplysninger om samlernes ydeevne i den tidligere indsamlingscyklus. Eksempler på mulige statistikker omfatter antallet af hændelser, der blev sendt korrekt, og antallet af hændelser, der blev droppet, sammen med årsagerne til fejlene.

Indsamlede felter:

Hændelsessammenlægning for proces- og netværksindsamlere

Sådan fungerer hændelsessammenlægning for proceshændelser og netværksaktivitetshændelser:

Defender for IoT-agenter aggregerede hændelser i løbet af det afsendelsesinterval, der er defineret i konfigurationen af meddelelseshyppigheden for hver samler, f.eks. Process_MessageFrequency eller NetworkActivity_MessageFrequency. Når afsendelsesperioden er gået, sender agenten de samlede hændelser til Azure clouden for at få yderligere analyse. De samlede hændelser gemmes i hukommelsen, indtil de sendes til Azure cloudmiljøet.

Når agenten indsamler lignende hændelser som dem, der allerede er gemt i hukommelsen, øger agenten antallet af forekomster for denne specifikke hændelse for at reducere agentens hukommelsesforbrug. Når sammenlægningstidsvinduet passerer, sender agenten antallet af forekomster for hver type hændelse, der opstod. Hændelsessammenlægning er sammenlægningen af antallet af forekomster af lignende hændelser. Netværksaktivitet med den samme fjernvært og på den samme port aggregeres f.eks. som én hændelse i stedet for som en separat hændelse for hver pakke.

Næste trin

Du kan finde flere oplysninger under:

• Konfigurationer af mikroagenter
• Kontrollér din Defender for IoT-sikkerhedsbeskeder.