Microsoft Sentinelの AMA コネクタを介した Syslog と共通イベント形式 (CEF)

AMA 経由の Syslog と AMA データ コネクタを介した共通イベント形式 (CEF) により、Microsoft Sentinel Linux マシンから、およびネットワークおよびセキュリティ デバイスおよびアプライアンスから、共通イベント形式 (CEF) のメッセージを含む Syslog メッセージをフィルター処理および取り込みます。 これらのコネクタは、syslog メッセージや CEF メッセージを収集するLinux マシンに、Azure Monitor Agent (AMA) をインストールします。 このマシンは、メッセージの発信元であるか、ネットワークやセキュリティ デバイスやアプライアンスなどの他のマシンからメッセージを収集するフォワーダーである可能性があります。 コネクタは、定義した データ収集規則 (DCR) に基づいてエージェントの指示を送信します。 DCR は、監視するシステムと、収集するログまたはメッセージの種類を指定します。 メッセージを取り込む前に適用するフィルターを定義し、パフォーマンスを向上させ、クエリと分析を効率的にします。

Syslog と CEF は、さまざまなデバイスとアプリケーションからのデータをログに記録するための 2 つの一般的な形式です。 システム管理者やセキュリティ アナリストがネットワークを監視およびトラブルシューティングし、潜在的な脅威やインシデントを特定するのに役立ちます。

Syslog とは

Syslog は、ネットワーク経由で異なるデバイスまたはアプリケーション間でメッセージを送受信するための標準プロトコルです。 もともと Unix システム用に開発されましたが、現在はさまざまなプラットフォームやベンダーによって広くサポートされています。 Syslog メッセージには、優先順位、タイムスタンプ、ホスト名、アプリケーション名、プロセス ID、メッセージ テキストで構成される定義済みの構造があります。 Syslog メッセージは、構成とセキュリティ要件に応じて、UDP、TCP、または TLS 経由で送信できます。

Azure モニター エージェント (AMA) は、RFC 3164 (BSD Syslog) と RFC 5424 (IETF Syslog) に従って書式設定された Syslog メッセージをサポートします。

一般的なイベント形式 (CEF) とは

CEF (共通イベント形式) は、ファイアウォール、ルーター、検出および応答ソリューション、侵入検出システムなどのネットワークおよびセキュリティ デバイスとアプライアンス、および Web サーバーなどの他の種類のシステムからのデータをログに記録するためのベンダーに依存しない形式です。 Syslog の拡張機能は、特にセキュリティ情報とイベント管理 (SIEM) ソリューション用に開発されました。 CEF メッセージには、デバイス ベンダー、デバイス製品、デバイス バージョン、イベント クラス、イベント重大度、イベント ID などの情報を含む標準ヘッダーがあります。 CEF メッセージには、ソースと宛先の IP アドレス、ユーザー名、ファイル名、実行されたアクションなど、イベントに関する詳細を提供するさまざまな拡張機能もあります。

AMA を使用した Syslog メッセージと CEF メッセージの収集

次の図は、AMA 経由の Syslog と AMA コネクタ経由の共通イベント形式 (CEF) を使用した、Microsoft Sentinelでの Syslog および CEF メッセージ収集のアーキテクチャを示しています。

ログ メッセージを収集するためのセットアップ プロセス

Microsoft Sentinelの Content ハブから、Syslog または Common Event Format に適したソリューションをインストールします。 この手順では、AMA または AMA データ コネクタを介して共通イベント形式 (CEF) を介して、それぞれのデータ コネクタ Syslog をインストールします。 詳細については、「すぐに使用Microsoft Sentinelコンテンツを検出して管理する」を参照してください。

セットアップ プロセスの一環として、データ収集ルールを作成し、ログ フォワーダーにAzure Monitor Agent (AMA) をインストールします。 これらのタスクは、AzureまたはMicrosoft Defender ポータルを使用するか、Azure Monitor ログ インジェスト API を使用して実行します。

• AzureまたはMicrosoft Defender ポータルでMicrosoft Sentinelのデータ コネクタを構成する場合は、ワークスペースごとに DCR を作成、管理、削除できます。 AMA は、コネクタ構成で選択した VM に自動的にインストールされます。

• または、ログ インジェスト API に HTTP 要求を送信します。 このセットアップでは、DCR を作成、管理、削除できます。 このオプションは、ポータルよりも柔軟です。 たとえば、API では、特定のログ レベルでフィルター処理できます。 Azureまたは Defender ポータルでは、最小ログ レベルのみを選択できます。 この方法を使用する欠点は、DCR を作成する前に、ログ フォワーダーにAzure Monitor エージェントを手動でインストールする必要があるということです。

DCR を作成し、AMA がインストールされたら、ログ フォワーダーで "インストール" スクリプトを実行します。 このスクリプトは、他のマシンからのメッセージをリッスンし、必要なローカル ポートを開く Syslog デーモンを構成します。 次に、必要に応じてセキュリティ デバイスまたはアプライアンスを構成します。

詳細については、次の記事を参照してください。

• syslog メッセージと CEF メッセージを取り込み、Azure モニター エージェントでMicrosoft Sentinelする
• AMA データ コネクタ経由の CEF - Microsoft Sentinel データ インジェスト用に特定のアプライアンスまたはデバイスを構成する
• AMA データ コネクタ経由の Syslog - Microsoft Sentinel データ インジェスト用に特定のアプライアンスまたはデバイスを構成する

データ インジェストの重複回避

Syslog メッセージと CEF メッセージの両方に同じ機能を使用すると、CommonSecurityLog テーブルと Syslog テーブル間でデータ インジェストが重複する可能性があります。

このシナリオを回避するには、次のいずれかの方法を使用します。

• ソース デバイスがターゲット機能の構成を有効にする場合: CEF 形式でログをログ フォワーダーに送信する各ソース マシンで、Syslog 構成ファイルを編集して、CEF メッセージの送信に使用される機能を削除します。 このようにすると、CEF で送信されたファシリティも Syslog で送信されません。 構成する各 DCR で、CEF または Syslog に関連する機能がそれぞれ使用されていることを確認します。

  同じエージェントから Syslog メッセージと CEF メッセージの両方を取り込む DCR を配置する方法の例を確認するには、同 じ DCR 内の Syslog ストリームと CEF ストリームに移動します。

• ソース アプライアンスの機能を変更できない場合: DCR を作成した後、インジェスト時間変換を追加して Syslog ストリームから CEF メッセージを除外して重複を回避します。 「 チュートリアル: データ収集ルール (DCR) を編集する」を参照してください。 次の例のような KQL 変換を追加します。

  "transformKql": "  source\n    |  where ProcessName !contains \"CEF\"\n"
  

次の手順