Проблема с включением Cisco ASA в таблицу данных CommonSecurityLog

спасибо за ваше время и помощь в этом. У меня постоянная проблема с включением Cisco ASA в таблицу данных CommonSecurityLog. Я думаю, это связано с тем, как я получаю сообщения через syslog, и моим пониманием архитектуры omsagent и того, как он различает CEF и Syslog. В настоящее время у нас нет записи в какие-либо средства системного журнала. Я пишу сообщения cisco asa в настраиваемый файл, который создается каждый день. Это отправка по TCP / 1470, потому что cisco asa не поддерживает TCP / 514. Журналы успешно поступают на компьютер, поэтому у меня нет проблем с синтаксисом conf. Хотя я не могу найти ничего полезного, чтобы передать это в Sentinel сейчас, когда он находится на моем сервере системного журнала, помимо создания настраиваемого журнала, в котором не будет сопоставления полей. Ниже показано, как выглядит мой syslog-ng.conf для связанного источника. Я также запустил сценарий проверки подключения на странице соединителя данных, чтобы убедиться, что с агентом, подключенным к рабочей области, все в порядке.

source s_cisco {
        tcp(port(1470));
};

destination d_cisco_asa { file("/opt/syslog-ng/cisco_asa/$HOST/$YEAR-$MONTH-$DAY-$SOURCEIP-cisco_asa.log");};

filter f_cisco_asa {
                                               host(x.x.x.x);
                                                };

log { source(s_cisco); filter(f_cisco_asa); destination(d_cisco_asa); };

azure-log-analytics azure-sentinel syslog
person C. Lozach    schedule 17.04.2020    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Для сбора журналов агентом Linux нам необходимо отправить их агенту через порт 25226.

#syslog config
destination security_oms { udp("127.0.0.1" port(25226)); };
and then create security events configuration file


#oms config
#/etc/opt/microsoft/omsagent/<workspace id>/conf/omsagent.d/
<source>
  type syslog
  port 25226
  bind 127.0.0.1
  protocol_type tcp
  tag oms.security
  format /(?<time>(?:\w+ +){2,3}(?:\d+:){2}\d+|\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}.[\w\-\:\+]{3,12}):?\s*(?:(?<host>[^: ]+) ?:?)?\s*(?<ident>.*CEF.+?(?=0\|)|%ASA[0-9\-]{8,10})\s*:?(?<message>0\|.*|.*)/
  <parse>
     message_format auto
  </parse>
</source>


<filter oms.security.**>
  type filter_syslog_security
</filter>

Подробнее об этом вы можете найти на странице oms github Конфигурация событий безопасности OMS

person profesor79    schedule 23.04.2020