Konfigurieren des automatischen Protokolluploads mit lokalem Docker unter Windows

Sie können den automatischen Protokollupload für fortlaufende Berichte in Microsoft Defender for Cloud Apps mithilfe eines Docker-Containers auf einem lokalen Windows-Server konfigurieren. Dieser Artikel führt Sie durch das Einrichten von Datenquellen im Microsoft Defender-Portal, die Bereitstellung des Docker-basierten Protokollsammlers, das Konfigurieren Ihrer Netzwerkgeräte zum Weiterleiten von Protokollen und zum Überprüfen der Bereitstellung.

Voraussetzungen

• Die Firewallprotokollweiterleitung muss so konfiguriert sein, dass Protokolle an den Hostcomputer des Protokollsammlers gesendet werden.

• Architekturspezifikationen:

  Spezifikation	Beschreibung
  Betriebssystem	Windows 10 (Fall Creators Update)
  Speicherplatz	250 GB
  CPU-Kerne	2
  CPU-Architektur	Intel 64 und AMD 64
  RAM	4 GB

  Eine Liste der unterstützten Docker-Architekturen finden Sie in der Dokumentation zur Docker-Installation.

• Legen Sie Ihre Firewall nach Bedarf fest. Weitere Informationen finden Sie unter Netzwerkanforderungen.

• Die Virtualisierung auf dem Betriebssystem muss mit Hyper-V aktiviert sein.

Einen vorhandenen Protokollsammler entfernen

Wenn Sie über einen vorhandenen Protokollsammler verfügen und ihn entfernen möchten, bevor Sie ihn erneut bereitstellen, oder wenn Sie ihn einfach entfernen möchten, führen Sie die folgenden Schritte aus:

1. Beenden Sie den Protokollsammler:

   docker stop <collector_name>
   

2. Entfernen Sie den Protokollsammler:

   docker rm <collector_name>
   

Leistung des Protokollsammlers

Der Protokollsammler kann eine Protokollkapazität von bis zu 50 GB pro Stunde erfolgreich verarbeiten. Die wichtigsten Engpässe im Protokollsammlungsprozess sind:

• Netzwerkbandbreite: Ihre Netzwerkbandbreite bestimmt die Geschwindigkeit des Protokolluploads.

• E/A-Leistung des virtuellen Computers: Bestimmt die Geschwindigkeit, mit der Protokolle auf den Datenträger des Protokollsammlers geschrieben werden. Der Protokollsammler verfügt über einen integrierten Sicherheitsmechanismus, der die Rate überwacht, mit der Protokolle eingehen, und sie mit der Uploadrate vergleicht. Bei Überlastung beginnt der Protokollsammler, Protokolldateien zu löschen. Wenn Ihr Setup in der Regel 50 GB pro Stunde überschreitet, wird empfohlen, den Datenverkehr auf mehrere Protokollsammler aufzuteilen.

Schritt 1: Konfiguration des Webportals

Verwenden Sie die folgenden Schritte, um Ihre Datenquellen zu definieren und sie mit einem Protokollsammler zu verknüpfen. Ein einzelner Protokollsammler kann mehrere Datenquellen verarbeiten.

1. Wählen Sie im Microsoft Defender-Portal Einstellungen>Cloud Apps>Cloud Discovery>Automatischer Protokollupload>Datenquellen aus.

2. Erstellen Sie für jede Firewall oder jeden Proxy, aus dem Sie Protokolle hochladen möchten, eine übereinstimmende Datenquelle:

   1. Wählen Sie +Datenquelle hinzufügen aus.

      

   2. Benennen Sie Ihren Proxy oder Ihre Firewall.

      

   3. Wählen Sie das Gerät aus der Liste Quelle aus. Wenn Sie benutzerdefiniertes Protokollformat auswählen, um mit einem Netzwerk Anwendung zu arbeiten, das nicht aufgeführt ist, finden Sie unter Arbeiten mit dem benutzerdefinierten Protokollparser Konfigurationsanweisungen.

   4. Vergleichen Sie Ihr Protokoll mit dem Beispiel des erwarteten Protokollformats. Wenn Ihr Protokolldateiformat nicht mit diesem Beispiel übereinstimmt, sollten Sie Ihre Datenquelle als Sonstige hinzufügen.

   5. Legen Sie den Empfängertyp entweder auf FTP, FTPS, Syslog – UDP oder Syslog – TCP oder Syslog – TLS fest.

      Hinweis

      Die Integration in sichere Übertragungsprotokolle (FTPS und Syslog – TLS) erfordert häufig zusätzliche Einstellungen für Ihre Firewall/Ihren Proxy.

   6. Wiederholen Sie diese Konfigurationsschritte für die Datenquellen für jede Firewall und jeden Proxy, deren Protokolle verwendet werden können, um Datenverkehr in Ihrem Netzwerk zu erkennen. Es wird empfohlen, eine dedizierte Datenquelle pro Netzwerkgerät einzurichten, um Folgendes zu ermöglichen:

      • Überwachen Sie die status jedes Geräts zu Untersuchungszwecken separat.
      • Erkunden Sie die Schatten-IT-Ermittlung pro Gerät, wenn jedes Gerät von einem anderen Benutzersegment verwendet wird.

3. Wählen Sie oben auf der Seite die Registerkarte Protokollsammler und dann Protokollsammler hinzufügen aus.

4. Im Dialogfeld Protokollsammler erstellen :

   1. Geben Sie im Feld Name einen aussagekräftigen Namen für Ihren Protokollsammler ein.

   2. Geben Sie dem Protokollsammler einen Namen , und geben Sie die Host-IP-Adresse (private IP-Adresse) des Computers ein, den Sie zum Bereitstellen von Docker verwenden. Die Host-IP-Adresse kann durch den Computernamen ersetzt werden, wenn ein DNS-Server (oder ein entsprechender Server) vorhanden ist, der den Hostnamen auflöst.

   3. Wählen Sie alle Datenquellen aus, die Sie mit dem Collector verbinden möchten, und wählen Sie Aktualisieren aus, um die Konfiguration zu speichern.

      Weitere Bereitstellungsinformationen werden im Abschnitt " Nächste Schritte " des Dialogfelds angezeigt, einschließlich eines Befehls, den Sie später in Schritt 2 – lokale Bereitstellung Ihres Computers verwenden, um die Sammlungskonfiguration zu importieren. Wenn Sie Syslog ausgewählt haben, enthalten diese Informationen auch Daten darüber, an welchem Port der Syslog-Listener lauscht.

   4. Verwenden Sie die Schaltfläche „Kopieren“, um den Befehl in die Zwischenablage zu kopieren und an einem separaten Speicherort zu speichern.

   5. Verwenden Sie das Schaltfläche "Exportieren ", um die erwartete Datenquellenkonfiguration zu exportieren. Diese Konfiguration beschreibt, wie Sie den Protokollexport in Ihren Appliances festlegen sollten.

Für Benutzer, die erstmals Protokolldaten über FTP senden, empfehlen wir, das Kennwort für den FTP-Benutzer zu ändern. Weitere Informationen finden Sie unter Ändern des FTP-Kennworts.

Schritt 2: Lokale Bereitstellung Ihres Computers

Die folgenden Schritte beschreiben die Bereitstellung in Windows. Die Bereitstellungsschritte für andere Plattformen unterscheiden sich geringfügig.

1. Öffnen Sie ein PowerShell-Terminal als Administrator auf Ihrem Windows-Computer.

2. Führen Sie den folgenden Befehl aus, um die PowerShell-Skriptdatei für den Windows Docker-Installer herunterzuladen:

   Invoke-WebRequest https://discoveryresources-cdn-prod.cloudappsecurity.com/prod1/public-files/LogCollectorInstaller.ps1 -OutFile (Join-Path $Env:Temp LogCollectorInstaller.ps1) 
   

   Informationen zum Überprüfen, ob das Installationsprogramm von Microsoft signiert wurde, finden Sie unter Überprüfen der Installationsprogrammsignatur.

3. Um die Ausführung von PowerShell-Skripts zu aktivieren, führen Sie Folgendes aus:

   Set-ExecutionPolicy RemoteSigned`
   

4. Um den Docker-Client auf Ihrem Computer zu installieren, führen Sie Folgendes aus:

   & (Join-Path $Env:Temp LogCollectorInstaller.ps1)`
   

   Der Computer wird automatisch neu gestartet, nachdem Sie den Befehl ausgeführt haben.

5. Wenn die Maschine wieder läuft, führen Sie denselben Befehl erneut aus:

   & (Join-Path $Env:Temp LogCollectorInstaller.ps1)`
   

6. Führen Sie das Docker-Installationsprogramm aus, und wählen Sie aus, dass WSL 2 anstelle von Hyper-V verwendet werden soll.

   Nach Abschluss der Installation wird der Computer automatisch erneut neu gestartet.

7. Öffnen Sie nach Abschluss des Neustarts den Docker-Client, und akzeptieren Sie den Docker-Abonnementvertrag.

8. Wenn die WSL2-Installation nicht abgeschlossen ist, wird eine Meldung angezeigt, die darauf hinweist, dass der WSL 2-Linux-Kernel mithilfe eines separaten MSI-Updatepakets installiert wurde.

9. Schließen Sie die Installation ab, indem Sie das Paket herunterladen. Weitere Informationen finden Sie unter Herunterladen des Linux-Kernelupdatepakets.

10. Öffnen Sie den Docker Desktop-Client erneut, und stellen Sie sicher, dass er gestartet wurde.

11. Öffnen Sie eine Eingabeaufforderung als Administrator, und geben Sie den Ausführungsbefehl ein, den Sie aus dem Portal in Schritt 1 – Webportalkonfiguration kopiert haben.

    Wenn Sie einen Proxy konfigurieren müssen, fügen Sie die Proxy-IP-Adresse und die Portnummer hinzu. Wenn Ihre Proxydetails beispielsweise 172.31.255.255:8080 sind, lautet Ihr aktualisierter Ausführungsbefehl:

    (echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.255.255.255'" -e "PROXY=172.31.255.255:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
    

12. Um zu überprüfen, ob der Collector ordnungsgemäß läuft, führen Sie Folgendes aus:

    docker logs <collector_name>
    

    Die Meldung sollte angezeigt werden: Erfolgreich abgeschlossen! Zum Beispiel:

    

Schritt 3: Lokale Konfiguration Ihrer Netzwerkgeräte

Konfigurieren Sie Ihre Netzwerkfirewalls und Proxys so, dass Protokolle regelmäßig in den dedizierten Syslog-Port des FTP-Verzeichnisses entsprechend den Anweisungen im Dialogfeld " Protokollsammler erstellen " exportiert werden. Zum Beispiel:

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Schritt 4: Überprüfen der erfolgreichen Bereitstellung im Portal

Überprüfen Sie den Status in der Tabelle Protokollsammler und stellen Sie sicher, dass der Status Verbunden ist. Wenn der Status Erstellt lautet, kann es sein, dass die Verbindung des Protokollsammlers und das Parsing noch nicht abgeschlossen sind.

Sie können auch zum Governanceprotokoll wechseln und überprüfen, ob Protokolle regelmäßig in das Portal hochgeladen werden.

Alternativ können Sie den Protokollsammler status aus dem Docker-Container mithilfe der folgenden Befehle überprüfen:

1. Melden Sie sich beim Container an:

   docker exec -it <Container Name> bash
   

2. Überprüfen Sie den Status des Protokollsammlers:

   collector_status -p
   

Wenn während der Bereitstellung Probleme auftreten, lesen Sie Problembehandlung für die Clouderkennung.

Optional: Erstellen benutzerdefinierter fortlaufender Berichte

Vergewissern Sie sich, dass die Protokolle in Defender for Cloud Apps hochgeladen werden und dass Berichte generiert werden. Erstellen Sie nach der Überprüfung benutzerdefinierte Berichte. Sie können benutzerdefinierte Ermittlungsberichte basierend auf Microsoft Entra Benutzergruppen erstellen. Wenn Sie beispielsweise die Cloudnutzung Ihrer Marketingabteilung anzeigen möchten, importieren Sie die Marketinggruppe mithilfe der Funktion Benutzergruppe importieren. Erstellen Sie dann einen benutzerdefinierten Bericht für diese Gruppe. Sie können einen Bericht auch basierend auf IP-Adresstags oder IP-Adressbereichen anpassen.

1. Wählen Sie im Microsoft Defender-Portal Einstellungen>Cloud-Apps>Cloud Discovery>Fortlaufende Berichte aus.

2. Wählen Sie die Schaltfläche Bericht erstellen aus, und füllen Sie die Felder aus.

3. Unter Filter können Sie die Daten nach Datenquelle, nach importierter Benutzergruppe oder nach IP-Adresstags und -bereichen filtern.

   Hinweis

   Beim Anwenden von Filtern auf fortlaufende Berichte wird die Auswahl eingeschlossen, nicht ausgeschlossen. Wenn Sie beispielsweise einen Filter auf eine bestimmte Benutzergruppe anwenden, wird nur diese Benutzergruppe in den Bericht aufgenommen.

   

Optional: Überprüfen der Installersignatur

So stellen Sie sicher, dass das Docker-Installationsprogramm von Microsoft signiert ist:

1. Klicken Sie mit der rechten Maustaste auf die Datei, und wählen Sie Eigenschaften aus.

2. Wählen Sie Digitale Signaturen aus, und stellen Sie sicher, dass diese digitale Signatur ok angezeigt wird.

3. Stellen Sie sicher, dass die Microsoft Corporation als einziger Eintrag unter Name des Unterzeichners aufgeführt ist.

   

   Wenn die digitale Signatur ungültig ist, lautet dies Diese digitale Signatur ist ungültig:

   

Nächste Schritte

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.