Настройка автоматической отправки журналов для непрерывных отчетов

Сборщики журналов позволяют с легкостью автоматизировать отправку журналов из вашей сети. Сборщик журналов работает в сети и получает журналы через Syslog или FTP. Каждый журнал автоматически обрабатывается, сжимается и передается на портал. Журналы FTP отправляются в Microsoft Defender for Cloud Apps после завершения передачи файла по FTP в сборщик журналов. Для Syslog сборщик логов записывает полученные логи на диск. Затем сборщик отправляет файл в Defender for Cloud Apps, когда размер файла превышает 40 КБ.

После отправки журнала в Defender for Cloud Apps он перемещается в каталог резервного копирования. В каталоге резервного копирования хранятся последние 20 журналов. При поступлении новых журналов старые удаляются. Когда на диске сборщика журналов заканчивается свободное место, сборщик журналов отбрасывает новые журналы, пока на диске не освободится больше места (этого не должно происходить, если должным образом соблюдены предварительные требования). В настройках Автоматическая отправка журналов на вкладке Сборщики журналов появится предупреждение, если сборщик журналов не сохраняет новые журналы из-за нехватки места на диске.

Перед настройкой автоматического сбора файлов журнала проверьте, соответствует ли журнал ожидаемому типу журнала. Вы хотите убедиться, что Defender for Cloud Apps может проанализировать конкретный файл. Дополнительные сведения см. в статье Использование журналов трафика для обнаружения в облаке.

Примечание.

  • Defender for Cloud Apps обеспечивает поддержку переадресации журналов с сервера SIEM в сборщик журналов при условии, что журналы перенаправляются в исходном формате. Однако настоятельно рекомендуется интегрировать сборщик журналов непосредственно с брандмауэром и (или) прокси-сервером.
  • Сборщик журналов сжимает данные перед отправкой. Исходящий трафик сборщика журналов будет составлять 10 % от размера получаемых им журналов трафика.
  • Если сборщик журналов сталкивается с проблемами, вы получите оповещение после того, как данные не были получены в течение 48 часов.

Предварительные условия

Убедитесь, что среда соответствует следующим требованиям к системе:

  • Место на диске 250 ГБ
  • Ядер ЦП: 2
  • Архитектура ЦП: Intel® 64 и AMD 64
  • ОЗУ: 4 ГБ
  • Настройка брандмауэра, как описано в разделе Требования к сети

Примечание.

Чтобы установить новую версию сборщика журналов, необходимо остановить сборщик журналов, удалить текущий образ и установить новый.

Примечание.

Если у вас есть сборщик журналов и вы хотите удалить его перед его развертыванием снова или просто удалить его, выполните следующие команды:

docker stop <collector_name>

docker rm <collector_name>

Производительность сборщика журналов

Сборщик журналов может успешно обрабатывать емкость журнала до 50 ГБ в час. Ниже перечислены main узкие места в процессе сбора журналов.

  • Пропускная способность сети. Скорость передачи журнала определяется пропускной способностью сети.
  • Производительность ввода-вывода виртуальной машины определяет скорость записи журналов на диск сборщика журналов. Сборщик журналов имеет встроенный механизм безопасности, который отслеживает скорость поступления журналов и сравнивает ее со скоростью отправки. В случаях перегрузки сборщик журналов начинает удалять файлы журналов. Если в вашей конфигурации объем трафика обычно превышает 50 ГБ в час, рекомендуется распределить его между несколькими сборщиками журналов.

Связанные материалы

Сборщик журналов поддерживает режим развертывания контейнера . Дополнительные сведения см. в разделе:

Дальнейшие действия

Работа с данными обнаружения в облаке

  • Last updated on