Как получить события безопасности Windows в рабочей области Azure Log Analytics?
У меня есть несколько виртуальных машин и масштабируемых наборов виртуальных машин в Azure, для которых я хочу собирать журналы событий безопасности Windows. Я попытался добавить эти события в рабочую область Log Analytics, используемую Sentinel, через портал.
Это вызывает следующее сообщение об ошибке.
Этот пакет аналитики не может собирать журнал событий "Безопасность", поскольку типы событий "Успешный аудит" и "Сбой аудита" в настоящее время не поддерживаются.
Для меня крайне важно, чтобы у Sentinel был доступ к этим журналам безопасности. Я пытался выяснить, какие у меня есть варианты, но пока не нашел подходящего.
Предписанный подход, как представляется, создание соединителя данных в Сентинел для событий безопасности. Я наткнулся на пару интересных вещей, пытаясь это сделать.
Поддержка масштабируемых наборов виртуальных машин ограничена. В данный момент нет доступных действий.
Похоже, я не могу подключить масштабируемые наборы виртуальных машин, что является большой проблемой. Кроме того, я даже не могу выбрать уровень событий безопасности (см. Ниже) из этого контекста.
Похоже, мне нужно использовать Центр безопасности Azure. Из Центра безопасности Azure единственный способ добавить эти события безопасности - включить автоматическую подготовку и установить агент мониторинга Microsoft (MMA) на каждой виртуальной машине, чего я не хочу делать. Меня также беспокоят затраты на использование ASC.
Есть ли другие варианты? Я ошибаюсь?
1 ответ
Журнал событий безопасности автоматически добавляется за кулисами при добавлении агента мониторинга на виртуальную машину.
Что касается VMSS, я не уверен, какие у вас есть варианты.