Episode 6 - AMA: Wenn keine Logs ankommen

Wer Third-Party-Quellen an Microsoft Sentinel anbinden will,
landet fast immer beim Azure Monitor Agent. Andreas und Phillipe
gehen den kompletten Weg einmal durch: die Architektur vom
Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied
zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im
Defender-Portal, das Deployment auf einer Linux-VM und was der
Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert
er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen:
rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache
und die Metrik "Logs Rows Received per Min" an der DCR.
Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel
ins Defender-Portal steht an, wer sich jetzt damit beschäftigt,
kann noch gefahrlos hin- und herwechseln.


Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter


Links


[Phillipes Sentinel-Newsletter auf LinkedIn] –
https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114

[Azure Monitor Agent – Syslog und CEF sammeln (Microsoft
Learn)] –
https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single



Feedback und Themenwünsche gerne an uns auf LinkedIn.


https://www.linkedin.com/in/andreas-rogge-58a722180/


https://www.linkedin.com/in/phillipecdl/