Startseite
Podcasts
Die Sentinels Podcast
Episode 6 - AMA: Wenn keine Logs ankommen

Episode 6 - AMA: Wenn keine Logs ankommen

Die Sentinels vor 2 Monaten

0:00

48:46

Wer Third-Party-Quellen an Microsoft Sentinel anbinden will,
landet fast immer beim Azure Monitor Agent. Andreas und Phillipe
gehen den kompletten Weg einmal durch: die Architektur vom
Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied
zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im
Defender-Portal, das Deployment auf einer Linux-VM und was der
Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert
er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen:
rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache
und die Metrik "Logs Rows Received per Min" an der DCR.
Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel
ins Defender-Portal steht an, wer sich jetzt damit beschäftigt,
kann noch gefahrlos hin- und herwechseln.

Kapitel

00:00 Intro: AMA und die MMA-Vorgeschichte

01:40 Architektur: vom Syslog-Daemon zum Workspace

04:00 Syslog vs. CEF und die Ziel-Tabellen

05:30 Einschub: Sentinel-Umzug ins Defender-Portal

11:24 Content Hub: die AMA-Connectoren

12:15 CEF-DCR anlegen und das Template verstehen

19:40 AMA aufs System bringen: DCR, Extension, Azure Arc

21:42 Was der Forwarder-Installer wirklich macht

26:00 Auf der Maschine: Status-Checks und rsyslog-Config

31:30 Installer ausführen und Testnachrichten senden

33:00 Advanced Hunting: die Events sind da

37:00 Troubleshooting: mdsd-Logs und QoS-Datei

38:50 DCR im Config Cache nachvollziehen

42:26 Lokales Caching des AMA

43:21 DCR-Metriken im Azure Portal

47:26 Phillipes Sentinel-Newsletter

Links

[Phillipes Sentinel-Newsletter auf LinkedIn] –
https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114

[Azure Monitor Agent – Syslog und CEF sammeln (Microsoft
Learn)] –
https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single

Feedback und Themenwünsche gerne an uns auf LinkedIn.

https://www.linkedin.com/in/andreas-rogge-58a722180/

https://www.linkedin.com/in/phillipecdl/