如何解决Azure Log Analytics - SyslogMessage 被截断，但可以在 syslog 服务器带有 OMS 代理的 Linux VM中找到完整的日志
我正在尝试集成来自几个 Cisco Meraki 设备的一些日志。
方法：
Meraki 设备能够使用端口 514 (UDP) 将日志流式传输到远程系统，在这种情况下，运行 Ubuntu-Server 18.04 的 Azure 虚拟机安装了 rsyslog 作为系统日志服务器。由于这是一个托管 VM，Azure Sentinel/Log Analytics 可以轻松安装所需的代理来提取数据并将它们存储到 Log Analytics 工作簿中。此步骤需要指定 Azure 将侦听的设施。就我而言，它是 local0。这样就完成了“Syslog”数据连接。
然后，可以使用 a custom Meraki Kusto parser（查询）过滤提取的数据，将数据转换为有意义的防火墙友好日志。查询可以存储为一个函数，并将别名设置为“CiscoMeraki”。一旦此查询开始提取数据，“Cisco Meraki”数据连接就会被标记为活动状态。
问题：
我已经设法配置了它，现在我可以看到来自网络设备的日志（几乎是实时的）。问题是“SyslogMessage”字段中的内容被截断，与驻留在虚拟机中的日志不匹配。
示例：
- 存储在 VM 中的日志：
Mar 24 15:52:36 {MERAKI_IP} 1616601156.382142022 {MERAKI_DEVICE_NAME} events content_filtering_block url='https://laptop-updates.brave.com/...' category0='Shareware and Freeware' server='151.101.193.32:443' client_mac='{PERSONAL_COmpuTER_MAC}' - SyslogMessage 列：
//laptop-updates.brave.com/...' category0='Shareware and Freeware' server='151.101.193.32:443' client_mac='{PERSONAL_COmpuTER_MAC}'
| 占位符 | 说明 |
|---|---|
| {MERAKI_IP} | Meraki 设备（日志生成器）的公共 IP 地址 |
| {MERAKI_DEVICE_NAME} | 为 Meraki 设备设置的友好名称 |
| {PERSONAL_COmpuTER_MAC} | 尝试连接到黑名单网站的计算机的 MAC 地址 |
我知道虚拟机中的日志是结构化的，会被拆分成列（例如TimeGenerated、Computer），但是丢失的数据不会出现在任何地方。上面提到的自定义解析器产生空单元格，因为首先无法从 Syslog 表中找到数据。
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。