構成

これには Fortigate と Sentinel との間に syslog( rsyslog または syslog-ng )と Log Analytics Agent がインストールされている Linux サーバが必要です。このサーバを以降はログフォーワーダーと呼びます。
Log Analystics は Sentinel を利用する上で必要なサービスなので Sentinel の一部と考えてください。Sentinel は作成済みの前提で進めます。

ログフォーワーダーの準備

必要なサーバスペックは以下のリンクを参照してください。
ログフォワーダーをデプロイして Syslog および CEF ログを Microsoft Sentinel に取り込む
Syslogデーモンを起動し、TCPの514ポートを許可しておいてください。
私はAzureで立てました。手順を以下に記述しておきます。

Azure に Ubuntu を立てる

Azure の Virtual Machineを立てたので手順を書きます。

仮想ネットワーク作成

仮想ネットワークのホームに行き、「仮想ネットワークの作成」をクリックします。

リソースグループを選択し、インスタンスの詳細の名前、地域に任意の値を設定します。「確認及び作成」をクリックします。

検証が始まるので、終わったら「作成」をクリックします。

仮想ネットワークが作成されました。

Virtual Machines 作成

Virtual Machines のホームに行き、「作成」>「仮想マシン」をクリックします。

リソースグループを選択し、仮想マシン名に任意の名前を設定します。その他はデフォルトです。必要マシンスペック( 4cpu,8Gメモリ )に足りていませんが、これでも動きます。本番利用ではスペックに上げるようにしてください。「確認および作成」をクリックします。

検証が始まるので、終わったら「作成」をクリックします。

秘密鍵をダウンロードしておきます。

デプロイが完了しました。

ssh で接続し apt パッケージを更新しておきます。

$ sudo apt update && sudo apt upgrade -y

TCP 514 ポート開放

Virtual Machine を立てたリソースグループに移動し、ネットワークセキュリティーグループをクリックします。

「受信セキュリティー規則」>「+追加」をクリックします。以下を入力し、「追加」をクリックします。以下を入力し、「追加」をクリックします。
宛先ポート範囲:514
プロトコル:Any or TCP
アクション:許可
名前:任意

データコネクタを作成

Microsoft Sentinel の「データコネクタ」>「Fortinet」>「コネクタページを開く」をクリックします。

手順が右ペインに表示されるので、それに従って Agent をインストールします。

Log Analystics Agent をインストール

インストールには python と sudo 実行権限が必要です。

python

Azure の Ubuntu( Ubuntu 20.04.3 LTS ) は python3 はインストールされていますが python はインストールされていないので、python-is-python3をインストールし python コマンドで実行できるようにしてます。

$ python --version

Command 'python' not found, did you mean:

  command 'python3' from deb python3
  command 'python' from deb python-is-python3
$ python3 --version
Python 3.8.10
$ sudo apt install python-is-python3
$ python --version
Python 3.8.10

sudo

sudoが使用できない場合は管理者に追加してもらってください。

# sudoが表示されれば使用できます。
$ groups
azureuser adm dialout cdrom floppy sudo audio dip video plugdev netdev lxd

Analystics Agent

手順に表示されたインストールコマンドを実行します。

$ sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py 87afb840-ce4b-4ab7-8f0c-6b052b67dd3a Z436dK3JXcSIsvDaCB5fLmSpBP7VnswqC+zHbY+fZmUTiW7B1Lht8vS8Mu31AV5vrMtFzG5MZelXQe3XBs2PtA==

Agent のインストールから各種設定までこのコマンドで実行されます。
以下に内部で何が行われているのか記述します。

インストール内容詳細

１．エージェントがインストールされます。

Installed omsagent successfully.

２．syslog が CEF のログを受信した場合、127.0.0.1:25226 へ転送するように設定されます。

Configuration for omsagent downloaded successfully.
Trying to change omsagent configuration
Omsagent configuration was changed to fit required protocol - /etc/opt/microsoft/omsagent/87afb840-ce4b-4ab7-8f0c-6b052b67dd3a/conf/omsagent.d/security_events.conf
Finished changing omsagent configuration
Located rsyslog daemon running on the machine
Creating rsyslog daemon configuration.
Configuration is changed to forward daemon incoming syslog messages into the omsagent.
Every command containing 'CEF' string will be forwarded.
Path:
/etc/rsyslog.d/security-config-omsagent.conf
Rsyslog daemon configuration content:
if $rawmsg contains "CEF:" or $rawmsg contains "ASA-" then @@127.0.0.1:25226
Configuration for rsyslog daemon was changed successfully.
Rsyslog.conf configuration was changed to fit required protocol - /etc/rsyslog.conf
Restarting rsyslog daemon.
sudo service rsyslog restart
Rsyslog daemon restarted successfully

３．OMS Agent も再起動されます。

Trying to restart omsagent
sudo /opt/microsoft/omsagent/bin/service_control restart 87afb840-ce4b-4ab7-8f0c-6b052b67dd3a
Omsagent restarted successfully
OMS Agent syslog field mapping is correct

４．インストールが完了しました。
（ログの重複と容量についての警告が表示されますが、対応が必要なのかちょっとわかりません。。。）

Your machine is auto synced with the portal. In case you are using the same machine to forward both plain Syslog and CEF messages, please make sure to manually change the Syslog configuration file to avoid duplicated data and disable the auto sync with the portal. Otherwise all changes will be overwritten.
To disable the auto sync with the portal please run: "sudo su omsagent -c 'python /opt/microsoft/omsconfig/Scripts/OMS_MetaConfigHelper.py --disable'"
For more on how to avoid duplicated syslog and CEF logs please visit: https://docs.microsoft.com/azure/sentinel/connect-cef-agent?tabs=rsyslog

Warning: please make sure your logging daemon configuration does not store unnecessary logs. This may cause a full disk on your machine, which will disrupt the function of the oms agent installed. For more information:
https://www.rsyslog.com/doc/master/configuration/actions.html
Installation completed

設定ファイル

rsyslog は CEF フォーマットを 127.0.0.1:25226 へ転送します。

$ cat /etc/rsyslog.d/security-config-omsagent.conf 

if $rawmsg contains "CEF:" or $rawmsg contains "ASA-" then @@127.0.0.1:25226

エージェントは syslog の CEF フォーマットを 25226ポートでlistenしています。

$ sudo cat /etc/opt/microsoft/omsagent/87afb840-ce4b-4ab7-8f0c-6b052b67dd3a/conf/omsagent.d/security_events.conf
<source>
  type syslog
  port 25226
  bind 127.0.0.1
  protocol_type tcp
  tag oms.security
  format /(?<time>(?:\w+ +){2,3}(?:\d+:){2}\d+|\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}.[\w\-\:\+]{3,12}):?\s*(?:(?<host>[^: ]+) ?:?)?\s*(?<ident>.*CEF.+?(?=0\|)|%ASA[0-9\-]{8,10})\s*:?(?<message>0\|.*|.*)/
  <parse>
     message_format auto
  </parse>
</source>


<filter oms.security.**>
  type filter_syslog_security
</filter>

ポートの確認

$ sudo lsof -i -P | grep "rsyslog\|omsagent"
rsyslogd  11034          syslog    5u  IPv4  53625      0t0  UDP *:514 
rsyslogd  11034          syslog    6u  IPv6  53626      0t0  UDP *:514 
rsyslogd  11034          syslog    7u  IPv4  53629      0t0  TCP *:514 (LISTEN)
rsyslogd  11034          syslog    8u  IPv6  53630      0t0  TCP *:514 (LISTEN)
omsagent  11786        omsagent   13u  IPv4  57985      0t0  TCP localhost:25226 (LISTEN)
omsagent  11786        omsagent   15u  IPv4  57986      0t0  UDP localhost:25224

Fortigate

Microsoft の Docs にログの設定方法が載っていますが Fortigate はデフォルトで UDP なのでTCPを指定するようにしてください。
Microsoft Sentinel データコネクタを見つける - Fortinet

config log syslogd setting
set status enable
set format cef
set port 514
set server <ip_address_of_Forwarder>
set mode reliable
end

確認

CommonSecurityLogという名前のテーブルに取り込まれます。

料金

以下の料金が発生します。

Log Analystics データ投入費用
Log Analystics データ保管費用
Linux サーバ運用費用

また、Log Analystics のデータ保管期間の最大は720日なのでそれよりも長く保管したい場合、Azure Blob Storage などのストレージ使用料も発生しする可能性があります。