Episode 6 - AMA: Wenn keine Logs ankommen
Episode von Die Sentinels von Phillipe und Andreas · 16. August 2026 · 49 min
Wer Third-Party-Quellen an Microsoft Sentinel anbinden will, landet fast immer beim Azure Monitor Agent. Andreas und Phillipe gehen den kompletten Weg einmal durch: die Architektur vom Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im Defender-Portal, das Deployment auf einer Linux-VM und was der Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen: rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache und die Metrik "Logs Rows Received per Min" an der DCR. Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel ins Defender-Portal steht an, wer sich jetzt damit beschäftigt, kann noch gefahrlos hin- und herwechseln.
Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter
Links
[Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114
[Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single
Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
Weitere Episoden von „Die Sentinels“
- Episode 10 - Data Lake für alle - und jetzt? 18. Oktober 2026
- Episode 9 - Azure Portal: Abschied auf Raten 4. Oktober 2026
- Episode 8 - Security Copilot: Die freien SCUs in der Praxis 20. September 2026
- Episode 7 - Security Copilot: 400 SCUs, und jetzt? 6. September 2026
- Episode 5 - Advanced Hunting Daten in Sentinel Workbooks 2. August 2026
- Episode 4 - Data Lake, Workbooks & Berechtigungen: Die neuen Features im Defender Portal 5. Juli 2026
- Episode 3 - Agentic SOC 7. Juni 2026
- Episode 2 - M365 E7: Neue Lizenz, neue Möglichkeiten 3. Mai 2026
- Episode 1 - MCP, Microsoft, Menschlichkeit 5. April 2026
- Trailer 1. März 2026