Decoder:イベント ソース マッピングの有効化

Document created by RSA Information Design and Development on Apr 19, 2018
Version 1Show Document
  • View in full screen mode
 

このトピックでは、Log Decoderでイベント ソースのマッピングを有効化する方法を管理者向けに説明します。

Log Collectorは、メッセージごとにイベント ソース タイプを検出します。イベント ソースの正しいパーサが識別されない場合、ごく一部のログが正しく識別されない場合があります。メッセージが誤って分類されると、イベント ソースのルールやアラートにメッセージが入力されず、レポートに適切な情報が含まれなくなります。IPアドレスに複数のイベント ソース タイプが関連付けられている場合、Parserはログが生成されたイベント ソースを厳密に特定するのが難しくなります。

IPアドレスをイベント ソース タイプにマッピングすると、Log Decoderはログが生成されたイベント ソースを特定できます。マップングされたイベント ソースからLog Decoderにメッセージが配信されると、割り当てられたParserのみがクエリされ、一致するイベントが検索されます。

イベント ソース タイプは、IPV4、IPV6、イベント ソースのホスト名の値に割り当てることができます。また、複数のイベント ソース タイプを単一のIPアドレスに割り当てることもできます。同じIPアドレスの異なるイベント ソース タイプから別々のLog Collectorにメッセージが送信される場合は、Log Collector IDを使用することもできます。

注:[管理]>[イベント ソース]>[検出]に移動して、パーサ マッピング機能を有効にすることもできます。

IPアドレスのイベント ソースへのマッピングの有効化

IPアドレスのイベント ソースへのマッピングを有効化するには、次の手順に従います。

  1. [管理]>[システム]>[ログ パーサーのマッピング]に移動します。
  2. Decoder]を選択し、>[表示]>[構成]を選択します。
  3. [構成]ページで、[パーサ マッピング]タブを選択します。
    [サービス]の[構成]ビューに[パーサ マッピング]タブが表示されます。
    これは、[パーサ マッピング]タブの例です。

IPのイベント ソースへのマッピングの更新

IPのイベント ソースへのマッピングを更新するには、次の手順に従います。

  1. [管理]>[サービス]に移動します。
  2. Log Decoder]を選択し、[アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. パーサ マッピング]タブを選択します。
  4. [追加]アイコンをクリックします。

    マッピング エディタが表示されます。
    これは、[マッピング エディタ]ダイアログの例です。

  5. 次のマッピングのいずれかを定義できます。

1つのホストと1つのイベント ソース タイプ
- [ホスト]フィールドにホスト名を入力します。
  例:10.0.0.1
- [イベント ソース]フィールドにイベント ソース タイプを入力します。
  例:apache
1つのホストと1つ以上のイベント ソース タイプ
- [ホスト]フィールドにホスト名を入力します。
  例:10.0.0.1 
- [イベント ソース]フィールドにイベント ソース タイプを入力します。
例:apache,sap,aix
1つのホスト、1つのLog Collector ID、1つのイベント ソース タイプ
- [ホスト]フィールドにホスト名とLog Collector IDを入力します。
  例:10.0.0.1,LC-1.
- [イベント ソース]フィールドにイベント ソース タイプを入力します。
  例:apache
1つのホスト、1つのLog Collector ID、1つまたは複数のイベント ソース タイプ
- [ホスト]フィールドにホスト名とLog Collector IDを入力します。
  例:10.0.0.1,LC-1
- [イベント ソース]フィールドにイベント ソース タイプを入力します。
  例:apache,sap,aix

注:イベント ソース タイプは、パーサを入力した順序で処理されます。1つまたは複数のパーサがログと一致した場合、リストの最初のパーサがクエリされます。ホスト/IPは、IPv4、IPv6、ホスト名のいずれかに指定できます。

  1. OK]をクリックします。
    Parserマッピングが追加されます。
  1. パーサ マッピングの選択を解除するには、[キャンセル]をクリックします。

IPのイベント ソース タイプへのマッピングの読み取り

IPのイベント ソース タイプへのマッピングを読み取るには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. アクション]列で、アクション メニュー [表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. パーサ マッピング]タブを選択します。
    マッピングが表示されます。
    これは、[パーサ マッピング]タブの例です。

IPのイベント ソース タイプへのマッピングの編集

IPのイベント ソース タイプへのマッピングを編集するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 編集するマッピングを選択します。
    注: 一度に編集できるマッピングは1つだけです。
  5. [編集]アイコンをクリックします。
  6. イベント ソース]フィールドで、イベント ソースを変更します。
    注: ホストは編集できず、フィールドは無効になっています。
  7. OK]をクリックして、編集済みのイベント ソースを受け入れます。
  8. 変更をキャンセルするには、[キャンセル]をクリックします。

IPのイベント ソース タイプへのマッピングを削除します。

IPのイベント ソース タイプへのマッピングを削除するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 削除するマッピングを選択します。
  5. [削除]アイコンをクリックします。
    マッピングが削除され、グリッドが更新されます。
  6. 変更をキャンセルするには、[キャンセル]をクリックします。

ホスト名またはイベント ソース タイプのソート

ホスト名またはイベント ソース タイプをソートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 列をソートするには、列のヘッダーにある
    をクリックします。選択したIPアドレスにイベント ソース タイプが適用されます。ログは、リストされている順序でパーサでパースされます。

IPのイベント ソースへのマッピング エントリーのインポート

IPのイベント ソースへのマッピング エントリーをインポートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. [アクション]>[インポート]を選択します。
    [インポート]ダイアログが表示されます。

    これは、[インポート]ダイアログの例です。
  5. [追加]アイコンをクリックします。
  6. インポートするファイルを選択して[OK]をクリックします。
  7. Parser をロードするには、[インポート]をクリックします。

注:一度に1つの.csvファイルのみをインポートできます。

IPのイベント ソースへのマッピング エントリーのエクスポート

IPのイベント ソースへのマッピング エントリーをエクスポートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. エクスポートするマッピングを選択します。
  5. [アクション]>[エクスポート]>[選択]を選択します。
    [選択範囲のエクスポート]ダイアログが表示されます。
    これは、[選択範囲のエクスポート]ダイアログの例です。
  6. ファイル名を入力し、[エクスポート]をクリックします。

IPのイベント ソースへのマッピング エントリーの検索

IPのイベント ソースへのマッピング エントリーを検索するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、アクション メニュー >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. [Parserマッピング]ツールバーで、[フィルタ]フィールドにホストまたはイベント ソースを入力します。
  5. Enterをクリックします。
    フィルタ]フィールドに入力した名前と一致するホストまたはイベント ソースが表示されます。

You are here
Table of Contents > DecoderおよびLog Decoderのための追加の手順 > イベント ソースのマッピングの有効化

Attachments

    Outcomes