Decoder:イベント ソースのマッピングの有効化

Document created by RSA Information Design and Development on Apr 19, 2018Last modified by RSA Information Design and Development on Apr 29, 2019
Version 2Show Document
  • View in full screen mode
 

このトピックでは、Log Decoderでイベント ソースのマッピングを有効化する方法を管理者向けに説明します。

Log Collectorは、メッセージごとにイベント ソース タイプを検出します。イベント ソースの正しいParserが識別されない場合、ごく一部のログが正しく識別されない場合があります。メッセージが誤って分類されると、イベント ソースのルールやアラートにメッセージが入力されず、レポートに適切な情報が含まれなくなります。IPアドレスに複数のイベント ソース タイプが関連付けられている場合、Parserはログが生成されたイベント ソースを厳密に特定するのが難しくなります。

IPアドレスをイベント ソース タイプにマッピングすると、Log Decoderはログが生成されたイベント ソースを特定できます。Log Decoderがマップングされたイベント ソースからメッセージを受信すると、割り当てられたParserのみがクエリされ、一致するイベントが検索されます。

イベント ソース タイプは、IPV4、IPV6、イベント ソースのホスト名の値に割り当てることができます。また、複数のイベント ソース タイプを単一のIPアドレスに割り当てることもできます。同じIPアドレスの異なるイベント ソース タイプから別々のLog Collectorにメッセージが送信される場合は、Log Collector IDを使用することもできます。

注:[管理]>[イベント ソース]>[検出]に移動して、Parserマッピング機能を有効にすることもできます。

IPアドレスのイベント ソースへのマッピングの有効化

IPアドレスのイベント ソースへのマッピングを有効化するには、次の手順に従います。

  1. 管理>[サービス]に移動し、Log Decoderを選択します。
  2. >[表示]>[構成]を選択します。
  3. [構成]ページで、[Parserマッピング]タブを選択します。
    [サービス]の[構成]ビューに[Parserマッピング]タブが表示されます。
    This is an example of the Parser Mappings tab.

IPのイベント ソースへのマッピングの更新

IPのイベント ソースへのマッピングを更新するには、次の手順に従います。

  1. 管理>[サービス]に移動します。
  2. Log Decoderを選択し、[アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. The add iconをクリックします。

    マッピング エディタが表示されます。

  5. 次のマッピングのいずれかを定義できます。
  • 1つのホストと1つのイベント ソース タイプ
    ホスト]フィールドにホスト名を入力します。
    例:10.0.0.1
  • イベント ソース]フィールドにイベント ソース タイプを入力します。
    例:apache
  • 1つのホストと1つ以上のイベント ソース タイプ
    ホスト]フィールドにホスト名を入力します。
    次に例を示します。10.0.0.1 
  • イベント ソース]フィールドにイベント ソース タイプを入力します。
    例:apache,sap,aix
  • 1つのホスト、1つのLog Collector ID、1つのイベント ソース タイプ
    ホスト]フィールドにホスト名とLog Collector IDを入力します。
    次に例を示します。10.0.0.1,LC-1
  • イベント ソース]フィールドにイベント ソース タイプを入力します。
    次に例を示します。apache
  • 1つのホスト、1つのLog Collector ID、1つまたは複数のイベント ソース タイプ
    ホスト]フィールドにホスト名とLog Collector IDを入力します。
    次に例を示します。10.0.0.1,LC-1
  • イベント ソース]フィールドにイベント ソース タイプを入力します。
    次に例を示します。apache,sap,aix

注:イベント ソース タイプは、Parserを入力した順序で処理されます。1つまたは複数のParserがログと一致した場合、リストの最初のParserがクエリされます。ホスト/IPは、IPv4、IPv6、ホスト名のいずれかに指定できます。

  1. OK]をクリックします。
    Parserマッピングが追加されます。
  1. Parserマッピングの選択を解除するには、[キャンセル]をクリックします。

IPのイベント ソース タイプへのマッピングの読み取り

IPのイベント ソース タイプへのマッピングを読み取るには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. アクション]列で、Actions menu [表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
    マッピングが表示されます。
    This is an example of the Parser Mappings tab.

IPのイベント ソース タイプへのマッピングの編集

IPのイベント ソース タイプへのマッピングを編集するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 編集するマッピングを選択します。
    注: 一度に編集できるマッピングは1つだけです。
  5. The edit iconをクリックします。
  6. イベント ソース]フィールドで、イベント ソースを変更します。
    注: ホストは編集できず、フィールドは無効になっています。
  7. OK]をクリックして、編集済みのイベント ソースを受け入れます。
  8. 変更をキャンセルするには、[キャンセル]をクリックします。

IPのイベント ソース タイプへのマッピングを削除します。

IPのイベント ソース タイプへのマッピングを削除するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 削除するマッピングを選択します。
  5. The delete iconをクリックします。
    マッピングが削除され、グリッドが更新されます。
  6. 変更をキャンセルするには、[キャンセル]をクリックします。

ホスト名またはイベント ソース タイプのソート

ホスト名またはイベント ソース タイプをソートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. 列をソートするには、列のヘッダーにある
    をクリックします。選択したIPアドレスにイベント ソース タイプが適用されます。ログは、リストのParserの順番でパースされます。

IPのイベント ソースへのマッピング エントリーのインポート

IPのイベント ソースへのマッピング エントリーをインポートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. [アクション]>[インポート]を選択します。
    [インポート]ダイアログが表示されます。

    This is an example of the Import dialog.
  5. The add iconをクリックします。
  6. インポートするファイルを選択して[OK]をクリックします。
  7. Parser をロードするには、[インポート]をクリックします。

注:一度に1つの.csvファイルのみをインポートできます。

IPのイベント ソースへのマッピング エントリーのエクスポート

IPのイベント ソースへのマッピング エントリーをエクスポートするには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. エクスポートするマッピングを選択します。
  5. [アクション]>[エクスポート]>[選択]を選択します。
    [選択範囲のエクスポート]ダイアログが表示されます。
    This is an example of the Export Selection dialog.
  6. ファイル名を入力し、[エクスポート]をクリックします。

IPのイベント ソースへのマッピング エントリーの検索

IPのイベント ソースへのマッピング エントリーを検索するには、次の手順に従います。

  1. [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
  2. [アクション]列で、Actions menu >[表示]>[構成]を選択します。
    [サービス]の[構成]ビューが表示されます。
  3. Parserマッピング]タブを選択します。
  4. [Parserマッピング]ツールバーで、[フィルタ]フィールドにホストまたはイベント ソースを入力します。
  5. Enterをクリックします。
    フィルタ]フィールドに入力した名前と一致するホストまたはイベント ソースが表示されます。

You are here
Table of Contents > DecoderおよびLog Decoderのための追加の手順 > イベント ソースのマッピングの有効化

Attachments

    Outcomes