このトピックでは、Log Decoderでイベント ソースのマッピングを有効化する方法を管理者向けに説明します。
Log Collectorは、メッセージごとにイベント ソース タイプを検出します。イベント ソースの正しいParserが識別されない場合、ごく一部のログが正しく識別されない場合があります。メッセージが誤って分類されると、イベント ソースのルールやアラートにメッセージが入力されず、レポートに適切な情報が含まれなくなります。IPアドレスに複数のイベント ソース タイプが関連付けられている場合、Parserはログが生成されたイベント ソースを厳密に特定するのが難しくなります。
IPアドレスをイベント ソース タイプにマッピングすると、Log Decoderはログが生成されたイベント ソースを特定できます。Log Decoderがマップングされたイベント ソースからメッセージを受信すると、割り当てられたParserのみがクエリされ、一致するイベントが検索されます。
イベント ソース タイプは、IPV4、IPV6、イベント ソースのホスト名の値に割り当てることができます。また、複数のイベント ソース タイプを単一のIPアドレスに割り当てることもできます。同じIPアドレスの異なるイベント ソース タイプから別々のLog Collectorにメッセージが送信される場合は、Log Collector IDを使用することもできます。
注:[管理]>[イベント ソース]>[検出]に移動して、Parserマッピング機能を有効にすることもできます。
IPアドレスのイベント ソースへのマッピングの有効化
IPアドレスのイベント ソースへのマッピングを有効化するには、次の手順に従います。
- 管理>[サービス]に移動し、Log Decoderを選択します。
-
>[表示]>[構成]を選択します。
- [構成]ページで、[Parserマッピング]タブを選択します。
[サービス]の[構成]ビューに[Parserマッピング]タブが表示されます。
IPのイベント ソースへのマッピングの更新
IPのイベント ソースへのマッピングを更新するには、次の手順に従います。
- 管理>[サービス]に移動します。
- Log Decoderを選択し、[アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
-
マッピング エディタが表示されます。
- 次のマッピングのいずれかを定義できます。
- 1つのホストと1つのイベント ソース タイプ
[ホスト]フィールドにホスト名を入力します。
例:10.0.0.1 - [イベント ソース]フィールドにイベント ソース タイプを入力します。
例:apache - 1つのホストと1つ以上のイベント ソース タイプ
[ホスト]フィールドにホスト名を入力します。
次に例を示します。10.0.0.1 - [イベント ソース]フィールドにイベント ソース タイプを入力します。
例:apache,sap,aix - 1つのホスト、1つのLog Collector ID、1つのイベント ソース タイプ
[ホスト]フィールドにホスト名とLog Collector IDを入力します。
次に例を示します。10.0.0.1,LC-1 - [イベント ソース]フィールドにイベント ソース タイプを入力します。
次に例を示します。apache - 1つのホスト、1つのLog Collector ID、1つまたは複数のイベント ソース タイプ
[ホスト]フィールドにホスト名とLog Collector IDを入力します。
次に例を示します。10.0.0.1,LC-1 - [イベント ソース]フィールドにイベント ソース タイプを入力します。
次に例を示します。apache,sap,aix
注:イベント ソース タイプは、Parserを入力した順序で処理されます。1つまたは複数のParserがログと一致した場合、リストの最初のParserがクエリされます。ホスト/IPは、IPv4、IPv6、ホスト名のいずれかに指定できます。
- [OK]をクリックします。
Parserマッピングが追加されます。
- Parserマッピングの選択を解除するには、[キャンセル]をクリックします。
IPのイベント ソース タイプへのマッピングの読み取り
IPのイベント ソース タイプへのマッピングを読み取るには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
マッピングが表示されます。
IPのイベント ソース タイプへのマッピングの編集
IPのイベント ソース タイプへのマッピングを編集するには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
- 編集するマッピングを選択します。
注: 一度に編集できるマッピングは1つだけです。 -
をクリックします。
- [イベント ソース]フィールドで、イベント ソースを変更します。
注: ホストは編集できず、フィールドは無効になっています。 - [OK]をクリックして、編集済みのイベント ソースを受け入れます。
- 変更をキャンセルするには、[キャンセル]をクリックします。
IPのイベント ソース タイプへのマッピングを削除します。
IPのイベント ソース タイプへのマッピングを削除するには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
- 削除するマッピングを選択します。
-
をクリックします。
マッピングが削除され、グリッドが更新されます。 - 変更をキャンセルするには、[キャンセル]をクリックします。
ホスト名またはイベント ソース タイプのソート
ホスト名またはイベント ソース タイプをソートするには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
- 列をソートするには、列のヘッダーにある
をクリックします。選択したIPアドレスにイベント ソース タイプが適用されます。ログは、リストのParserの順番でパースされます。
IPのイベント ソースへのマッピング エントリーのインポート
IPのイベント ソースへのマッピング エントリーをインポートするには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
- [アクション]>[インポート]を選択します。
[インポート]ダイアログが表示されます。 -
をクリックします。
- インポートするファイルを選択して[OK]をクリックします。
- Parser をロードするには、[インポート]をクリックします。
注:一度に1つの.csvファイルのみをインポートできます。
IPのイベント ソースへのマッピング エントリーのエクスポート
IPのイベント ソースへのマッピング エントリーをエクスポートするには、次の手順に従います。
- [管理]>[サービス]に移動し、Log Decoderサービスを選択します。
- [アクション]列で、
>[表示]>[構成]を選択します。
[サービス]の[構成]ビューが表示されます。 - [Parserマッピング]タブを選択します。
- エクスポートするマッピングを選択します。
- [アクション]>[エクスポート]>[選択]を選択します。
[選択範囲のエクスポート]ダイアログが表示されます。 - ファイル名を入力し、[エクスポート]をクリックします。
IPのイベント ソースへのマッピング エントリーの検索
IPのイベント ソースへのマッピング エントリーを検索するには、次の手順に従います。