Decoder: Crear claves de metadatos personalizados mediante un feed personalizado

Document created by RSA Information Design and Development on Apr 23, 2018
Version 1Show Document
  • View in full screen mode
 

En este tema se proporciona información sobre cómo agregar claves de metadatos personalizados mediante un feed personalizado en el Log Decoder.

Puede crear claves de metadatos personalizados para recuperar datos, para investigar y analizar los registros y paquetes. Las claves de metadatos personalizados permiten agregar un contexto de enriquecimiento para los datos de paquetes y registros. En este documento se destacan los cambios en la configuración necesarios para reflejar las claves de metadatos personalizados en el esquema de Concentrator, ESA, Archiver, Warehouse Connector y Reporting Engine.

El siguiente es un ejemplo de creación de la clave de metadatos personalizados en el Log Decoder. En este escenario, una organización desea rastrear la ubicación de un recurso, como una impresora. Por lo tanto, se introduce una clave de metadatos personalizados source location, la cual indica la ubicación del recurso, por ejemplo, la Impresora1 que se encuentra en el “Ala A del quinto piso”. 

Nota: También se pueden crear claves de metadatos personalizados en Decoder. Seleccione el archivo index-decoder-custom.xml cuando cree metadatos personalizados en el Decoder.

Agregar una clave de metadatos personalizados en el Log Decoder

Para agregar claves de metadatos personalizados mediante un feed personalizado:

  1. Vaya a ADMIN > Servicios > Log Decoder.
  2. Seleccione un servicio y haga clic en Menú Acciones> Ver > Configurar> pestaña Archivos  > index-logdecoder-custom.xml.

<Language>
 <?xml version="1.0" encoding="utf-8"?>
 <Language level="IndexNone" defaultAction="Auto">
 <!-- Reserved Meta key for Feed -->
 <Key description="Source Location" level="IndexNone" name="location.src" format="Text"/>
</Language>

  1. Reinicie el servicio Log Decoder. En la vista Servicios, haga clic en Menú Acciones > Reiniciar.

Implementar un feed de Log Decoder en Live

Para implementar el feed en el ambiente Live:

  1. Vaya a CONFIGURAR > Contenido de Live.
  2. Seleccione un grupo de recursos o un paquete de recursos creado previamente. Para seleccionar un recurso o un grupo de recursos:
    1. En la vista Buscar en Live, navegue por el recurso de Live (por ejemplo, busque el tipo de recurso Log Collector).
    2. En el panel Coincidencias de recursos, seleccione Mostrar resultados > Cuadrícula.
    3. Seleccione la casilla de verificación de la izquierda o los recursos que desee implementar.
      Coincidencias de recursos en la lista de recursos
    4. En la barra de herramientas Coincidencias de recursos, haga clic en Ícono Implementar
      .
    1. Para seleccionar un paquete de recursos para implementar:
    1. En la vista Buscar en Live, barra de herramientas Coincidencias de recursos, seleccione Paquete > Implementar:
      Se muestra la página Paquete del asistente Implementación de paquete de recursos.
      Cuadro de diálogo de Implementación de paquete de recursos
    2. Haga clic en Navegar y seleccione un paquete de la red (por ejemplo resourceBundle-FeedsParsersContent.zip).
      ResourceBundle3.PNG
    3. Haga clic en Abrir.
      En este punto, si está implementando un paquete o un grupo de recursos, se abre el Asistente de implementación y se muestra la página Recursos.
  3. Haga clic en Siguiente.
    Se muestra la página Servicios, la cual tiene dos pestañas, Servicios y Grupos. Estas proporcionan una lista de servicios y grupos de servicios que se configuran en Administration > vista Servicios. Las columnas son un subconjunto de las columnas disponibles en la vista Servicios.

    Nota: El servidor de Live es “inteligente” acerca de cómo implementar recursos en servicios. Por ejemplo, no implementa recursos que tienen un medio de paquetes en ningún Log Decoder. Esto significa que solo los recursos de contenido aplicable se implementan en cada servicio.

  4. Seleccione los servicios en los cuales desea implementar el contenido. Puede seleccionar cualquier combinación de servicios y grupos de servicios.
    Use la pestaña Servicios para seleccionar servicios individuales, la lista de servicios y grupos de servicios que se configuran en la vista Servicios de Admin.
    Use la pestaña Grupos para seleccionar grupos de servicios.
    DeploymentServices.png
  5. Haga clic en Siguiente.
    Se muestra la página Revisión.
    DeploymentReview.png
    Asegúrese de haber seleccionado los recursos correctos y los servicios en los cuales desea implementarlos.
  6. Haga clic en Implementar.
    Se muestra la página Implementar. La barra de progreso se vuelve verde cuando los recursos se implementan correctamente en los servicios seleccionados.
    DeploymentDeploy.png
    Si intenta implementar recursos y servicios que no son compatibles, NetWitness Suite muestra los botones Errores y Reintentar en los cuales puede hacer clic para revisar los errores y volver a intentar la implementación.
    DeployErrorsRetry2.png
  7. Haga clic en Cerrar.

Nota: Es necesario indexar la dirección IP de origen mediante la selección del tipo como “IP”, ya que ip.src e ip.dst están en formato IPv4. 

En este escenario, se agrega una clave de metadatos personalizados location.src (origen de la ubicación) mediante la indexación del nombre de host (alias.host). En este ejemplo, el nombre de host de la impresora se completa en la clave de metadatos “alias.host”. Por lo tanto, seleccione “alias.host” como clave de callback y tipo de índice como “No IP” en el asistente de feed, como se muestra a continuación. En la sección Definir valores, seleccione la clave de metadatos personalizados en el menú desplegable.

Agregar la entrada de clave de metadatos personalizados en el archivo de índice de Concentrator

Para agregar la entrada de metadatos personalizados en el archivo de índice de Concentrator:

  1. Vaya a ADMIN > Servicios > Concentrator.
  2. Haga clic en El menú Acciones > Ver > Configuración > pestaña Archivos  > index-concentrator-custom.xml.
  3. Agregue la entrada de clave de metadatos personalizados en el archivo de índice de Concentrator.

 <Language>
  <?xml version="1.0" encoding="utf-8"?>
  <Language level="IndexNone" defaultAction="Auto">
  <!-- Reserved Meta key for Feed -->
  <Key description="Source Location"  level="IndexValues" name="location.src" format="Text"                 valueMax="10000" defaultAction="Open"/>
 </Language>

  1. Para reiniciar el servicio Concentrator, en la vista Servicios, haga clic en El menú Acciones > Reiniciar.

Nota: En el caso de Broker, el Broker deriva su índice del Concentrator desde el cual realiza la agregación. Por lo tanto, no es necesario crear metadatos personalizados en el Broker. Si no indexó la clave de metadatos en el Concentrator, el Broker no se mostrará en Investigation.

Investigar con la clave de metadatos personalizados

Nota: Debe cerrar e iniciar sesión en la interfaz del usuario de NetWitness Suite para poder ver la clave de metadatos personalizados en Investigation.

Para investigar con la clave de metadatos personalizados: 

  1. Vaya a INVESTIGATE > Navegar.
  2. Seleccione un servicio de Concentrator haga clic en Navegar

    Este es el resultado de la investigación.

El siguiente es un ejemplo de un informe ejecutado en el Concentrator.

Este es el resultado de Concentrator.

Procedimientos adicionales

Se deben ejecutar los siguientes procedimientos si Warehouse Connector, Archiver, Reporting Engine y ESA están configurados.

Actualizar el esquema en ESA 

Antes de actualizar el esquema en ESA, la clave de metadatos personalizados se debe indexar en el Concentrator.

Para actualizar las reglas de ESA del esquema y poder usar las nuevas claves de metadatos personalizados:

  1. Vaya a ADMIN > Servicios > ESA: Event Stream Analysis > Ver > Configuración.
  2. Edite el origen de datos de Concentrator.
  3. Haga clic en Probar conexión.

Este es el cuadro de diálogo Editar servicio con una conexión de prueba correcta.

  1. Haga clic en Guardar una vez que la conexión se haya establecido correctamente.
  2. Haga clic en Aplicar.
  3. Navegue a Alertas > Configurar Ajustes de configuración.

Este es un ejemplo de la pestaña Ajustes de configuración.

  1. Haga clic en la pestaña Buscar y busque el nombre de la clave de metadatos personalizados.
    Se muestra el nombre y el tipo de la clave de metadatos personalizados.

Ejemplo de nombre y tipo de la clave de metadatos personalizados.

Actualizar el esquema en Archiver

Si desea configurar Archiver con las nuevas claves de metadatos personalizados, debe actualizar el esquema de Archiver en Reporting Engine. Para actualizar el esquema de Archiver en Reporting Engine:

  1. Vaya a ADMIN > Servicios > Archiver.
  2. Seleccione El menú Acciones> Ver > Configuración > Archivos > index-archiver-custom.xml.
  3. Agregar la entrada de clave de metadatos personalizados en el archivo de índice de Archiver.

<Language>
 <?xml version="1.0" encoding="utf-8"?> 
 <Language level="IndexNone" defaultAction="Auto">
 <!-- Reserved Meta key for Feed -->
 <Key description="Source Location" level="IndexValues" name="location.src" format="Text"
 valueMax="10000" defaultAction="Open"/>
</Language>

  1. Para reiniciar el servicio de Archiver, haga clic en El menú Acciones > Reiniciar.
    El esquema de Archiver se actualiza con la clave de metadatos personalizados.

Actualizar el esquema en Warehouse Connector

Si desea configurar Warehouse con metadatos personalizados y utilizarlos en el informe de Warehouse, debe actualizar el esquema de Warehouse en Reporting Engine.

Si el Log Decoder o el Decoder en los cuales se agregó la clave de metadatos personalizados corresponden a uno de los orígenes en el flujo de Warehouse Connector, debe actualizar el esquema en el Warehouse Connector.

Para actualizar el esquema de Warehouse en Reporting Engine:

  1. Vaya a ADMIN > Servicios > Warehouse Connector.
  2. Haga clic en El menú Acciones > Ver >Configuración > pestaña Archivos > index-logdecoder-custom.xml.
  3. Seleccione el flujo y haga clic en Recargar.
    Warehouse Connector extrae el esquema de los dispositivos descendentes (Log Decoder/Decoder).

Para obtener más información sobre los flujos, consulte “Configurar flujos” de la Guía de configuración de Warehouse Connector.

Actualizar el esquema en Reporting Engine

Para actualizar el esquema en Reporting Engine:

  1. Vaya a ADMIN > Servicios > Reporting Engine.
  2. Haga clic en El menú Acciones > Reiniciar.

Nota: Reinicie Reporting Engine o espere 30 minutos hasta que el esquema se actualice.

Para ver la clave de metadatos personalizados:

  1. Navegue a Informes > Reglas.
  2. En la barra de herramientas, haga clic en El ícono Agregar.
  3. Seleccione la base de datos de Warehouse.
  4. En la pestaña Crear regla, busque los metadatos personalizados en el panel derecho.
    Se muestra la clave de metadatos personalizados.

Este es un ejemplo de la pestaña Crear regla.

You are here
Table of Contents > Configurar feeds y analizadores > Crear claves de metadatos personalizados mediante un feed personalizado

Attachments

    Outcomes