ODBC収集：カスタムのコンテンツTypespecの作成

 

このトピックでは、Log CollectorのカスタムTypespecを作成する方法について説明します。トピックには次の項目が含まれます。

• カスタムTypespecの作成手順
• ODBC収集Typespec構文
• ODBC収集Typespecファイルのサンプル

カスタムTypespecの作成

カスタムTypespecファイルを作成するには、次の手順を実行します。

1. SFTPクライアント（たとえば、WinSCP）を開き、Log CollectorまたはリモートLog Collectorに接続します。
2. /etc/netwitness/ng/logcollection/content/collection/odbcに移動して、既存のファイル（たとえば、bit9.xml）をコピーします。
3. 要件に応じてファイルを変更します。詳細については、「ODBC収集Typespec構文」を参照してください。
4. ファイルの名前を変更し、同じディレクトリに保存します。
5. Log Collectorを再起動します。

注：Log Collectorを再起動するまで、NetWitness Suiteに新しいイベント ソース タイプは表示されません。

ODBC収集Typespec構文

以下の表は、typespecパラメータについての説明です。

                                                                                         

ODBC収集Typespecファイルのサンプル

次のサンプルは、IBM ISS SiteProtectorイベント ソースのためのtypespecファイルです。

<?xml version="1.0" encoding="UTF-8"?>
<typespec>

   <name>siteprotector4_x</name>
   <type>odbc</type>
   <prettyName>SITEPROTECTOR4_X</prettyName>
   <version>1.0</version>
   <author>Administrator</author>
   <description>Collects events from SiteProtector</description>

   <device>
      <name>Internet Security Systems, Inc. RealSecure SiteProtector v 2.0</name>
      <maxVersion>2.0</maxVersion>
      <description></description>
      <parser>iss</parser>
   </device>

   <configuration>
   </configuration>

   <collection>
      <odbc>
         <query>
            <tag></tag>
            <outputDelimiter></outputDelimiter>
            <interval></interval>
            <dataQuery></dataQuery>
            <maxTrackingQuery></maxTrackingQuery>
            <trackingColumn></trackingColumn>
            <levelColumn></levelColumn>
            <eventIdColumn></eventIdColumn>
            <addressColumn></addressColumn>
         </query>
      </odbc>
   </collection>
</typespec>

次のサンプルは、Bit9 Security Platformイベント ソースのためのtypespecファイルです。

<?xml version="1.0" encoding="UTF-8"?>
<typespec>

   <name>bit9</name>
   <type>odbc</type>
   <prettyName>BIT9</prettyName>
   <version>1.0</version>
   <author>Administrator</author>
   <description>Bit9 Events</description>
 
   <device>
      <name>Bit9</name>
      <parser>bit9</parser>
   </device>

   <configuration>
   </configuration>
 
   <collection>
      <odbc>
         <query>
            <tag>BIT9</tag>
            <outputDelimiter>||</outputDelimiter>
            <interval>10</interval>
            <dataQuery>
            SELECT
            Timestamp,
            Event_Id,
            Computer_Id,
            File_Catalog_Id,
            Root_File_Catalog_Id,
            Priority,
            Type,
            Subtype,
            IP_Address,
            User_Name,
            Process,
            Description
            FROM
            ExEvents
            WHERE
            Event_Id > '%TRACKING%'
            </dataQuery>
            <trackingColumn>Event_Id</trackingColumn>
            <maxTrackingQuery>SELECT MAX(Event_Id) from ExEvents</maxTrackingQuery>
            <eventIdColumn></eventIdColumn>
         </query>
      </odbc>
   </collection>
</typespec>