Protokolldateiprotokollquellenparameter für IBM WebSphere
Wenn QRadar die Protokollquelle nicht automatisch erkennt, fügen Sie eine IBM® WebSphere® -Protokollquelle auf dem QRadar Console hinzu, indem Sie das Protokolldateiprotokoll verwenden.
Wenn Sie das Protokolldateiprotokoll verwenden, müssen Sie bestimmte Parameter verwenden.
| Parameter | Wert |
|---|---|
| Log Source name | Geben Sie den Namen Ihrer Protokollquelle ein. |
| Log Source description | Geben Sie eine Beschreibung für Ihre Protokollquelle ein. |
| Log Source type | IBM WebSphere Anwendungsserver |
| Protocol Configuration | Protokolldatei |
| Log Source Identifier | Geben Sie eine IP-Adresse, einen Hostnamen oder einen Namen ein, um IBM WebSphere Application Server als Ereignisquelle in QRadaranzugeben. IP-Adressen oder Hostnamen werden empfohlen, da sie QRadar ermöglichen, eine Protokolldatei für eine eindeutige Ereignisquelle zu identifizieren. Wenn Ihr Netz beispielsweise mehrere IBM WebSphere Application Server enthält, die Protokolle für ein Dateirepository bereitstellen, geben Sie die IP-Adresse oder den Hostnamen der Einheit an, die das Ereignisprotokoll erstellt hat. Dadurch können Ereignisse auf Einheitenebene in Ihrem Netz identifiziert werden, anstatt das Dateirepository zu identifizieren. |
| Service Type | Wählen Sie in der Liste das Protokoll aus, das Sie beim Abrufen von Protokolldateien von einem Entfernungsserver verwenden möchten. Der Standardwert ist SFTP.
Das zugrunde liegende Protokoll, das zum Abrufen von Protokolldateien für den SCP-und SFTP-Servicetyp verwendet wird, erfordert, dass für den im Feld Ferne IP oder Hostname angegebenen Server das SFTP-Subsystem aktiviert ist. |
| Remote IP or Hostname | Geben Sie die IP-Adresse oder den Hostnamen Ihres IBM WebSphere Application Server s ein, der Ihre Ereignisprotokolldateien speichert. |
| Ferner Port | Geben Sie den TCP-Port auf dem fernen Host ein, der den ausgewählten Servicetyp ausführt. Der gültige Bereich liegt zwischen 1 und 65535. Zu den Optionen gehören FTP-Ports:
Wenn der Host für Ihre Ereignisdateien eine vom Standard abweichende Portnummer für FTP, SFTP oder SCP verwendet, müssen Sie den Portwert anpassen. |
| Remote User | Geben Sie den Benutzernamen ein, der für die Anmeldung an dem Host erforderlich ist, der Ihre Ereignisdateien enthält. Der Benutzername kann bis zu 255 Zeichen lang sein. |
| Remote Password | Geben Sie das für die Anmeldung am Host erforderliche Kennwort ein. |
| Confirm Password | Bestätigen Sie das Kennwort, das für die Anmeldung am Host erforderlich ist. |
| SSH Key File | Wenn Sie SCP oder SFTP als Servicetypauswählen, ermöglicht dieser Parameter die Definition einer privaten SSH-Schlüsseldatei. Das Feld Fernes Kennwort wird ignoriert, wenn Sie eine SSH-Schlüsseldatei angeben. |
| Remote Directory | Geben Sie die Verzeichnisposition auf dem fernen Host für die Zelle und den Dateipfad ein, die Sie in IBM konfigurieren WebSphereangegeben haben. Dies ist das von Ihnen erstellte Verzeichnis, das Ihre IBM WebSphere Application Server -Ereignisdateien enthält. Nur für FTP. Wenn sich Ihre Protokolldateien im Ausgangsverzeichnis des fernen Benutzers befinden, können Sie das ferne Verzeichnis leer lassen. Dadurch werden Betriebssysteme unterstützt, bei denen eine Änderung des Arbeitsverzeichnisses (CWD) eingeschränkt ist. |
| Recursive | Wählen Sie dieses Kontrollkästchen aus, wenn das Dateimuster Unterordner durchsuchen soll. Standardmäßig ist das Kontrollkästchen nicht ausgewählt. Die Option Rekursiv wird ignoriert, wenn Sie SCP als Servicetypkonfigurieren. |
| FTP File Pattern | Wenn Sie SFTP oder FTP- als Servicetypauswählen, ermöglicht diese Option die Konfiguration des regulären Ausdrucks (regex), um die Liste der Dateien zu filtern, die in der Fernes Verzeichnisangegeben sind. Alle übereinstimmenden Dateien werden in die Verarbeitung eingeschlossen. Das angegebene FTP-Dateimuster muss mit dem Namen übereinstimmen, den Sie Ihren JVM-Protokollen in Protokollierungsoption anpassenzugewiesen haben. Geben Sie beispielsweise folgenden Code ein, um Systemprotokolle zu erfassen:
Die Verwendung dieses Parameters erfordert die Kenntnis regulärer Ausdrücke (regex). Weitere Informationen finden Sie auf der folgenden Website: http://download.oracle.com/javase/tutorial/essential/regex/ |
| FTP Transfer Mode | Diese Option wird nur angezeigt, wenn Sie FTP- als Servicetypauswählen. Der Parameter FTP-Übertragungsmodus ermöglicht die Definition des Dateiübertragungsmodus, wenn Protokolldateien über FTP abgerufen werden. Wählen Sie in der Liste den Übertragungsmodus aus, den Sie auf diese Protokollquelle anwenden möchten.
Sie müssen Keine für den Prozessorparameter und LINEBYLINE den Parameter Ereignisgenerator auswählen, wenn Sie ASCII als FTP-Übertragungsmodusverwenden. |
| SCP Remote File | Wenn Sie SCP als Servicetyp auswählen, muss der Dateiname der fernen Datei eingegeben werden. |
| Start Time | Die Uhrzeit eingeben, zu der die Verarbeitung beginnen soll. Dieser Parameter funktioniert mit dem Wert Wiederholung , um festzulegen, wann und wie oft Fernes Verzeichnis nach Dateien durchsucht wird. Geben Sie die Startzeit im 24-Stunden-Format ein: HH: MM. |
| Recurrence | Geben Sie die Häufigkeit ab der Startzeit ein, mit der das ferne Verzeichnis gescannt werden soll. Geben Sie diesen Wert in Stunden (H), Minuten (M) oder Tagen ein. Geben Sie zum Beispiel 2H ein, wenn das Verzeichnis alle 2 Stunden gescannt werden soll. Der Standardwert ist 1H. Wenn Sie ein Protokolldateiprotokoll planen, wählen Sie eine Wiederholungszeit für das Protokolldateiprotokoll aus, die kürzer ist als das geplante Schreibintervall der WebSphere Application Server -Protokolldateien. Dies stellt sicher, dass WebSphere -Ereignisse vom Protokolldateiprotokoll erfasst werden, bevor die neue Protokolldatei das alte Ereignisprotokoll überschreibt. |
| Run On Save | Wählen Sie dieses Kontrollkästchen aus, wenn das Protokolldateiprotokoll unmittelbar nach dem Anklicken von Speichern ausgeführt werden soll. Nach Abschluss von Run On Save folgt das Protokolldateiprotokoll Ihrem konfigurierten Zeitplan für Startzeit und Wiederholung. Bei Auswahl von Run On Save wird die Liste der zuvor verarbeiteten Dateien für den Parameter "Zuvor verarbeitete Dateien ignorieren" gelöscht. |
| EPS Throttle | Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 5000. |
| Processor | Wenn die Dateien auf dem fernen Host im Archivformat zip, gzip, taroder tar+gzip gespeichert sind, wählen Sie den Prozessor aus, mit dem die Archive erweitert und der Inhalt verarbeitet werden kann. |
| Ignore Previously Processed File(s) | Wählen Sie dieses Kontrollkästchen aus, um Dateien zu verfolgen, die verarbeitet werden. Dateien, die zuvor verarbeitet wurden, werden nicht erneut verarbeitet. Dieses Kontrollkästchen gilt nur für FTP-und SFTP-Servicetypen. |
| Change Local Directory? | Wählen Sie dieses Kontrollkästchen aus, um das lokale Verzeichnis auf Ihrem QRadar zu definieren, das Sie zum Speichern heruntergeladener Dateien während der Verarbeitung verwenden wollen. Es wird empfohlen, das Kontrollkästchen abzuwählen. Wenn das Kontrollkästchen ausgewählt ist, wird das Feld Lokales Verzeichnis angezeigt, in dem Sie das lokale Verzeichnis für das Speichern von Dateien konfigurieren können. |
| Event Generator | Wählen Sie in der Liste Ereignisgenerator WebSphere Application Serveraus. Der Ereignisgenerator wendet weitere Verarbeitungsschritte an, die speziell für abgerufene Ereignisdateien für IBM WebSphere Application Server -Ereignisse gelten. |
Eine vollständige Liste der Protokolldateiprotokollparameter und ihrer Werte finden Sie unter Protokollkonfigurationsoptionen für Protokolldateien.