Protokolldateiprotokollquellenparameter

Wenn die Protokollquelle QRadar nicht automatisch erkennt, fügen Sie eine Protokollquelle vom Typ „ IBM z/OS “, „ IBM “, „ CICS “, „ IBM “, „ RACF “, „ IBM “, „ DB2 “, „Broadcom CA Top Secret “ oder „Broadcom CA ACF2 “ auf dem QRadar Console mithilfe des Protokoll-Dateiprotokolls hinzu.

Wenn Sie das Protokolldateiprotokoll verwenden, müssen Sie bestimmte Parameter verwenden.

Die folgende Tabelle beschreibt die Parameter, die bestimmte Werte erfordern, um Logdatei-Ereignisse von IBM z/OS, IBMCICS, IBMRACF, IBMDB2, CA Top Secret oder CA ACF2 zu erfassen:

Tabelle 1. Protokollquellenparameter für Protokolldateien
Parameter	Wert
Log Source name	Geben Sie einen Namen für Ihre Protokollquelle ein.
Log Source description	Geben Sie eine Beschreibung für die Protokollquelle ein.
Log Source type	Wählen Sie Ihren DSM-Namen aus.
Protocol Configuration	Protokolldatei
Log Source Identifier	Geben Sie eine IP-Adresse, einen Hostnamen oder einen Namen ein, um die Ereignisquelle zu identifizieren. IP-Adressen oder Hostnamen werden vorgeschlagen, da sie QRadar ermöglichen, eine Protokolldatei für eine eindeutige Ereignisquelle zu identifizieren. Wenn Ihr Netz beispielsweise mehrere Einheiten enthält, z. B. mehrere z/OS® -Images oder ein Dateirepository, das alle Ihre Ereignisprotokolle enthält, müssen Sie einen Namen, eine IP-Adresse oder einen Hostnamen für das Image oder die Position angeben, die Ereignisse für die DSM-Protokollquelle eindeutig identifiziert. Diese Spezifikation ermöglicht die Identifizierung von Ereignissen auf Image-oder Positionsebene in Ihrem Netz, die Ihre Benutzer identifizieren können.
Service Type	Wählen Sie in der Liste Servicetyp das Protokoll aus, das beim Abrufen von Protokolldateien von einem fernen Server verwendet werden soll. Der Standardwert ist SFTP. SFTP-SSH-Dateiübertragungsprotokoll FTP - File Transfer Protocol SCP-Sichere Kopie Das zugrunde liegende Protokoll, das zum Abrufen von Protokolldateien für den SCP-und SFTP-Servicetyp verwendet wird, erfordert, dass für den im Feld Ferne IP oder Hostname angegebenen Server das SFTP-Subsystem aktiviert ist.
Remote IP or Hostname	Geben Sie die IP-Adresse oder den Hostnamen der Einheit ein, auf der Ihre Ereignisprotokolldateien gespeichert werden.
Remote Port	Geben Sie den TCP-Port auf dem fernen Host ein, auf dem die ausgewählte Servicetypausgeführt wird. Der gültige Bereich liegt zwischen 1 und 65535. Zu den Optionen gehören Ports: FTP-TCP-Port 21 SFTP-TCP-Port 22 SCP-TCP-Port 22 Wenn der Host für Ihre Ereignisdateien eine vom Standard abweichende Portnummer für FTP, SFTP oder SCP verwendet, müssen Sie den Portwert anpassen.
Remote User	Geben Sie den Benutzernamen oder die Benutzer-ID ein, der bzw. die für die Anmeldung an dem System erforderlich ist, das Ihre Ereignisdatei enthält. Wenn sich Ihre Protokolldateien auf Ihrem IBM z/OS -Image befinden, geben Sie die für die Anmeldung bei Ihrem IBM z/OS erforderliche Benutzer-ID ein. Die Benutzer-ID kann bis zu 8 Zeichen lang sein. Wenn sich Ihre Protokolldateien in einem Dateirepository befinden, müssen Sie den Benutzernamen eingeben, der für die Anmeldung am Dateirepository erforderlich ist. Der Benutzername kann bis zu 255 Zeichen lang sein.
Remote Password	Geben Sie das für die Anmeldung am Host erforderliche Kennwort ein.
Confirm Password	Bestätigen Sie das Kennwort, das für die Anmeldung am Host erforderlich ist.
SSH Key File	Wenn Sie SCP oder SFTP als Servicetypauswählen, können Sie mit diesem Parameter eine Datei mit einem privaten SSH-Schlüssel definieren. Wenn Sie eine SSH-Schlüsseldatei angeben, wird das Feld Fernes Kennwort ignoriert.
Remote Directory	Geben Sie die Verzeichnisposition auf dem fernen Host, von dem die Dateien abgerufen werden, relativ zu dem Benutzerkonto ein, das Sie für die Anmeldung verwenden.
Recursive	Wenn das Dateimuster Unterordner im fernen Verzeichnis durchsuchen soll, wählen Sie dieses Kontrollkästchen aus. Standardmäßig ist das Kontrollkästchen nicht ausgewählt. Wenn Sie SCP als Servicetyp konfigurieren, wird die Option "Rekursiv" ignoriert.
FTP File Pattern	Wenn Sie SFTP oder FTP- als Servicetypauswählen, können Sie den regulären Ausdruck (regulären Ausdruck) konfigurieren, der zum Filtern der Liste der Dateien erforderlich ist, die in Fernes Verzeichnisangegeben sind. Alle übereinstimmenden Dateien werden in die Verarbeitung eingeschlossen. Der Mainframe „ IBM z/OS “, der „ IBM® “ verwendet Security zSecure Audit schreibt Ereignisdateien nach folgendem Muster: `<product_name>.<timestamp>.gz` Das von Ihnen angegebene FTP-Dateimuster muss mit dem Namen übereinstimmen, den Sie Ihren Ereignisdateien zugewiesen haben. Geben Sie beispielsweise den folgenden Code ein, um Dateien zu erfassen, die mit zOS beginnen und mit .gzenden: `zOS.*\.gz` Die Verwendung dieses Parameters erfordert die Kenntnis regulärer Ausdrücke (regex). Weitere Informationen zu regulären Ausdrücken finden Sie unter Lerneinheit: Reguläre Ausdrücke (https://docs.oracle.com/javase/tutorial/essential/regex/).
FTP Transfer Mode	Diese Option wird nur angezeigt, wenn Sie FTP- als Servicetypauswählen. Wählen Sie in der Liste Binäraus. Der binäre Übertragungsmodus ist für Ereignisdateien erforderlich, die in einem binären oder komprimierten Format gespeichert sind, wie z. B. zip-, gzip-, tar-oder tar+gzip -Archivdateien.
SCP Remote File	Wenn Sie SCP als Servicetyp auswählen, muss der Dateiname der fernen Datei eingegeben werden.
Start Time	Die Uhrzeit eingeben, zu der die Verarbeitung beginnen soll. Geben Sie beispielsweise `00:00` ein, um das Protokolldateiprotokoll so zu planen, dass Ereignisdateien um Mitternacht erfasst werden. Dieser Parameter wird zusammen mit dem Wiederholungswert verwendet, um festzulegen, wann und wie oft das ferne Verzeichnis nach Dateien durchsucht wird. Geben Sie die Startzeit im 24-Stunden-Format ein: HH: MM.
Recurrence	Geben Sie die Häufigkeit ab der Startzeit ein, mit der das ferne Verzeichnis gescannt werden soll. Geben Sie diesen Wert in Stunden (H), Minuten (M) oder Tagen ein. Geben Sie zum Beispiel `2H` ein, wenn das ferne Verzeichnis alle 2 Stunden ab der Startzeit gescannt werden soll. Der Standardwert ist 1H.
Run On Save	Aktivieren Sie dieses Kontrollkästchen, wenn das Protokolldateiprotokoll unmittelbar nach dem Klicken auf Speichernausgeführt werden soll. Nach Abschluss von Beim Speichern ausführen folgt das Protokolldateiprotokoll Ihrem konfigurierten Zeitplan für Startzeit und Wiederholung. Bei Auswahl von Beim Speichern ausführen wird die Liste der zuvor verarbeiteten Dateien für den Parameter "Zuvor verarbeitete Dateien ignorieren" gelöscht.
EPS Throttle	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 5000.
Processor	Wählen Sie in der Liste GZIPaus. Prozessoren ermöglichen die Erweiterung von Ereignisdateiarchiven und die Verarbeitung von Inhalten für Ereignisse. Dateien werden verarbeitet, nachdem sie in QRadarheruntergeladen wurden. QRadar kann Dateien im Archivformat zip, gzip, taroder tar+gzip verarbeiten.
Ignore Previously Processed File(s)	Wählen Sie dieses Kontrollkästchen aus, um Dateien zu verfolgen und zu ignorieren, die bereits vom Protokoll für Protokolldateien verarbeitet wurden. QRadar untersucht die Protokolldateien im fernen Verzeichnis, um festzustellen, ob eine Datei zuvor vom Protokolldateiprotokoll verarbeitet wurde. Wenn eine zuvor verarbeitete Datei erkannt wird, lädt das Protokolldateiprotokoll die Datei nicht zur Verarbeitung herunter. Alle Dateien, die noch nicht verarbeitet wurden, werden heruntergeladen. Diese Option gilt nur für FTP-und SFTP-Servicetypen.
Change Local Directory?	Aktivieren Sie dieses Kontrollkästchen, um ein lokales Verzeichnis auf Ihrem QRadar zu definieren, in dem heruntergeladene Dateien während der Verarbeitung gespeichert werden. Es wird empfohlen, dieses Kontrollkästchen abzuwählen. Wenn dieses Markierungsfeld ausgewählt ist, erscheint das Feld Lokales Verzeichnis , in dem Sie das lokale Verzeichnis für die Speicherung von Dateien konfigurieren können.
Event Generator	Wählen Sie aus der Liste Ereignisgenerator LineByLine. Der Ereignisgenerator wendet mehr Verarbeitung auf die abgerufenen Ereignisdateien an. Jede Zeile ist ein einzelnes Ereignis. Wenn eine Datei beispielsweise 10 Textzeilen enthält, werden 10 separate Ereignisse erstellt.