Protokolldateiprotokollquellenparameter für Sun ONE LDAP

Wenn QRadar die Protokollquelle nicht automatisch erkennt, fügen Sie eine Sun ONE-LDAP-Protokollquelle auf dem QRadar Console hinzu, indem Sie das Protokolldateiprotokoll verwenden.

Wenn Sie das Protokolldateiprotokoll verwenden, müssen Sie bestimmte Parameter verwenden.

In der folgenden Tabelle werden die Parameter beschrieben, die bestimmte Werte erfordern, um Protokolldateiereignisse aus Sun ONE LDAP zu erfassen:

Tabelle 1. Protokollquellenparameter für Protokolldateien für Sun ONE LDAP DSM
Parameter	Wert
Log Source name	Geben Sie einen Namen für Ihre Protokollquelle ein.
Log Source description	Geben Sie eine Beschreibung für die Protokollquelle ein.
Log Source type	Sun ONE-LDAP
Protocol Configuration	Protokolldatei
Log Source Identifier	Geben Sie eine IP-Adresse, einen Hostnamen oder einen Namen ein, um die Ereignisquelle zu identifizieren. Mit IP-Adressen oder Hostnamen kann QRadar eine Protokolldatei für eine eindeutige Ereignisquelle identifizieren. Wenn Ihr Netz beispielsweise mehrere Einheiten enthält, z. B. eine Managementkonsole oder ein Dateirepository, geben Sie die IP-Adresse oder den Hostnamen der Einheit an, die das Ereignis erstellt hat. Dadurch können Ereignisse auf Einheitenebene in Ihrem Netz identifiziert werden, anstatt das Ereignis für die Managementkonsole oder das Dateirepository zu identifizieren.
Service Type	Geben Sie den TCP-Port auf dem fernen Host ein, der den ausgewählten Servicetyp ausführt. Der gültige Bereich liegt zwischen 1 und 65535. Folgende Optionen sind verfügbar: FTP TCP-Port 21. SFTP TCP-Port 22. SCP TCP-Port 22. Wichtig: Wenn der Host für Ihre Ereignisdateien eine vom Standard abweichende Portnummer für FTP, SFTP oder SCP verwendet, müssen Sie den Portwert anpassen.
Remote User	Geben Sie den Benutzernamen ein, der für die Anmeldung an dem Host erforderlich ist, der Ihre Ereignisdateien enthält. Der Benutzername kann bis zu 255 Zeichen lang sein.
Confirm Password	Bestätigen Sie das Kennwort, das für die Anmeldung am Host erforderlich ist.
SSH Key File	Wenn Sie SCP oder SFTP als Servicetypauswählen, ermöglicht dieser Parameter Ihnen, eine private SSH-Schlüsseldatei zu definieren. Wenn Sie eine SSH-Schlüsseldatei angeben, wird das Feld Fernes Kennwort ignoriert.
Remote Directory	Geben Sie die Verzeichnisposition auf dem fernen Host, von dem die Dateien abgerufen werden, relativ zu dem Benutzerkonto ein, das Sie für die Anmeldung verwenden. Wichtig: Nur für FTP Wenn sich Ihre Protokolldateien im Ausgangsverzeichnis des fernen Benutzers befinden, können Sie das ferne Verzeichnis leer lassen. Dadurch werden Betriebssysteme unterstützt, bei denen eine Änderung des Arbeitsverzeichnisses (CWD) eingeschränkt ist.
Recursive	Aktivieren Sie dieses Kontrollkästchen, damit FTP-oder SFTP-Verbindungen Unterordner des fernen Verzeichnisses rekursiv nach Ereignisdaten durchsuchen können. Die aus Unterordnern erfassten Daten hängen von Übereinstimmungen mit dem regulären Ausdruck im FTP-Dateimuster ab. Die Option Rekursiv ist für SCP-Verbindungen nicht verfügbar.
FTP File Pattern	Wenn Sie beispielsweise alle Dateien auflisten möchten, die mit dem Wort log beginnen, gefolgt von einer oder mehreren Ziffern und mit tar.gzenden, verwenden Sie den folgenden Eintrag: log [0-9] +\.tar\.gz. Die Verwendung dieses Parameters erfordert die Kenntnis regulärer Ausdrücke (regex). Weitere Informationen zu regulären Ausdrücken finden Sie auf der Website Oracle (http://docs.oracle.com/javase/tutorial/essential/regex/). Wenn Sie SFTP oder FTP als Servicetyp auswählen, können Sie mit dieser Option den regulären Ausdruck (regulären Ausdruck) konfigurieren, der zum Filtern der Liste der Dateien erforderlich ist, die im fernen Verzeichnis angegeben sind. Alle übereinstimmenden Dateien werden in die Verarbeitung eingeschlossen.
FTP Transfer Mode	Wählen Sie im Listenfeld den Übertragungsmodus aus, den Sie auf diese Protokollquelle anwenden möchten. Binär Wählen Sie Binär für Protokollquellen aus, die binäre Datendateien oder komprimierte ZIP-, gzip-, tar-oder tar + gzip-Archivdateien erfordern. ASCII Wählen Sie ASCII- für Protokollquellen aus, die eine ASCII-FTP-Dateiübertragung erfordern. Wichtig: Sie müssen KEINE für den Parameter Prozessor und LINEBYLINE den Parameter Ereignisgenerator auswählen, wenn Sie ASCII als FTP-Übertragungsmodus verwenden. Diese Option wird nur angezeigt, wenn Sie FTP als Servicetyp auswählen. Mit dem Parameter FTP-Übertragungsmodus können Sie den Dateiübertragungsmodus definieren, wenn Sie Protokolldateien über FTP abrufen.
SCP Remote File	Wenn Sie SCP als Servicetyp auswählen, müssen Sie den Namen der fernen Datei eingeben.
Start Time	Die Uhrzeit eingeben, zu der die Verarbeitung beginnen soll. Dieser Parameter wird zusammen mit dem Wiederholungswert verwendet, um festzulegen, wann und wie oft das ferne Verzeichnis nach Dateien durchsucht wird. Geben Sie die Startzeit im 24-Stunden-Format ein: HH: MM.
Recurrence	Geben Sie die Häufigkeit ab der Startzeit ein, mit der das ferne Verzeichnis gescannt werden soll. Geben Sie diesen Wert in Stunden (H), Minuten (M) oder Tagen ein. Beispiel: 2H , wenn das Verzeichnis alle 2 Stunden gescannt werden soll. Der Standardwert ist 1H.
Run On Save	Aktivieren Sie dieses Markierungsfeld, wenn das Protokolldateiprotokoll unmittelbar nach dem Klicken auf Speichernausgeführt werden soll. Nach Abschluss von Beim Speichern ausführen folgt das Protokolldateiprotokoll Ihrem konfigurierten Zeitplan für Startzeit und Wiederholung. Bei Auswahl von Beim Speichern ausführen wird die Liste der zuvor verarbeiteten Dateien für den Parameter "Zuvor verarbeitete Dateien ignorieren" gelöscht.
EPS Throttle	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 5000.
Processor	Wenn die Dateien auf dem fernen Host im ZIP-, gzip-, tar-oder tar + gzip-Archivformat gespeichert sind, wählen Sie den Prozessor aus, mit dem die Archive erweitert und der Inhalt verarbeitet werden kann.
Ignore Previously Processed File(s)	Dies gilt nur für FTP-und SFTP-Servicetypen. Wählen Sie dieses Kontrollkästchen aus, um Dateien zu verfolgen, die verarbeitet wurden, und Sie möchten nicht, dass die Dateien ein zweites Mal verarbeitet werden.
Change Local Directory?	Wählen Sie dieses Kontrollkästchen aus, um das lokale Verzeichnis auf Ihrem QRadar zu definieren, das Sie zum Speichern heruntergeladener Dateien während der Verarbeitung verwenden wollen. Bei den meisten Konfigurationen ist dieses Kontrollkästchen nicht ausgewählt. Wenn Sie das Kontrollkästchen auswählen, erscheint das Feld Lokales Verzeichnis , in dem Sie ein lokales Verzeichnis konfigurieren können, das zum temporären Speichern von Dateien verwendet werden soll.
Event Generator	Das Format ID-Linked Multiline verarbeitet mehrzeilige Ereignisprotokolle, die einen gemeinsamen Wert am Anfang jeder Zeile in einer mehrzeiligen Ereignisnachricht enthalten. Diese Option zeigt das Feld Muster für Nachrichten-ID an, das einen regulären Ausdruck verwendet, um das mehrzeilige Ereignis in einzelnen Ereignisnutzdaten zu identifizieren und erneut zu assemblieren. Wählen Sie ID-Verknüpfte mehrzeilige aus, um das abgerufene Ereignisprotokoll als mehrzeilige Ereignisse zu verarbeiten.
Folder Separator	Die meisten Konfigurationen können den Standardwert im Feld Ordnertrennzeichen verwenden. Dieses Feld wird nur von Betriebssystemen verwendet, die separate Ordner mit einem alternativen Zeichen definieren. Beispiel: Zeiträume, in denen Ordner auf Mainframesystemen getrennt werden. Geben Sie das Zeichen ein, das zum Trennen von Ordnern für Ihr Betriebssystem verwendet wird. Der Standardwert ist/.