Unterstützung der Auswertung benutzerdefinierter Eigenschaften im DSM der PA-Serie von Palo Alto Networks

Der DSM der PA-Serie von Palo Alto Networks unterstützt die Auswertung benutzerdefinierter Ereigniseigenschaften, um über die standardmäßigen normalisierten Felder hinaus zusätzliche Eigenschaften aus den Ereignisdaten zu extrahieren.

Übersicht

Durch das Parsen benutzerdefinierter Ereigniseigenschaften kann das DSM der PA-Serie von Palo Alto Networks mithilfe vordefinierter Regex-Muster bestimmte Datenfelder aus Protokollereignissen extrahieren. Die Auswertung benutzerdefinierter Ereigniseigenschaften verbessert die Ereignisanalyse, da sie Zugriff auf detaillierte Informationen bietet, die in den standardmäßigen, normalisierten Ereignisfeldern möglicherweise nicht verfügbar sind. Das Parsen benutzerdefinierter Ereigniseigenschaften weist folgende wesentliche Funktion auf:
Konfigurierbarer Schalter
Das Parsen benutzerdefinierter Ereigniseigenschaften kann mithilfe des Parameters isCEPEnabled aktiviert oder deaktiviert werden.

Konfiguration

Parsing benutzerdefinierter Ereigniseigenschaften aktivieren
Das Parsen benutzerdefinierter Ereigniseigenschaften ist standardmäßig aktiviert. Um diese Einstellung zu ändern, führen Sie die folgenden Schritte aus:
  1. Gehen Sie zu „Admin“ > „DSM-Editor “.
  2. Wählen Sie in der DSM-Liste die Palo Alto PA-Serie aus.
  3. Klicken Sie auf die Registerkarte „Konfiguration“
  4. Rufen Sie die Konfiguration der DSM-Parameter auf.
  5. Wählen Sie „Event Collector“ aus. Fügen Sie die folgenden Parameter hinzu oder ändern Sie sie:
    • Parametername : CEP-Ausführung über das DSM der Palo Alto PA-Serie aktivieren
    • Wert : Aktivieren oder deaktivieren
    Hinweis: Änderungen am Parameter „Enable CEP Execution from the Palo Alto PA Series DSM“ werden sofort wirksam, ohne dass ein Neustart des Ereignisprozessors erforderlich ist.
  6. Klicken Sie auf „Speichern“ und übernehmen Sie die Änderungen.
Parsen benutzerdefinierter Ereigniseigenschaften deaktivieren

„Ausführung benutzerdefinierter Eigenschaften aus dem DSM der Palo Alto PA-Serie aktivieren“ ist eine Umschaltfläche und standardmäßig aktiviert.

Um die benutzerdefinierten Ereigniseigenschaften von DSM für die Palo Alto PA-Serie zum ersten Mal zu deaktivieren, führen Sie die folgenden Schritte aus:
  1. Wählen Sie jeden Event Collector nacheinander aus der Dropdown-Liste aus und deaktivieren Sie den entsprechenden Event Collector.
  2. Klicken Sie auf „Speichern“ und übernehmen Sie die Änderungen.

Sie können die Ausführung benutzerdefinierter Eigenschaften später für jeden Ereignissammler, der mit dem DSM der Palo Alto PA-Serie verknüpft ist, aktivieren oder deaktivieren.