Gateway-Protokollquelle

Verwenden Sie eine Gateway-Protokollquelle, um ein Protokoll für die Verwendung vieler Einheitenunterstützungsmodule (Device Support Modules, DSMs) zu konfigurieren, anstatt sich auf einen einzelnen DSM-Typ zu verlassen. Mit einer Gateway-Protokollquelle können Ereignisaggregatorprotokolle verschiedene Ereignistypen dynamisch verarbeiten.

Eine Gateway-Protokollquelle verwendet kein DSM. Er delegiert das DSM-Parsing an eigenständige Syslog-Protokollquellen mit einer entsprechenden ID und einem entsprechenden DSM. Diese Protokollquellen sind eine Kollektorprotokollquelle (das Gateway) und eine Parserprotokollquelle. Parserprotokollquellen stimmen mit Daten überein, die vom Gateway stammen, und erfassen die Ereignisse selbst nicht aktiv.

Bevor Sie Ihre Gateway-Protokollquelle erstellen können, müssen Sie wissen, welche Datentypen vom Datengateway erfasst werden sollen. Datengateways können viele Datentypen erfassen und QRadar unterstützt nicht standardmäßig alle Datentypen. Damit die Daten ordnungsgemäß analysiert werden können, muss ein DSM vorhanden sein, das die Ereignisse verarbeiten kann, die Sie erfassen. Selbst wenn QRadar die Quelle des Ereignisses unterstützt, analysiert das DSM es möglicherweise nicht, wenn das Gateway es in einem nicht erwarteten Format zurückgibt. Wenn das Datengateway beispielsweise ein Ereignis in einem JSON-Format zurückgibt, das DSM jedoch ein LEEF-Format erwartet, benötigen Sie möglicherweise ein angepasstes DSM zum Parsen der Daten.

Eine Gateway-Protokollquelle funktioniert auf dieselbe Weise wie andere Protokollquellen, indem das ausgewählte Protokoll verwendet wird, um Ereignisse zu erreichen und zu erfassen. Der Unterschied zwischen einer Gateway-Protokollquelle und anderen Protokollquellen tritt auf, wenn die erfassten Ereignisse für die Übergabe bereit sind. Eine normale Protokollquelle versucht, das Parsing der Ereignisse durch das ausgewählte DSM zu erzwingen. Eine Gateway-Protokollquelle sendet die Ereignisse als Syslog-Nutzlast mit einer Standardkennung, die entweder auf 0.0.0.0 oder auf die IP-Adresse der verbundenen Dienste (die IP-Adresse der Paketquelle) eingestellt ist.

Wenn ein Ereignis als Syslog-Nutzdaten an die Ereignispipeline übergeben wird, werden die Ereignisse von der automatischen Erkennung der Protokollquelle verarbeitet. Wenn eine vorhandene Protokollquelle mit der bereitgestellten Kennung vorhanden ist, wird das Ereignis von dieser Protokollquelle verarbeitet, unabhängig davon, ob das Ereignis mit diesem DSM analysiert wird. Wenn keine Protokollquelle vorhanden ist, wird das Ereignis von DSMs analysiert, die die automatische Erkennung unterstützen. Wenn das Ereignis mit einem DSM korrekt analysiert wird, wird eine Protokollquelle mit dem Benennungsformat erstellt, das von der Konfiguration der automatischen Erkennung der Protokollquelle für diesen bestimmten DSM abhängt und im Allgemeinen $$DEVICE_TYPE$$ @ $$SOURCE_ADDRESS$$ lautet.

Bei automatisch erstellten Protokollquellen ist die Option "Protokollquellen-ID" in der Regel auf "Hostname/IP", "Hostname/IP", die IP-Adresse der Paketquelle oder " 0.0.0.0 " eingestellt, sofern es sich um einen gültigen Syslog-Header handelt. Um mit einer automatisch erstellten Protokollquelle übereinzustimmen, muss die Nutzlast über einen Bezeichner verfügen, der mit dem in der Protokollquellenkennung übereinstimmt, und der ausgewählte DSM muss in der Lage sein, ihn zu analysieren. Ereignisse, die nicht analysiert werden können, werden direkt an sim-generic gesendet oder gespeichert.

Aktivieren Sie zum Konfigurieren einer Gateway-Protokollquelle die Option Als Gateway-Protokollquelle verwenden für das ausgewählte Protokoll. Wenn Sie diese Option aktivieren, werden die Ereignisse an die Ereignispipeline gesendet und automatisch erkannt. Um den Maximalwert aus dieser Funktion abzurufen, verwenden Sie das Protokollquellen-ID-Muster.