TCP Konfigurationsoptionen für das mehrzeilige Syslog-Protokoll

Das „ TCP “-Protokoll für mehrzeilige Syslog-Meldungen ist ein passives Eingangs-Protokoll, das reguläre Ausdrücke verwendet, um das Start- und Endmuster mehrzeiliger Ereignisse zu identifizieren.

Das folgende Beispiel ist ein Multiline-Ereignis:

13.06.2012 08:15:15
LogName=Security
SourceName=Microsoft Windows-Sicherheitsüberprüfung.
EventCode=5156
EventType=0
TaskCategory=Filtering Plattformverbindung
Schlüsselwörter = Prüfung erfolgreich
Nachricht = Die Windows-Filterplattform hat eine Verbindung zugelassen.
Prozess-ID: 4
Anwendungsname: System
Richtung: Eingehend
Quellenadresse: < IP-Adresse>
Quellenport: 80
Zieladresse:<IP_address>
Ziel Port:444

Die folgende Tabelle beschreibt die protokollspezifischen Parameter für das „ TCP “-Multiline-Syslog-Protokoll:

Tabelle 1. TCP Parameter des mehrzeiligen Syslog-Protokolls
Parameter	Beschreibung
Protokollkonfiguration	TCP Multiline Syslog
Log Source Identifier (Protokollquellenkennung)	Geben Sie eine IP-Adresse oder einen Hostnamen für die Protokollquelle ein. Um einen Quellennamen anstelle einer Protokollquellen-ID zu verwenden, wählen Sie Angepassten Quellennamen verwenden aus und geben Sie Werte für die Parameter Regex für Quellennamen und Formatierzeichenfolge für Quellennamen ein. Hinweis: Diese Parameter sind nur verfügbar, wenn Erweiterte Optionen anzeigen auf Jagesetzt ist. Neu in „ UP15 “ Sie können nun bis zu 10 Log-Source-Identifier für eine auf „ TCP “ und „Multiline Syslog“ basierende Protokollquelle konfigurieren.
Listen Port (Empfangsport)	Die Nummer des Ports, der eingehende Syslog-Ereignisse von „ TCP “ (mehrzeilig) empfängt. Der Standardempfangsport ist 12468. Führen Sie die folgenden Schritte aus, um die Portnummer zu bearbeiten: Geben Sie die neue Portnummer für das Protokoll ein. Klicken Sie auf Speichern. Klicken Sie auf der Registerkarte „Admin“ auf „Erweitert“ > „Vollständige Konfiguration bereitstellen “. Achtung: Wenn Administratoren auf Vollständige Konfiguration implementierenklicken, startet das System alle Services erneut, die in einer Lücke bei der Datenerfassung erstellt werden können, bis die Implementierung abgeschlossen ist.
Aggregationsmethode	Die Methode, mit der Sie Ihre Multiline-Syslog-Daten von TCP aggregieren. Sie können eine der folgenden Methoden auswählen: ID-Verknüpfte mehrzeilige Verarbeitet mehrzeilige Ereignisprotokolle, die einen gemeinsamen Wert am Anfang jeder Zeile enthalten Abgleich starten/beenden Verarbeitet mehrzeilige Ereignisse, indem Start-und Endmuster für die Ereignisse angegeben werden.
Ereignisstartmuster	Dieser Parameter ist verfügbar, wenn Sie den Parameter Aggregationsmethode auf Abgleich starten/beendensetzen. Der reguläre Ausdruck (Regex), der erforderlich ist, um den Anfang einer mehrzeiligen Ereignis-Nutzlast von TCP zu identifizieren. Syslog-Header beginnen normalerweise mit einem Datum oder einer Zeitmarke. Das Protokoll kann ein einzeiliges Ereignis erstellen, das ausschließlich auf einem Ereignisstartmuster (z. B. einer Zeitmarke) basiert. Wenn nur ein Startmuster verfügbar ist, erfasst das Protokoll alle Informationen zwischen jedem Startwert, um ein gültiges Ereignis zu erstellen.
Ereignisendmuster	Dieser Parameter ist verfügbar, wenn Sie den Parameter Aggregationsmethode auf Abgleich starten/beendensetzen. Dieser reguläre Ausdruck (Regex) wird benötigt, um das Ende einer mehrzeiligen Ereignisnachricht unter TCP zu identifizieren. Wenn das syslog-Ereignis mit dem gleichen Wert endet, verwenden Sie einen regulären Ausdruck, um das Ende eines Ereignisses zu ermitteln. Wenn nur ein Ereignisstartmuster verwendet wird und die sendende Einheit einige Ereignisse (niedrige EPS) in einem Intervall sendet, wird das letzte gesendete Ereignis erst verarbeitet, wenn die Pipeline ein neues Ereignisstartmustererkennt. Wenn beispielsweise ein einzelnes Testereignis gesendet wird, kann es in der QRadar -Protokollaktivität unsichtbar sein, ohne ein Ereignisendmusterhinzuzufügen. Um dieses Szenario zu umgehen, senden Sie 2 bis 3 Testereignisse gleichzeitig. Ohne Ereignisendmusterwird das letzte Ereignis erst erfasst, wenn ein neues Ereignisstartmuster erkannt wird.
Nachrichten-ID-Muster	Dieser Parameter ist verfügbar, wenn Sie den Parameter Aggregationsmethode auf ID-Linkedsetzen. Dieser reguläre Ausdruck (regex) ist erforderlich, um die Ereignisnutzdatennachrichten zu filtern. Die mehrzeiligen Ereignismeldungen von „ TCP “ müssen einen gemeinsamen Identifikationswert enthalten, der in jeder Zeile der Ereignismeldung wiederholt wird.
Ereignisformatierungsprogramm	Verwenden Sie die Option Windows Multiline für mehrzeilige Ereignisse, die speziell für Windows formatiert sind.
Erweiterte Optionen einblenden	Der Standardwert ist Nein. Wählen Sie Ja aus, um die Ereignisdaten anzupassen.
Angepassten Quellennamen verwenden	Dieser Parameter ist verfügbar, wenn Erweiterte Optionen anzeigen auf Jagesetzt ist. Wählen Sie das Kontrollkästchen aus, um den Quellennamen mit einem regulären Ausdruck anzupassen.
Regulärer Ausdruck für Quellennamen	Dieser Parameter ist verfügbar, wenn Sie Angepassten Quellennamen verwendenauswählen. Der reguläre Ausdruck (regex), der einen oder mehrere Werte aus Ereignisnutzdaten erfasst, die von diesem Protokoll verarbeitet werden. Diese Werte werden mit dem Parameter Formatierzeichenfolge für Quellennamen verwendet, um einen Quellen-oder Ursprungswert für jedes Ereignis festzulegen. Dieser Quellenwert wird verwendet, um das Ereignis an eine Protokollquelle mit einem übereinstimmenden Wert für Protokollquellenkennung weiterzuleiten.
Formatierzeichenfolge für Quellennamen	Dieser Parameter ist verfügbar, wenn Sie Angepassten Quellennamen verwendenaktivieren. Sie können eine Kombination aus einer oder mehreren der folgenden Eingaben verwenden, um einen Quellenwert für Ereignisnutzdaten zu bilden, die von diesem Protokoll verarbeitet werden: Mindestens eine Erfassungsgruppe aus dem Regex für Quellennamen. Um auf eine Erfassungsgruppe zu verweisen, verwenden Sie die Notation `\x` , wobei `x` der Index einer Erfassungsgruppe aus dem regulären Ausdruck für Quellennamenist. Die IP-Adresse, von der die Ereignisdaten stammen. Verwenden Sie das Token $PIP$ , um auf die Paket-IP zu verweisen. Literaltextzeichen. Die gesamte Formatierzeichenfolge für Quellennamen kann vom Benutzer bereitgestellt werden. Wenn der reguläre Ausdruck für den Quellennamen beispielsweise `'hostname=(.*?)'` lautet und Sie `hostname.com` an den Wert der Erfassungsgruppe 1 anhängen möchten, setzen Sie Formatierzeichenfolge für Quellennamen auf`\1.hostname.com`. Wenn ein Ereignis verarbeitet wird, das `hostname=ibm`enthält, wird der Quellenwert der Ereignisnutzdaten auf `ibm.hostname.com`gesetzt und QRadar leitet das Ereignis an eine Protokollquelle mit dieser Protokollquellenkennungweiter.
Als Gateway-Protokollquelle verwenden	Dieser Parameter ist verfügbar, wenn Erweiterte Optionen anzeigen auf Jagesetzt ist. Wenn diese Option ausgewählt ist, werden Ereignisse, die durch die Protokollquelle fließen, an andere Protokollquellen weitergeleitet, basierend auf dem Quellennamen, der in den Ereignissen mit Tags versehen ist. Wenn diese Option nicht ausgewählt und Angepassten Quellennamen verwenden nicht aktiviert ist, werden eingehende Ereignisse mit einem Quellennamen versehen, der dem Protokollquellenkennungsparameter entspricht.
Mehrzeilige Ereignisse einzeilig glätten	Dieser Parameter ist verfügbar, wenn Erweiterte Optionen anzeigen auf Jagesetzt ist. Zeigt ein Ereignis in einer Zeile oder in mehreren Zeilen an.
Gesamte Zeilen während Ereignisaggregation beibehalten	Dieser Parameter ist verfügbar, wenn Erweiterte Optionen anzeigen auf Jagesetzt ist. Wenn Sie die Methode ID-Linked Multiline für den Parameter Aggregationsmethode festlegen, kann dieser Parameter aggregierte Ereignisdatenausgaben ändern. Wenn Sie Gesamte Zeilen während Ereignisaggregation beibehaltenaktivieren, werden alle Teile von Ereignissen beibehalten, wenn Ereignisse mit demselben ID-Muster aggregiert werden. Wenn Sie diesen Parameter nicht aktivieren, wird der Teil der Ereignisse vor dem Nachrichten-ID-Muster gelöscht, wenn die Ereignisse zusammengefasst werden.
Zeitlimit	Die Anzahl der Sekunden, die auf weitere übereinstimmende Nutzdaten gewartet werden soll, bis das Ereignis mit Push-Operation in die Ereignispipeline übertragen wird Der Standardwert beträgt 10 Sekunden.
Anfängliche Anzahl Threads	Die anfängliche Anzahl der Threads, die zum Formatieren und Veröffentlichen von Ereignissen verwendet werden sollen
Maximale Anzahl von Threads	Die maximale Anzahl an Threads, die zum Formatieren und Veröffentlichen von Ereignissen verwendet wird Wenn die Taskwarteschlange voll ist, werden bis zu dem mit dem Parameter Maximale Anzahl Threads festgelegten Wert weitere Threads erstellt.
Aktiviert	Wählen Sie dieses Kontrollkästchen aus, um die Protokollquelle zu aktivieren.
Zuverlässigkeit	Wählen Sie die Zuverlässigkeit der Protokollquelle aus. Der Bereich ist 0 - 10. Die Zuverlässigkeit gibt die Integrität eines Ereignisses oder Angriffs an, so wie durch die Zuverlässigkeitsbewertung von den Quelleneinheiten bestimmt. Die Zuverlässigkeit erhöht sich, wenn mehrere Quellen dasselbe Ereignis melden. Der Standardwert ist 5.
Target Event Collector (Zielereigniskollektor)	Wählen Sie den Event Collector in Ihrer Bereitstellung aus, auf dem der „ TCP “ Multiline-Syslog-Listener gehostet werden soll.
Verbindungsereignisse	Wählen Sie dieses Kontrollkästchen aus, um die Protokollquelle für die Bündelung von Ereignissen zu aktivieren. Standardmäßig übernehmen automatisch erkannte Protokollquellen den Wert der Liste Verbindungsereignisse aus den Systemeinstellungen in QRadar. Wenn Sie eine Protokollquelle erstellen oder eine vorhandene Konfiguration bearbeiten, können Sie den Standardwert überschreiben, indem Sie diese Option für jede Protokollquelle konfigurieren.
Ereignisnutzlast speichern	Wählen Sie dieses Kontrollkästchen aus, damit die Protokollquelle Ereignisnutzdaten speichern kann. Standardmäßig übernehmen automatisch erkannte Protokollquellen den Wert der Liste Ereignisnutzdaten speichern aus den Systemeinstellungen in QRadar. Wenn Sie eine Protokollquelle erstellen oder eine vorhandene Konfiguration bearbeiten, können Sie den Standardwert überschreiben, indem Sie diese Option für jede Protokollquelle konfigurieren.

TCP Anwendungsfälle für die Konfiguration des mehrzeiligen Syslog-Protokolls

Um die Protokollquelle des „ TCP Multiline Syslog“-Listeners so einzurichten, dass alle Ereignisse erfasst werden, die von demselben System gesendet werden, gehen Sie wie folgt vor:

Lassen Sie Als Gateway-Protokollquelle verwenden leer und wählen Sie Angepassten Quellennamen verwenden aus.
Geben Sie die IP-Adresse des Systems, das Ereignisse sendet, im Parameter Protokollquellenkennung ein.

TCP Anwendungsfall 1 für das mehrzeilige Syslog-Protokoll — Abb. 1. Eine QRadar Protokollquelle sammelt Ereignisse, die von einem einzelnen System an einen „ TCP “ Multiline Syslog Listener gesendet werden

Wenn mehrere Systeme Ereignisse an den „ TCP Multiline Syslog“-Listener senden oder wenn ein Zwischensystem Ereignisse von mehreren Systemen weiterleitet und Sie möchten, dass die Ereignisse anhand ihres Syslog-Headers oder ihrer IP-Adresse an separate Protokollquellen weitergeleitet werden, aktivieren Sie das Kontrollkästchen „Als Gateway-Protokollquelle verwenden “.

Hinweis: QRadar überprüft jedes Ereignis auf einen RFC3164 -oder RFC5424-compliant syslog-Header und verwendet, falls vorhanden, die IP oder den Hostnamen aus diesem Header als Quellenwert für das Ereignis. Das Ereignis wird an eine Protokollquelle mit derselben IP-Adresse oder demselben Hostnamen wie die zugehörige Protokollquellenkennung weitergeleitet. Ist kein solcher Header vorhanden, verwendet QRadar den Quellen-IP-Wert aus dem Netzpaket, in dem das Ereignis angekommen ist, als Quellenwert für das Ereignis.

TCP Anwendungsbeispiel für das mehrzeilige Syslog-Protokoll 2A — Abbildung 2: Separate QRadar Protokollquellen sammeln Ereignisse, die von verschiedenen Systemen gesendet werden, und leiten sie mithilfe des Syslog-Headers an einen „ TCP “ Multiline Listener weiter.

TCP Anwendungsbeispiel für das mehrzeilige Syslog-Protokoll 2B — Abb. 3 Separate QRadar Protokollquellen erfassen Ereignisse, die von verschiedenen Systemen gesendet und über ein Zwischensystem mithilfe des syslog-Headers an einen „ TCP “ Multiline Listener weitergeleitet werden.

Führen Sie die folgenden Schritte aus, um Ereignisse auf der Basis eines anderen Werts als der IP-Adresse oder des Hostnamens im syslog-Header an separate Protokollquellen weiterzuleiten:

Wählen Sie das Kontrollkästchen Angepassten Quellennamen verwenden aus.
Konfigurieren Sie einen regulären Ausdruck für Quellennamen und Formatierzeichenfolge für Quellennamen , um anzupassen, wie QRadar einen Quellennamenwert für die Weiterleitung der empfangenen Ereignisse an Protokollquellen festlegt.

TCP Anwendungsfall 3 für das mehrzeilige Syslog-Protokoll — Abbildung 4. Separate QRadar Protokollquellen erfassen Ereignisse, die von mehreren Systemen gesendet und über ein Zwischensystem an einen „ TCP Multiline Listener“ weitergeleitet werden, wobei der reguläre Ausdruck für den Quellennamen und die Formatierungszeichenfolge für den Quellennamen verwendet werden.