Protokollkonfigurationsoptionen für IBM Cloud Object Storage

Das IBM Cloud Object Storage Protokoll für IBM QRadar ist ein ausgehendes oder aktives Protokoll, das Protokolle sammelt, die in Objekten von IBM Cloud Object Storage Buckets enthalten sind.

Wichtig: Konfigurieren Sie vor der Konfiguration des Protokolls IBM Cloud Object Storage Benutzerzugriffsrollen und Serviceberechtigungsnachweise für den Zugriff auf die Buckets von IBM Cloud Object Storage .

Sie müssen über die Rolle "Leser", "Schreibberechtigter" oder "Manager" verfügen, um auf die Buckets zugreifen zu können. Weitere Informationen zu Benutzerzugriffsrollen und -berechtigungen finden Sie unter Bucket permissions (https://cloud.ibm.com/docs/cloud-object-storage?topic=cloud-object-storage-iam-bucket-permissions).

Sie müssen Serviceberechtigungsnachweise erstellen, die hashbasierte HMAC-Berechtigungsnachweise (Message Authentication Code) enthalten. Weitere Informationen zu Serviceberechtigungsnachweisen finden Sie unter HMAC-Berechtigungsnachweise verwenden (https://cloud.ibm.com/docs/cloud-object-storage?topic=cloud-object-storage-uhc-hmac-credentials-main).

Tabelle 1. IBM Allgemeine Protokollquellenparameter für das Protokoll Cloud Object Storage
Parameter	Beschreibung
Protokollkonfiguration	IBM Cloud Object Storage
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Die Protokollquellen-ID muss nicht auf einen bestimmten Server verweisen und kann denselben Wert wie der Protokollquellennamehaben.
HMAC-Zugriffsschlüssel-ID	Die Zugriffsschlüssel-ID, die beim Konfigurieren der Serviceberechtigungsnachweise generiert wurde.
Geheimer HMAC-Zugriffsschlüssel	Der geheime Zugriffsschlüssel, der generiert wurde, als Sie die Serviceberechtigungsnachweise konfiguriert haben.
Endpunkt	Der öffentliche Endpunkt, der auf der Bucketkonfigurationsseite angegeben ist.
Bucketname	Der Name des Buckets, in dem Protokolle gespeichert werden.
Präfix	Der Präfixfilterwert zum Begrenzen der Erfassung von Objekten oder Dateischlüsseln, die mit dem Präfix beginnen. Um alle Dateien aus dem Bucket zu extrahieren, verwenden Sie einen Schrägstrich (/). Wichtig: Wenn Sie den Wert für Präfix ändern, wird die als persistent definierte Dateimarkierung gelöscht. Alle Dateien, die mit dem neuen Präfix übereinstimmen, werden bei der nächsten Pull-Operation heruntergeladen. Wenn der Dateipfad Präfix zur Angabe von Ordnern verwendet wird, darf der Dateipfad nicht mit einem Schrägstrich beginnen. Verwenden Sie beispielsweise stattdessen folder1/folder2 .
Ereignisformat	Die folgenden Ereignisformate werden unterstützt: ZEILENZEILE Unformatierte Protokolldateien, die einen Datensatz pro Zeile enthalten Sie können entweder .gz-, .gzip-oder .zip -Dateien für die Komprimierung verwenden. W3C Dateien, die generische W3C -Formatierungsdaten für die Ausgabe von Name/Wert-Paar-Ereignissen enthalten (nur.gz -Dateien)
Als Gateway-protokollquelle Verwenden	Wenn Sie keine benutzerdefinierte Protokollquellen-ID für Ereignisse definieren möchten, wählen Sie das Kontrollkästchen ab. Wenn Sie Als Gateway-Protokollquelle verwenden nicht auswählen und das Protokollquellen-ID-Musternicht konfigurieren, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen.
Protokollquellen-ID-Muster	Wenn Sie Als Gateway-Protokollquelle verwendenauswählen, können Sie eine angepasste Protokollquellen-ID definieren. Verwenden Sie diese Option für Ereignisse, die verarbeitet werden, und für Protokollquellen, die automatisch erkannt werden. Wenn Sie Log Source Identifier Patternnicht konfigurieren, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen. Verwenden Sie Schlüssel/Wert-Paare zum Definieren der angepassten Protokollquellen-ID. Der Schlüssel ist die ID-Formatzeichenfolge, bei der es sich um den resultierenden Quellen-oder Ursprungswert handelt. Der Wert ist das zugehörige Muster für reguläre Ausdrücke, das zum Auswerten der aktuellen Nutzdaten verwendet wird. Dieser Wert unterstützt auch Erfassungsgruppen, die zur weiteren Anpassung des Schlüssels verwendet werden können. Definieren Sie mehrere Schlüssel/Wert-Paare, indem Sie jedes Muster in einer neuen Zeile eingeben. Mehrere Muster werden in der Reihenfolge ausgewertet, in der sie aufgelistet sind. Wenn eine Übereinstimmung gefunden wird, wird eine benutzerdefinierte Protokollquellen-ID angezeigt. Die folgenden Beispiele zeigen mehrere Schlüssel/Wert-Paarfunktionen: `Patterns VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK) Events {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0} Resulting custom log source identifier VPC-ACCEPT-OK`
Erweiterte Optionen einblenden	Um die erweiterten Optionen für die Ereigniserfassung zu konfigurieren, setzen Sie diese Option auf Ein.
Dateimuster	Geben Sie einen regulären Ausdruck für das Dateimuster ein, das den Dateien entspricht, die Sie extrahieren möchten, z. B. `.*?\.json\.gz`. Diese Option ist verfügbar, wenn Sie Erweiterte Optionen anzeigen auf Einsetzen.
Lokales Verzeichnis	Das lokale Verzeichnis auf dem Zielereigniskollektor. Das Verzeichnis muss vorhanden sein, bevor das Protokoll versucht, Ereignisse abzurufen. Diese Option ist verfügbar, wenn Erweiterte Optionen anzeigen aktiviert ist.
Proxy verwenden	Wenn QRadar über einen Proxy auf IBM Cloud Object Storage zugreift, aktivieren Sie Proxy verwenden. Wenn der Proxy eine Authentifizierung erfordert, konfigurieren Sie die Parameter Proxy-Server, Proxy-Port, Proxy-Benutzernameund Proxy-Kennwort . Wenn der Proxy keine Authentifizierung erfordert, lassen Sie die Felder Proxy-Benutzername und Proxy-Kennwort leer.
Wiederholung	Geben Sie ein Zeitintervall ein, um festzulegen, wie häufig das Protokoll neue Daten abfragt. Das Zeitintervall kann Werte in Stunden (H), Minuten (M) oder Tagen (D) enthalten. Beispiel: 2H = 2 Stunden, 15M = 15 Minuten, 30 = Sekunden. Der Mindestwert ist 60 (Sekunden) oder 1M.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.