Angepasstes Ereignisformat für Blue Coat SG erstellen

Erstellen Sie ein angepasstes Ereignisformat, um Ereignisse aus Blue Coat SG zu erfassen.

1. Melden Sie sich bei der Blue Coat Management Consolean.
2. Wählen Sie Konfiguration > Zugriffsprotokollierung > Formateaus.
3. Wählen Sie Neuaus.
4. Geben Sie einen Formatnamen für das angepasste Format ein.
5. Wählen Sie Benutzerdefinierte Formatierzeichenfolgeaus.
6. Geben Sie das folgende angepasste Format ein:
   Achtung: Die Zeilenumbrüche in diesen Beispielen führen dazu, dass diese Konfiguration fehlschlägt. Kopieren Sie die Codeblöcke in einen Texteditor, entfernen Sie die Zeilenumbrüche und fügen Sie sie als einzelne Zeile in die Spalte Benutzerdefiniertes Format ein.

   Bluecoat|src=$(c-ip)|srcport=$(c-port)|dst=$(cs-uri-address)|dstport=$(cs-uri-port)|username=$(cs-username)|devicetime=$(gmttime)|s-action=$(s-action)|sc-status=$(sc-status)|cs-method=$(cs-method)|time-taken=$(time-taken)|sc-bytes=$(sc-bytes)|cs-bytes=$(cs-bytes)|cs-uri-scheme=$(cs-uri-scheme)|cs-host=$(cs-host)|cs-uri-path=$(cs-uri-path)|cs-uri-query=$(cs-uri-query)|cs-uri-extension=$(cs-uri-extension)|cs-auth-group=$(cs-auth-group)|rs(Content-Type)=$(rs(Content-Type))|cs(User-Agent)=$(cs(User-Agent))|cs(Referer)=$(cs(Referer))|sc-filter-result=$(sc-filter-result)|filter-category=$(sc-filter-category)|cs-uri=$(cs-uri)

7. Wählen Sie in der Liste Letzte Kopfzeile protokollieren aus.
8. Klicken Sie auf OK.
9. Klicken Sie auf Anwenden.
   Hinweis: Das angepasste Format für QRadar unterstützt weitere Schlüssel/Wert-Paare unter Verwendung des Blue Coat ELFF-Formats. Weitere Informationen finden Sie unter Zusätzliche Schlüssel/Wert-Paare im angepassten Format erstellen.