Starent Networks-Einheit für die Weiterleitung von Syslog-Ereignissen an QRadar konfigurieren

Starent Networks DSM for IBM QRadar akzeptiert Ereignisse des Typs 'Ereignis', 'Trace', 'Aktiv' und 'Überwachen '.

1. Melden Sie sich bei Ihrem Starent Networks-Gerät an.
2. Konfigurieren Sie den syslog-Server:

   logging syslog <IP address> [facility <facilities>] [<rate value>] [pdu-verbosity <pdu_level>] [pdu-data <format>] [event-verbosity <event_level>]

   Die folgende Tabelle enthält die erforderlichen Parameter:

   Tabelle 1. Syslog-Serverparameter

   Parameter	Beschreibung
   syslog <IP-Adresse>	Geben Sie die IP-Adresse Ihres QRadar s ein
   facility <Einrichtungen>	Geben Sie die lokale Funktion ein, auf die die Protokollierungsoptionen angewendet werden sollen. Folgende Optionen stehen zur Verfügung: local0 local1 local2 local3 local4 local5 local6 local7 Der Standardwert ist local7.
   Tarifwert	Geben Sie die Rate ein, mit der Protokolleinträge an den Systemprotokollserver gesendet werden. Dieser Wert muss eine ganze Zahl von 0 bis 100000 sein. Der Standardwert ist 1000 Ereignisse pro Sekunde.
   pdu-verbosity <pdu-ebene>	Geben Sie die Ausführlichkeitsstufe ein, die für die Protokollierung der PDUs (Protocol Data Units) verwendet werden soll. Der Bereich liegt zwischen 1 und 5, wobei 5 die detaillierteste ist. Dieser Parameter betrifft nur Protokollprotokolle.
   pdu-data <Format>	Geben Sie das Ausgabeformat für die PDU bei Protokollierung in einem der folgenden Formate ein: none-Zeigt Ergebnisse in unaufbereitetem oder unformatiertem Text an. hex-Zeigt Ergebnisse im Hexadezimalformat an. hex-ascii-Zeigt Ergebnisse im Hexadezimal-und ASCII-Format an, ähnlich wie bei einem Hauptspeicherauszug des Hauptrahmens.
   event-verbosity <Ereignisstufe>	Geben Sie die Detaillierungsebene ein, die Sie für die Protokollierung von Ereignissen verwenden möchten. Dazu gehören: min-Stellt minimale Informationen zum Ereignis bereit, wie z. B. Ereignisname, Funktion, Ereignis-ID, Wertigkeit, Daten und Zeit. concise-Stellt detaillierte Informationen zum Ereignis bereit, stellt jedoch keine Ereignisquelle bereit. full-Zeigt detaillierte Informationen zum Ereignis an und enthält die Quelleninformationen, die die Task oder das Subsystem angeben, die bzw. das das Ereignis generiert hat.

3. Ermitteln Sie über die Rooteingabeaufforderung für den Ausführungsmodus die Sitzung, für die das Traceprotokoll generiert werden soll:

   logging trace {callid <call_id> | ipaddr <IP address> | msid <ms_id> | name <username>}

   Die folgende Tabelle enthält die erforderlichen Parameter:

   Tabelle 2. Traceprotokollparameter

   Parameter	Beschreibung
   callid <Aufruf-ID>	Gibt an, dass ein Traceprotokoll für eine Sitzung generiert wird, die durch die Rufnummer identifiziert wird. Dieser Wert ist eine 4 Byte lange Hexadezimalzahl.
   ipaddr <IP-Adresse>	Gibt an, dass ein Traceprotokoll für eine Sitzung generiert wird, die durch die angegebene IP-Adresse identifiziert wird.
   msid <Nachrichten-ID>	Gibt an, dass ein Traceprotokoll für eine Sitzung generiert wird, die durch die MSID (Mobile Station Identification) identifiziert wird. Dieser Wert muss 7-16 Ziffern umfassen, die als IMSI, MIN oder RMI angegeben werden.
   name <Benutzername>	Gibt an, dass ein Traceprotokoll für eine Sitzung generiert wird, die durch den Benutzernamen identifiziert wird. Dieser Wert ist der Name des Subskribenten, der zuvor konfiguriert wurde.

4. Gehen Sie wie folgt vor, um aktive Protokolle im Konfigurationsmodus in den aktiven Speicherpuffer zu schreiben:

   logging runtime buffer store all-events

5. Konfigurieren Sie einen Filter für die aktiven Protokolle:

   logging filter active facility <facility> level <report_level> [critical-info | no-critical-info]

   Die folgende Tabelle enthält die erforderlichen Parameter:

   Tabelle 3. Aktive Protokollparameter

   Parameter	Beschreibung
   Funktion<facility>	Geben Sie die Nachrichtenstufe der Einrichtung ein. Eine Funktion ist ein Protokoll oder eine Task, das bzw. die vom System verwendet wird. Die lokale Funktion definiert, welche Protokollierungsoptionen für lokal ausgeführte Prozesse angewendet werden sollen. Folgende Optionen stehen zur Verfügung: local0 local1 local2 local3 local4 local5 local6 local7 Der Standardwert ist local7.
   level <Berichtsebene>	Geben Sie die Protokollbewertungsstufe ein, einschließlich der folgenden: critical-Protokolliert nur die Ereignisse, die darauf hinweisen, dass ein schwerwiegender Fehler auftritt und das System oder eine Systemkomponente nicht mehr funktioniert. 'Kritisch' ist die höchste Wertigkeit. error-Protokolliert Ereignisse, die darauf hinweisen, dass ein Fehler auftritt, der dazu führt, dass das System oder eine Systemkomponente in einem verminderten Status betrieben wird. Diese Stufe protokolliert auch Ereignisse mit einer höheren Wertigkeit. warning-Protokolliert Ereignisse, die auf ein potenzielles Problem hinweisen können. Diese Stufe protokolliert auch Ereignisse mit einer höheren Wertigkeit. Ungewöhnlich-Protokolliert Ereignisse, die ungewöhnlich sind und untersucht werden müssen. Diese Stufe protokolliert auch Ereignisse mit einer höheren Wertigkeit. info-Protokolliert Informationsereignisse und Ereignisse mit einer höheren Wertigkeit. debug-Protokolliert alle Ereignisse unabhängig von der Wertigkeit. Es wird empfohlen, eine Fehlerstufe oder eine kritische Stufe zu konfigurieren, um den Wert der protokollierten Informationen zu maximieren und die Menge der generierten Protokolle zu verringern.
   kritisches-info	Der Parameter 'critical-info' gibt Ereignisse mit einem Kategorieattribut mit kritischen Informationen an und zeigt sie an. Beispiele für diese Ereignistypen können beim Booten angezeigt werden, wenn Systemprozesse oder Tasks eingeleitet werden.
   Keine kritische Information	Der Parameter no-critical-info gibt an, dass Ereignisse mit einem Kategorieattribut mit kritischen Informationen nicht angezeigt werden sollen.

6. Überwachungsprotokollziele konfigurieren:

   logging monitor {msid <ms_id>|username <username>}

   Die folgende Tabelle enthält die erforderlichen Parameter:

   Tabelle 4. Überwachungsprotokollparameter

   Parameter	Beschreibung
   msid <md-id>	Geben Sie eine msid ein, um zu definieren, dass ein Überwachungsprotokoll für eine Sitzung generiert wird, die anhand der MDID-Nummer (Mobile Station Identification) identifiziert wird. Dieser Wert muss 7-16 Ziffern umfassen, die als IMSI, MIN oder RMI angegeben werden.
   username <Benutzername>	Geben Sie den Benutzernamen ein, um ein für eine Sitzung generiertes Überwachungsprotokoll anhand des Benutzernamens zu identifizieren. Der Benutzername ist der Name des Subskribenten, der zuvor konfiguriert wurde.

7. Sie können nun die Protokollquelle in QRadarkonfigurieren.

   So konfigurieren Sie QRadar für den Empfang von Ereignissen von einem Starent-Gerät:

   1. Wählen Sie in der Liste Protokollquellentyp die Option Starent Networks Home Agent (HA) aus.

      Weitere Informationen zur Einheit finden Sie in der Dokumentation Ihres Anbieters.