Anwendungsfall: Bericht aus nicht normalisierten Ereignisdaten erstellen

Mit einer angepassten Eigenschaft können Sie nicht aus den Nutzdaten normalisierte Daten extrahieren, um aus diesen Daten einen Bericht zu erstellen. Beispielsweise können Sie einen Bericht aus den Schnittstelleninformationen von Cisco ASA-Firewall-Deny-Nachrichten generieren.

Wir verwenden in diesem Beispiel die folgenden Cisco ASA-Firewall-Beispielereignisse zur Veranschaulichung, wie der Schnittstellenwert aus Ereignisnutzdaten extrahiert und diese Daten zu einem Bericht zusammengestellt werden.
<162>Sep 02 2014 11:49:41: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface External
<162>Sep 02 2014 11:49:40: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface Loopback
<162>Sep 02 2014 11:49:17: %ASA-2-106001: Inbound TCP connection 
denied from 10.10.10.128/58821 to 10.11.11.11/9100 flags SYN on interface Internal
  1. Erstellen Sie die benutzerdefinierte Eigenschaft.

    In den obigen Beispielereignissen sehen Sie, dass die Ereignisnutzdaten das Wortinterfacegefolgt von dem Wert, den Sie extrahieren möchten. Um die Schnittstelleninformationen aus den obigen Ereignissen zu erfassen, erstellen Sie eine extraktionsbasierte angepasste Eigenschaft und konfigurieren Sie sie für die Verwendung des regulären Ausdrucks.interface\s(.*)\b.

    Um sicherzustellen, dass die neue angepasste Eigenschaft für die Verwendung in einer Suche verfügbar ist, wählen Sie das Kontrollkästchen Für Verwendung in Regeln, Weiterleitungsprofilen und Suchindexierung aktivieren aus und aktivieren Sie die angepasste Eigenschaft.

  2. Erstellen Sie eine Sucheund wählen Sie im Feld Gruppieren nach die neue benutzerdefinierte Ereigniseigenschaft aus.

    Um sicherzustellen, dass die Suchergebnisse nur Cisco ASA-Ereignisse enthalten, fügen Sie die Protokollquelle in den Suchparametern als Schnellfilteroption hinzu. Speichern Sie die Suchkriterien, um sie in einem Bericht verwenden zu können. Weisen Sie die gespeicherte Suche einer Gruppe zu, damit Sie sie später schneller wieder finden.

  3. Erstellen Sie einen Berichtund konfigurieren Sie den Diagramminhalt für die Verwendung der neuen gespeicherten Suche.

    Falls der Bericht gemäß Konfiguration nicht sofort nach dem Speichern ausgeführt wird, können Sie ihn durch Auswahl von AktionenBericht ausführen starten.