Automatische Erkennung von Protokollquellen für Protokollquellentypen konfigurieren

Konfigurieren Sie die automatische Erkennung von Protokollquellen für einen Protokollquellentyp, damit Sie nicht für jede Instanz eine Protokollquelle manuell erstellen müssen. Durch die Konfiguration der automatischen Erkennung der Protokollquelle verbessern Sie auch die Genauigkeit, mit der Geräte mit demselben Format erkannt werden, und auch die Pipeline-Leistung verbessert sich, da weniger Geräte falsch erkannt werden.

Vorbereitende Schritte

In QRadar V7.3.2 ermöglichen Upgrades von früheren Versionen globale Konfigurationseinstellungen, die in der QRadar Datenbank gespeichert werden. Die globalen Einstellungen werden zunächst basierend auf dem Inhalt der Datei TrafficAnalysisConfig.xml im Verzeichnis /opt/qradar/conf/ auf QRadar Console festgelegt. Wenn diese Datei vor dem Upgrade auf Version 7.3.2 angepasst wurde, werden die Anpassungen beibehalten. Wenn auf anderen verwalteten Hosts in der Implementierung andere Anpassungen vorhanden sind, werden diese Anpassungen in den globalen Einstellungen nicht übernommen. Nach wie vor können Sie die automatischen Erkennungseinstellungen jedoch auch individuell für jeden Ereignisprozessor in der Konfigurationsdatei festlegen. Deaktivieren Sie die globalen Einstellungen für die automatische Erkennung unter Verwaltung > System- und Lizenzverwaltung > Verwalteten Host bearbeiten > Komponentenverwaltung.

Informationen zu dieser Task

Wenn die automatische Erkennung von Protokollquellen aktiviert ist und Sie einen angepassten Protokollquellentyp mit vielen Instanzen in Ihrem Netz erstellen, müssen Sie nicht für jede Instanz eine Protokollquelle manuell erstellen.

Sie können auch die QRadar -REST-API oder ein Befehlszeilenscript verwenden, um die automatisch erkannten Protokollquellentypen zu aktivieren und zu inaktivieren. Wenn Sie nur wenige Protokollquellentypen verwenden, beschleunigen Sie durch die Konfiguration der automatisch erkannten Protokollquellen die Erkennungsgeschwindigkeit.

Hinweis: Wenn die Protokollquelle bereits automatisch erkannt wurde, können Sie die Eigenschaft "automatisch erkannt" erst ändern, wenn Sie die Protokollquelle löschen.

Wenn Sie zu den dateibasierten (nicht globalen) Einstellungen zurückkehren, können Sie die automatische Erkennung nur mit der Konfigurationsdatei konfigurieren. Der DSM-Editor und die REST-API funktionieren nur mit globalen Einstellungen. Verschieben Sie angepasste Konfigurationen für die automatische Erkennung in die globalen Einstellungen und den DSM-Editor.

Optimieren Sie die Engine für die automatische Erkennung so, dass Protokollquellen nicht inkorrekt als falscher Typ erkannt werden. Die falsche Erkennung tritt auf, wenn ein DSM Ereignisse inkorrekt als seine eigenen erkennt, obwohl sie ursprünglich nicht aus dem Systemtyp stammen, das dem DSM entspricht. Dies kann passieren, wenn Ereignisse beispielsweise auf die gleiche Weise wie die Ereignisse formatiert werden, die vom DSM unterstützt werden, oder wenn sie die Schlüsselwörter enthalten, die der DSM sucht. Es kann ebenfalls auftreten, wenn ein DSM auf dem System vorhanden ist, dass die Ereignisse generiert, wenn die Ereignisse sich so ähnlich sind, dass der inkorrekte DSM die Ereignisse genauso erfolgreich analysieren kann wie der korrekte DSM. Dieser DSM erkennt die Ereignisse fälschlicherweise als seine eigenen und die Engine für die automatische Erkennung erstellt eine Protokollquelle mit dem falschen Typ.

Beispiel: Sie haben sowohl Linux® -als auch AIX® -Systeme in Ihrer QRadar -Implementierung und die meisten von ihnen sind Linux. Sie können den Wert für den Parameter Mindestanzahl erfolgreicher Ereignisse für automatische Erkennung oder den Wert für Mindestanzahl erfolgreicher Ereignisse für automatische Erkennung für Linuxverringern. Alternativ können Sie den Parameter Mindestanzahl erfolgreicher Ereignisse für automatische Erkennung oder den Parameter Mindestanzahl erfolgreicher Ereignisse für automatische Erkennung für AIXerhöhen.

Vorgehensweise

Klicken Sie im Navigationsmenü ( ) auf Admin.
Klicken Sie im Abschnitt Datenquellen auf DSM-Editor.
Wählen Sie einen Protokollquellentyp aus oder erstellen Sie einen neuen im Fenster Protokollquellentyp auswählen .
Klicken Sie auf die Registerkarte Konfiguration und anschließend auf Automatische Erkennung von Protokollquellen aktivieren.

Konfigurieren Sie die folgenden Parameter:

Parameter	Beschreibung
Vorlage für den Protokollquellennamen	Geben Sie die Vorlage zum Festlegen des Namens von Protokollquellen ein, die automatisch erkannt wurden. Es können zwei Variablen verwendet werden: $$DEVICE_TYPE$$ entspricht dem Namen des Protokollquellentyps. $$SOURCE_ADDRESS$$ entspricht der Quellenadresse, aus der die Ereignisse stammen.
Vorlage für die Beschreibung der Protokollquelle	Geben Sie die Vorlage zum Festlegen der Beschreibung von Protokollquellen ein, die automatisch erkannt wurden. Es können zwei Variablen verwendet werden: $$DEVICE_TYPE$$ entspricht dem Namen des Protokollquellentyps. $$SOURCE_ADDRESS$$ entspricht der Quellenadresse, aus der die Ereignisse stammen.
Mindestanzahl erfolgreicher Ereignisse für automatische Erkennung	Die Mindestanzahl von Ereignissen aus einer unbekannten Quelle, die erfolgreich analysiert werden müssen, damit die automatische Erkennung ausgeführt werden kann.
Mindesterfolgsquote für automatische Erkennung	Der Prozentsatz für die Mindesterfolgsquote bei der Analyse für Ereignisse aus einer unbekannten Quelle, damit die automatische Erkennung stattfindet.
Angestrebte Begrenzung für Analyse	Die Maximale Anzahl von Ereignissen aus einer unbekannten Quelle, die ausgeführt werden, bevor die automatische Erkennung beendet wird.
Begrenzung aufeinanderfolgender fehlgeschlagener Analysen	Die Anzahl aufeinanderfolgender Ereignisse aus einer unbekannten Quelle, mit der die automatische Erkennung beendet wird.

Klicken Sie auf Speichern.