Erweiterungsmanagement für Protokollquellen
Sie können Protokollquellenerweiterungen erstellen, um die Parserroutinen bestimmter Einheiten zu erweitern oder zu ändern.
Eine Protokollquellenerweiterung ist eine XML-Datei, die alle Muster für reguläre Ausdrücke enthält, die zum Identifizieren und Kategorisieren von Ereignissen aus den Ereignisnutzdaten erforderlich sind. Erweiterungsdateien können verwendet werden, um Ereignisse zu analysieren, wenn Sie ein Parsing-Problem beheben oder das Standardparsing für ein Ereignis aus einem DSM überschreiben müssen. Wenn kein DSM vorhanden ist, um Ereignisse für eine Appliance oder Sicherheitseinheit in Ihrem Netzwerk zu analysieren, kann eine Erweiterung Ereignisunterstützung bereitstellen. Die Registerkarte Protokollaktivität gibt Protokollquellenereignisse in den folgenden Basistypen an:
- Protokollquellen, die das Ereignis ordnungsgemäß analysieren. Ordnungsgemäß geparste Ereignisse werden dem korrekten Protokollquellentyp und der korrekten Kategorie zugeordnet. In diesem Fall ist kein Eingriff oder keine Erweiterung erforderlich.
- Protokollquellen, die Ereignisse analysieren, aber den Wert Unbekannt im Parameter Protokollquelle haben. Unbekannte Ereignisse sind Protokollquellenereignisse, bei denen der Protokollquellentyp angegeben ist, die Nutzinformationen jedoch vom DSM nicht verstanden werden können. Das System kann keine Ereignis-ID aus den verfügbaren Informationen ermitteln, um das Ereignis ordnungsgemäß zu kategorisieren. In diesem Fall kann das Ereignis einer Kategorie zugeordnet werden oder es kann eine Protokollquellenerweiterung geschrieben werden, um das Ereignisparsing für unbekannte Ereignisse zu reparieren.
- Protokollquellen, die den Protokollquellentyp nicht identifizieren können und den Wert Gespeichert im Parameter Protokollquelle haben. Für gespeicherte Ereignisse müssen Sie Ihre DSM-Dateien aktualisieren oder eine Protokollquellenerweiterung schreiben, um das Ereignis ordnungsgemäß zu analysieren. Nach dem Parsing des Ereignisses können Sie die Ereignisse zuordnen.
Bevor Sie eine Protokollquellenerweiterung hinzufügen können, muss das Erweiterungsdokument erstellt werden. Das Erweiterungsdokument ist ein XML-Dokument, das Sie mit einer beliebigen allgemeinen Textverarbeitungs-oder Textbearbeitungsanwendung erstellen können. Es können mehrere Erweiterungsdokumente erstellt, hochgeladen und verschiedenen Protokollquellentypen zugeordnet werden. Das Format des Erweiterungsdokuments muss einem Standard-XML-Schemadokument (XSD) entsprechen. Für die Entwicklung eines Erweiterungsdokuments sind Kenntnisse und Erfahrung mit XML-Codierung erforderlich.