Protokollkonfigurationsoptionen für Protokolldateien

Um Ereignisse von fernen Hosts zu empfangen, konfigurieren Sie eine Protokollquelle für die Verwendung des Protokolldateiprotokolls.

Das Protokolldateiprotokoll ist ein aktives abgehendes Protokoll, das für Systeme bestimmt ist, die tägliche Ereignisprotokolle schreiben. Es ist nicht sinnvoll, das Protokolldateiprotokoll für Einheiten zu verwenden, die Informationen an ihre Ereignisdateien anhängen.

Protokolldateien werden einzeln über SFTP, FTP, SCP oder FTPS abgerufen. Das Protokolldateiprotokoll kann Klartext, komprimierte Dateien oder Dateiarchive verwalten. Archive müssen Klartextdateien enthalten, die zeilenweise verarbeitet werden können. Wenn das Protokolldateiprotokoll eine Ereignisdatei herunterlädt, wird die Registerkarte Protokollaktivität durch die in der Datei empfangenen Informationen aktualisiert. Wenn nach Abschluss des Downloads weitere Informationen in die Datei geschrieben werden, werden die angehängten Informationen nicht verarbeitet.

In der folgenden Tabelle werden die protokollspezifischen Parameter für das Protokolldateiprotokoll beschrieben:

Tabelle 1. Protokolldateiprotokollparameter
Parameter	Beschreibung
Protokollkonfiguration	Protokolldatei
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Die Protokollquellenkennung kann ein beliebiger gültiger Wert sein und muss nicht auf einen bestimmten Server verweisen. Es kann auch denselben Wert wie der Protokollquellennamehaben. Wenn Sie mehr als eine konfigurierte Protokolldateiprotokollquelle haben, stellen Sie sicher, dass Sie jedem einen eindeutigen Namen geben.
Servicetyp	Wählen Sie das Protokoll aus, das beim Abrufen von Protokolldateien von einem fernen Server verwendet wird. SFTP-Protokoll Secure File Transfer (Standard) FTP - File Transfer Protocol FTPS-Dateiübertragungsprotokoll sicher SCP-Secure Copy Protocol Der Server, den Sie im Feld Ferne IP-Adresse oder Hostname angeben, muss das SFTP-Subsystem aktivieren, um Protokolldateien mit SCP oder SFTP abzurufen.
Ferne IP oder Hostname	Geben Sie die IP-Adresse oder den Hostnamen der Einheit ein, die die Ereignisprotokolldateien enthält.
Ferner Port	Wenn der ferne Host eine vom Standard abweichende Portnummer verwendet, müssen Sie den Portwert anpassen, um Ereignisse abzurufen.
Ferner Benutzer	Geben Sie den Benutzernamen ein, mit dem Sie sich bei dem Host anmelden, der die Ereignisdateien enthält.
Kennwort für fernes System	Geben Sie das Kennwort ein, das Sie für die Anmeldung am Host verwenden.
Strikte Hostschlüsselprüfung aktivieren	Aktivieren Sie diese Option, um eine Liste zulässiger öffentlicher Schlüssel für den Zielhost im Parameter Hostschlüsselliste zu definieren. Hinweis: Diese Option ist nur verfügbar, wenn Sie im Feld Servicetyp entweder SFTP (ProtokollSecure File Transfer ) oder SCP (Secure Copy Protocol) auswählen.
Hostschlüsselliste	Geben Sie eine Liste der Base64 -codierten Hostschlüssel an, die beim Herstellen der Verbindung zum Zielhost zu verwenden sind. Trennen Sie mehrere Schlüssel durch Zeilenumbruch und verwenden Sie Leerzeilen für die Formatierung. Folgende Hostschlüsseltypen werden unterstützt: `ssh-dss`, `ssh-rsa`, `ecdsa-sha2-nistp256`, `ecdsa-sha2-nistp384`und `ecdsa-sha2-nistp521`. Sie können diese Schlüssel abrufen, indem Sie den OpenSSH Befehl `ssh-keyscan` unter Linuxoder `ssh-keyscan.exe` unter Windows ausführen oder indem Sie den öffentlichen Schlüssel direkt vom Zielsystem von einer Position wie `/root/.ssh/id_rsa.pub`abrufen. Verwenden Sie nur den Hashwert Base64 und nicht den Hostnamen oder Algorithmus. Hinweis: Diese Option ist nur verfügbar, wenn Sie im Feld Servicetyp entweder SFTP (ProtokollSecure File Transfer ) oder SCP (Secure Copy Protocol) auswählen.
SSH-Schlüsseldatei	Wenn das System für die Verwendung der Schlüsselauthentifizierung konfiguriert ist, geben Sie den SSH-Schlüssel ein. Wenn eine SSH-Schlüsseldatei verwendet wird, wird das Feld Fernes Kennwort ignoriert. Der SSH-Schlüssel muss sich im Verzeichnis /opt/qradar/conf/keys befinden. Wichtig: Das Feld SSH-Schlüsseldatei akzeptiert keinen Dateipfad mehr. Es darf nicht "/" oder "~" enthalten. Geben Sie den Dateinamen für den SSH-Schlüssel ein. Die Schlüssel für vorhandene Konfigurationen werden in das Verzeichnis /opt/qradar/conf/keys kopiert. Um die Eindeutigkeit sicherzustellen, müssen die Schlüssel "_`< Zeitmarke>`" an den Dateinamen angehängt werden.
Fernes Verzeichnis	Wenn sich die Protokolldateien für FTP im Ausgangsverzeichnis des fernen Benutzers befinden, können Sie das ferne Verzeichnis leer lassen. Ein leeres fernes Verzeichnisfeld unterstützt Systeme, auf denen eine Änderung des Arbeitsverzeichnisbefehls (CWD) eingeschränkt ist.
Rekursiv	Aktivieren Sie dieses Kontrollkästchen, damit FTP-oder SFTP-Verbindungen Unterordner des fernen Verzeichnisses rekursiv nach Ereignisdaten durchsuchen können. Die aus Unterordnern erfassten Daten hängen von Übereinstimmungen mit dem regulären Ausdruck im FTP-Dateimuster ab. Die Option Rekursiv ist für SCP-Verbindungen nicht verfügbar.
FTP-Dateimuster	Der reguläre Ausdruck (regex), der zum Identifizieren der Dateien erforderlich ist, die vom fernen Host heruntergeladen werden sollen.
FTP-Übertragungsmodus	Bei ASCII-Übertragungen über FTP müssen Sie `NONE` im Feld Prozessor und `LINEBYLINE` im Feld Ereignisgenerator auswählen.
FTPS-TLS-Version	Die TLS-Versionen, die mit FTPS-Verbindungen kompatibel sind Wählen Sie TLS 1.3 für die höchste TLS-Sicherheitsstufe aus. Wenn Sie eine Option auswählen, die mehrere Versionen unterstützt, verhandelt die FTPS-Verbindung die neueste Version, die sowohl vom Client als auch vom Server unterstützt wird. TLS 1.3 ist mit QRadar 7.5.0 Update Package 5 und höher kompatibel. Wichtig: TLS 1.0 und TLS 1.1 werden von QRadar 7.4.3 Fixpack 3 und 7.5.0 Kandidatenrelease-Versionen nicht mehr unterstützt und nachfolgende Releases werden sie nicht mehr unterstützen. Einschränkung: QRadar unterstützt nur explizites FTPS Wenn der FTP-Server die Wiederverwendung von Sitzungen unterstützt, müssen Sie sie in der Konfigurationsdatei des FTP-Servers inaktivieren. Diese Konfigurationsoption ist anwendbar, wenn FTPS im Parameter Servicetyp ausgewählt ist.
Ferne SCP-Datei	Geben Sie für SCP-Dateiübertragungen den Namen der Datei auf dem fernen Host ein. Sie können nur eine einzelne Datei auswählen. Dieser Parameter unterstützt nicht das Hinzufügen mehrerer Dateien, einschließlich Methoden wie Datei-Globbing oder reguläre Ausdrücke.
Start Time	Wählen Sie die Uhrzeit aus, zu der die Protokollquelle den Dateiimport starten soll. Dieser Parameter wird zusammen mit dem Parameter Wiederholung verwendet, um festzulegen, wann und wie häufig das ferne Verzeichnis nach Dateien durchsucht wird.
Wiederholung	Das Zeitintervall, mit dem festgelegt wird, wie häufig das ferne Verzeichnis nach neuen Ereignisprotokolldateien durchsucht wird Das Zeitintervall kann Werte in Stunden (H), Minuten (M) oder Tagen (D) enthalten. Beispiel: Bei einer Wiederholung von 2H wird das ferne Verzeichnis alle 2 Stunden durchsucht.
Beim Speichern ausführen	Startet den Protokolldateiimport unmittelbar nach dem Speichern der Protokollquellenkonfiguration. Wenn dieses Kontrollkästchen ausgewählt ist, wird die Liste der zuvor heruntergeladenen und verarbeiteten Dateien gelöscht. Nach dem ersten Dateiimport folgt das Protokolldateiprotokoll dem vom Administrator definierten Start-und Wiederholungszeitplan.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.
Prozessor	Wenn die Dateien auf dem fernen Host in einem Archivformat gespeichert werden, wählen Sie den Prozessor aus, der zum Dekomprimieren des Ereignisprotokolls verwendet wird. Wenn die Dateien nicht in einem Archivformat gespeichert sind, wählen Sie Keineaus. Der Standardwert ist None.
Zuvor verarbeitete Dateien ignorieren	Wählen Sie dieses Kontrollkästchen aus, um Dateien zu verfolgen, die die Protokollquelle verarbeitet. Diese Option verhindert doppelte Ereignisse aus Dateien, die ein zweites Mal verarbeitet werden. Dieses Kontrollkästchen gilt für FTP-und SFTP-Dateiübertragungen.
Lokales Verzeichnis ändern	Ändert das lokale Verzeichnis auf dem Zielereigniskollektor , um Ereignisprotokolle zu speichern, bevor sie verarbeitet werden.
Lokales Verzeichnis	Das lokale Verzeichnis auf dem Zielereigniskollektor. Das Verzeichnis muss vorhanden sein, bevor das Protokolldateiprotokoll versucht, Ereignisse abzurufen.
Ereignis-Generator	Wählen Sie einen der folgenden Dateitypen als Ereignisgenerator für das Protokoll aus. LineByLine Jede Zeile wird als einzelnes Ereignis verarbeitet. Eine 10-Zeilen-Datei erstellt 10 separate Ereignisse. HPTandemCity in Texas Die Datei wird als binäres HPTandem-Prüfprotokoll NonStop verarbeitet. Jeder Datensatz in der Protokolldatei (ob primär oder sekundär) wird in Text konvertiert und als einzelnes Ereignis verarbeitet. HPTandem-Prüfprotokolle verwenden das folgende Dateinamensmuster: [aA]\d{7}. WebSphere Application Server Verarbeitet Ereignisprotokolle für WebSphere Application Server. Das ferne Verzeichnis muss den Dateipfad definieren, der im DSM konfiguriert ist. W3C Verarbeitet Protokolldateien aus Quellen, die das Format W3C verwenden. Der Header der Protokolldatei gibt die Reihenfolge und die Daten an, die in jeder Zeile der Datei enthalten sind. Annehmbare Warnung Verarbeitet Protokolldateien von Fair-Warning-Geräten, die Patientenidentität und medizinische Informationen schützen. Das ferne Verzeichnis muss den Dateipfad zu den Ereignisprotokollen definieren, die die Fair-Warning-Einheit generiert. DPI-Abonnentendaten Die Datei wird als DPI-Statistikprotokoll verarbeitet, das von einem Juniper Networks MX-Router erzeugt wird. Der Header der Datei gibt die Reihenfolge und die Daten an, die in jeder Zeile der Datei enthalten sind. Jede Zeile in der Datei nach dem Header wird mit Tabulatoren als Trennzeichen formatiert.`name=value`Paarereignis. SAP -Prüfprotokolle Dateien für SAP -Prüfprotokolle verarbeiten, um eine Aufzeichnung sicherheitsrelevanter Ereignisse in SAP -Systemen zu führen. Oracle BEA WebLogic Verarbeitet Dateien für Oracle BEA WebLogic -Anwendungsprotokolldateien. Juniper-SBR Verarbeitet die Ereignisprotokolldateien von Juniper Steel-belted RADIUS. ID-Verknüpfte mehrzeilige Verarbeitet mehrzeilige Ereignisprotokolle, die einen gemeinsamen Wert am Anfang jeder Zeile in einer mehrzeiligen Ereignisnachricht enthalten Diese Option verwendet reguläre Ausdrücke, um das mehrzeilige Ereignis in einzelnen Ereignisnutzdaten zu identifizieren und neu zu assemblieren. Zeilenabgleich Durchläuft die Zeilen, bis eine Zeile gefunden wird, die dem Muster entspricht, und löscht alle Zeilen, die dem Muster nicht entsprechen. Oracle -XML-Prüfung des Betriebssystems Verarbeitet das von Oracle Databaseerstellte Prüfprotokoll. Oracle OS Multiline-Prüfung Verarbeitet mehrzeilige Oracle -Prüfprotokolle, die Prüfinformationen wie Aktion, Benutzer, Status usw. enthalten RegEx -basierte mehrzeilige Durchläuft die Zeilen basierend auf dem Startmuster, dem Endmuster und dem Ignorierungsmuster der bereitgestellten regulären Ausdrücke und löscht alle Zeilen im Datenstrom, die nicht mit den Mustern übereinstimmen.
Dateiverschlüsselung	Die Zeichencodierung, die von den Ereignissen in Ihrer Protokolldatei verwendet wird
Nachrichten-ID-Muster	Geben Sie einen regulären Ausdruck (regulären Ausdruck) ein, der einen allgemeinen Wert am Anfang jeder Zeile in einer mehrzeiligen Ereignisnachricht angibt.
Ordnertrennzeichen	Das Zeichen, das zum Trennen von Ordnern für Ihr Betriebssystem verwendet wird. Die meisten Konfigurationen können den Standardwert im Feld Ordnertrennzeichen verwenden. Dieses Feld ist für Betriebssysteme vorgesehen, die ein anderes Zeichen verwenden, um separate Ordner zu definieren. Beispiel: Zeiträume, in denen Ordner auf Mainframesystemen getrennt werden.
Startmuster RegEx	Geben Sie einen regulären Ausdruck (regulären Ausdruck) ein, der das Startmuster jeder Zeile angibt.
Endmuster RegEx	Geben Sie einen regulären Ausdruck (regulären Ausdruck) ein, der das Endmuster jeder Zeile angibt.
Muster ignorieren RegEx	Geben Sie einen regulären Ausdruck (regulären Ausdruck) ein, um ein bestimmtes Muster in jeder Zeile auszuschließen.
Datum/Zeit RegEx	Geben Sie einen regulären Ausdruck (regulären Ausdruck) ein, der das Datums-und Zeitformat jeder Zeile angibt.
Datums-/Zeitformat	Geben Sie ein Datums-und Zeitformat ein, um den Beginn eines Ereignisses aus jeder Zeile anzugeben.

QRadar für die Verwendung von FTPS für das Protokolldateiprotokoll konfigurieren

Zum Konfigurieren von FTPS für das Protokolldateiprotokoll müssen Sie Server-SSL-Zertifikate auf allen QRadar Event Collectors speichern, die eine Verbindung zu Ihrem FTP-Server herstellen. Wenn Ihr SSL-Zertifikat nicht RSA 2048 ist, erstellen Sie ein neues SSL-Zertifikat.

Der folgende Befehl stellt ein Beispiel für die Erstellung eines Zertifikats auf einem LINUX-System mit Open SSL bereit:

openssl req -newkey rsa:2048 -nodes -keyout ftpserver.key -x509 -days 365 -out ftpserver.crt

Dateien auf dem FTP-Server mit der Dateierweiterung .crt müssen in das Verzeichnis /opt/qradar/conf/trusted_certificates auf jedem Ihrer Event Collectorskopiert werden.