Sie können mehrere Erweiterungsdokumente erstellen und diese dann hochladen und verschiedenen Protokollquellentypen zuordnen. Anschließend wird die Logik der Protokollquellenerweiterung (LSX) verwendet, um die Protokolle aus der nicht unterstützten Protokollquelle syntaktisch zu analysieren.
Erweiterungsdokumente können vor dem Hochladen in IBM
QRadaran beliebiger Stelle gespeichert werden.
Vorgehensweise
- Klicken Sie auf der Registerkarte Verwaltung auf Protokollquellenerweiterungen.
- Klicken Sie auf Hinzufügen.
- Weisen Sie einen Namen zu
- Optional: Soll diese Protokollquellenerweiterung auf mehrere Instanzen eines Protokollquellentyps angewendet werden, wählen Sie den Protokollquellentyp in der Liste Protokollquellentyp aus und klicken Sie auf den Pfeil 'Hinzufügen', um ihn als Standardtyp festzulegen.
Durch Festlegen des Standardprotokollquellentyps wird die Protokollquellenerweiterung auf alle Ereignisse eines Protokollquellentyps angewendet, einschließlich der Protokollquellen, die automatisch erkannt werden.
Stellen Sie sicher, dass Sie zuerst die Erweiterung für den Protokollquellentyp testen, um sicherzustellen, dass die Ereignisse ordnungsgemäß analysiert werden.
- Klicken Sie auf Durchsuchen , um die LSX zu suchen, die Sie gespeichert haben, und klicken Sie anschließend auf Hochladen.
QRadar überprüft das Dokument anhand der internen XSD und die Gültigkeit des Dokuments, bevor das Erweiterungsdokument auf das System hochgeladen wird.
- Klicken Sie auf Speichern und schließen Sie das Fenster.
- Ordnen Sie die Protokollquellenerweiterung einer Protokollquelle zu.
- Klicken Sie auf der Registerkarte Verwaltung auf .
- Doppelklicken Sie auf den Protokollquellentyp, für den das Erweiterungsdokument erstellt wurde.
- Wählen Sie in der Liste Protokollquellenerweiterung das von Ihnen erstellte Dokument aus.
- Klicken Sie auf Speichern und schließen Sie das Fenster.