Origen de registro de pasarela

Utilice un origen de registro de pasarela para configurar un protocolo para utilizar muchos módulos de soporte de dispositivo (DSM) en lugar de depender de un único tipo de DSM. Con un origen de registro de pasarela, los protocolos de agregador de sucesos pueden manejar dinámicamente varios tipos de sucesos.

Un origen de registro de pasarela no utiliza un DSM. Delega el análisis de DSM a orígenes de registro de Syslog autónomos que tienen un identificador adecuado y DSM. Estos orígenes de registro son un origen de registro de recopilador (la pasarela) y un origen de registro de analizador. Los orígenes de registro del analizador coinciden con los datos que proceden de la pasarela y no recopilan activamente los propios sucesos.

Antes de crear el origen de registro de pasarela, debe saber qué tipos de datos espera recopilar de la pasarela de datos. Las pasarelas de datos pueden recopilar muchos tipos de datos y QRadar no da soporte a todos los tipos de datos de forma predeterminada. Para analizar los datos correctamente, debe existir un DSM que pueda manejar los sucesos que está recopilando. Incluso si QRadar da soporte al origen del suceso, si la pasarela lo devuelve en un formato inesperado, es posible que el DSM no lo analice. Por ejemplo, si la pasarela de datos devuelve un suceso en un formato JSON, pero el DSM espera un formato LEEF, es posible que necesite un DSM personalizado para analizar los datos.

Un origen de registro de pasarela funciona de la misma forma que otros orígenes de registro utilizando su protocolo seleccionado para alcanzar y recopilar sucesos. La diferencia entre un origen de registro de pasarela y otros orígenes de registro se produce cuando los sucesos recopilados están listos para ser publicados. Un origen de registro normal intenta forzar que el DSM seleccionado analice los sucesos. Una fuente de registro de puerta de enlace envía los eventos como una carga útil de Syslog con un identificador predeterminado establecido en 0.0.0.0 o en la dirección IP de los servicios conectados (la dirección IP de origen del paquete).

Cuando se publica un suceso en el conducto de sucesos como una carga útil de Syslog, los sucesos se manejan mediante la detección automática de origen de registro. Si existe un origen de registro con el identificador proporcionado, el evento es gestionado por ese origen de registro, independientemente de si el evento se analiza con ese DSM. Si no existe ninguna fuente de registro, el evento es analizado por los DSM que admiten la detección automática. Si el evento se analiza correctamente con un DSM, se crea un origen de registro con el formato de nombre que depende de la configuración de la detección automática de origen de registro para ese DSM en particular, que generalmente es $$DEVICE_TYPE$$ @ $$SOURCE_ADDRESS$$.

Las fuentes de registro que se crean automáticamente suelen tener la opción de identificador de fuente de registro configurada como nombre de host/IP si se trata de un encabezado syslog válido, la IP de origen del paquete o 0.0.0.0. Para que coincida con un origen de registro creado automáticamente, la carga útil debe tener un identificador que coincida con el que figura en el identificador de origen de registro, y el DSM seleccionado debe poder analizarlo. Los eventos que no se pueden analizar se envían directamente a sim-generic o se almacenan.

Para configurar un origen de registro de pasarela, habilite la opción Utilizar como origen de registro de pasarela para el protocolo seleccionado. Si habilita esta opción, los sucesos se envían a la interconexión de sucesos y se detectan automáticamente. Para obtener el valor máximo de esta característica, utilice el Patrón de identificador de origen de registro.