Caso práctico: Crear un informe que utiliza datos de suceso que no están normalizados

Puede utilizar una propiedad personalizada para extraer datos que no están normalizados procedentes de una carga útil y utilícelos para generar un informe. Por ejemplo, puede generar un informe que se base en la información de interfaz que se encuentra en los mensajes de denegación de cortafuegos de Cisco ASA.

En este ejemplo, usaremos los siguientes sucesos de cortafuegos de Cisco ASA para demostrar cómo extraer el valor de interfaz de la carga útil de sucesos y generar después un informe que utilice esos datos.
<162>Sep 02 2014 11:49:41: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface External
<162>Sep 02 2014 11:49:40: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface Loopback
<162>Sep 02 2014 11:49:17: %ASA-2-106001: Inbound TCP connection 
denied from 10.10.10.128/58821 to 10.11.11.11/9100 flags SYN on interface Internal
  1. Cree la propiedad personalizada.

    En los sucesos de ejemplo anteriores, puede ver que la carga útil de sucesos incluye la palabrainterfaceseguido del valor que desea extraer. Para capturar la información de interfaz de los sucesos anteriores, cree una propiedad personalizada basada en extracción y configúrela para utilizar la expresión regularinterface\s(.*)\b.

    Para asegurarse de que la nueva propiedad personalizada está disponible para utilizarla en una búsqueda, seleccione la casilla de verificación Habilitar para su uso en reglas, perfiles de reenvío e indexación de búsqueda y habilite la propiedad personalizada.

  2. Cree una búsqueday, en el campo Agrupar por , seleccione la nueva propiedad de suceso personalizado.

    Para asegurarse de que los resultados de la búsqueda solo incluirán sucesos de Cisco ASA, añada el origen de registro y una opción de filtro en los parámetros de búsqueda. Guarde los criterios de búsqueda para utilizarlos en un informe. Asigne la búsqueda guardada a un grupo para que le resulte más fácil encontrarla más tarde.

  3. Cree un informey configure el contenido del gráfico para utilizar la nueva búsqueda guardada.

    Si no se ha configurado el informe para ejecutarse después de guardarlo, puede ejecutarlo de forma inmediata seleccionando AccionesEjecutar informe.