Origen de registro de pasarela

Utilice un origen de registro de pasarela para configurar un protocolo para utilizar muchos módulos de soporte de dispositivo (DSM) en lugar de depender de un único tipo de DSM. Con un origen de registro de pasarela, los protocolos de agregador de sucesos pueden manejar dinámicamente varios tipos de sucesos.

Un origen de registro de pasarela no utiliza un DSM. Delega el análisis de DSM a orígenes de registro de Syslog autónomos que tienen un identificador adecuado y DSM. Estos orígenes de registro son un origen de registro de recopilador (la pasarela) y un origen de registro de analizador. Los orígenes de registro del analizador coinciden con los datos que proceden de la pasarela y no recopilan activamente los propios sucesos.

Antes de crear el origen de registro de pasarela, debe saber qué tipos de datos espera recopilar de la pasarela de datos. Las pasarelas de datos pueden recopilar muchos tipos de datos y QRadar no da soporte a todos los tipos de datos de forma predeterminada. Para analizar los datos correctamente, debe existir un DSM que pueda manejar los sucesos que está recopilando. Incluso si QRadar da soporte al origen del suceso, si la pasarela lo devuelve en un formato inesperado, es posible que el DSM no lo analice. Por ejemplo, si la pasarela de datos devuelve un suceso en un formato JSON, pero el DSM espera un formato LEEF, es posible que necesite un DSM personalizado para analizar los datos.

Un origen de registro de pasarela funciona de la misma forma que otros orígenes de registro utilizando su protocolo seleccionado para alcanzar y recopilar sucesos. La diferencia entre un origen de registro de pasarela y otros orígenes de registro se produce cuando los sucesos recopilados están listos para ser publicados. Un origen de registro normal intenta forzar que el DSM seleccionado analice los sucesos. Un origen de registro de pasarela envía los sucesos como una carga útil de Syslog con un identificador predeterminado establecido en 0.0.0.0 o en la dirección IP de servicios conectados.

Cuando se publica un suceso en el conducto de sucesos como una carga útil de Syslog, los sucesos se manejan mediante la detección automática de origen de registro. Si existe un origen de registro ficticio existente con el identificador proporcionado, el suceso lo maneja dicho origen de registro, independientemente de si el suceso se analiza con ese DSM. Si no existe ningún origen de registro ficticio, los DSM que dan soporte a la detección automática analizan el suceso. Si el suceso analiza correctamente con un DSM, actualiza el identificador a "IP o Host @ DSM" y crea un origen de registro.

Los orígenes de registro que se crean automáticamente no tienen su identificador establecido por el protocolo. Estos identificadores de orígenes de registro están en el formato "IP o Host @ DSM Type". Para que coincida con un origen de registro ficticio creado automáticamente, la carga útil de Syslog debe tener un identificador que sea la misma IP o host, y el DSM seleccionado debe poder analizarlo. El identificador predeterminado se envía como [IP o host], no "IP o host @ DSM Type". Para que el identificador se actualice con el tipo de DSM, debe analizarse con ese tipo de DSM. Si utiliza los valores predeterminados, los sucesos que no se pueden analizar se envían directamente a sim-generic.

Para configurar un origen de registro de pasarela, habilite la opción Utilizar como origen de registro de pasarela para el protocolo seleccionado. Si habilita esta opción, los sucesos se envían a la interconexión de sucesos y se detectan automáticamente. Para obtener el valor máximo de esta característica, utilice el Patrón de identificador de origen de registro.