Opciones de configuración del protocolo TCP Multiline Syslog

ID-Multilínea enlazada

Procesa registros de sucesos de varias líneas que contienen un valor común al principio de cada línea.

Coincidencia de inicio/finalización

Procesa sucesos de varias líneas especificando patrones de inicio y finalización para los sucesos.

Este parámetro está disponible cuando establece el parámetro Método de agregación en Iniciar/finalizar coincidencia.

Expresión regular (regex) que es necesaria para identificar el inicio de una carga útil de TCP Multiline a suceso. Las cabeceras de Syslog suelen empezar con una fecha o una indicación de fecha y hora. El protocolo puede crear un suceso de una sola línea que se basa únicamente en un patrón de inicio de suceso, como una indicación de fecha y hora. Cuando sólo existe un patrón de inicio, el protocolo captura toda la información entre cada valor de inicio para crear un suceso válido.

Este parámetro está disponible cuando establece el parámetro Método de agregación en Iniciar/finalizar coincidencia.

Esta expresión regular (regex) que es necesaria para identificar el final de una carga útil de suceso de varias líneas TCP. Si el suceso syslog finaliza con el mismo valor, utilice una expresión regular para determinar el final de un suceso.

Cuando solo se utiliza un Patrón de inicio de suceso y el dispositivo emisor envía unos pocos sucesos (EPS bajo) en un intervalo, el último suceso enviado no se procesa hasta que la interconexión detecta un nuevo Patrón de inicio de suceso. Por ejemplo, cuando se envía un único "suceso de prueba", puede ser invisible en la actividad de registro de QRadar sin añadir un Patrón de finalización de suceso. Para eludir este escenario, envíe de 2 a 3 sucesos de prueba a la vez. Sin un Patrón de finalización de suceso, el último suceso no se captura hasta que se detecta un nuevo Patrón de inicio de suceso .

Este parámetro está disponible cuando se establece el parámetro Método de agregación en ID-Linked.

Esta expresión regular (regex) es necesaria para filtrar los mensajes de carga útil de suceso. Los mensajes de suceso de varias líneas TCP deben contener un valor de identificación común que se repita en cada línea del mensaje de suceso.

El valor predeterminado es No. Seleccione Sí si desea personalizar los datos de suceso.

Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí.

Seleccione el recuadro de selección si desea personalizar el nombre de origen con regex.

Este parámetro está disponible cuando selecciona Utilizar nombre de origen personalizado.

Expresión regular (regex) que captura uno o más valores de las cargas útiles de sucesos que maneja este protocolo. Estos valores se utilizan con el parámetro Serie de formato de nombre de origen para establecer un valor de origen o de origen para cada suceso. Este valor de origen se utiliza para direccionar el suceso a un origen de registro con un valor de Identificador de origen de registro coincidente.

Este parámetro está disponible cuando habilita Utilizar nombre de origen personalizado.

Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí.

Cuando se selecciona, los sucesos que fluyen a través del origen de registro se direccionan a otros orígenes de registro, basándose en el nombre de origen etiquetado en los sucesos.

Cuando esta opción no está seleccionada y Utilizar nombre de origen personalizado no está habilitado, los sucesos de entrada se etiquetan con un nombre de origen que corresponde al parámetro Identificador de origen de registro.

Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí.

Muestra un suceso en una sola línea o en varias líneas.

Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí.

Si establece el método ID-Linked Multiline para el parámetro Método de agregación , este parámetro puede modificar las salidas de datos de sucesos agregados.

Si habilita Retener líneas completas durante la agregación de sucesos, se conservan todas las partes de los sucesos al agregar sucesos con el mismo patrón de ID. Si no habilita este parámetro, la parte de los sucesos antes del Patrón de ID de mensaje se descartan cuando se agregan los sucesos.

Seleccione este recuadro de selección para habilitar el origen de registro.

Seleccione la credibilidad del origen de registro. El rango de valores es de 0 a 10.

La credibilidad indica la integridad de un suceso o un delito según viene determinada por la valoración de credibilidad de los dispositivos de origen. La credibilidad aumenta si varios orígenes informan del mismo suceso. El valor predeterminado es 5.

Seleccione el recopilador de sucesos en el despliegue para alojar el escucha TCP Multiline Syslog.

Seleccione este recuadro de selección para habilitar el origen de registro para fusionar (empaquetar) sucesos.

De forma predeterminada, los orígenes de registro descubiertos automáticamente heredan el valor de la lista Sucesos de fusión de los valores del sistema en QRadar. Cuando crea un origen de registro o edita una configuración existente, puede alterar temporalmente el valor predeterminado configurando esta opción para cada origen de registro.

Seleccione este recuadro de selección para habilitar el origen de registro para almacenar información de carga útil de sucesos.

De forma predeterminada, los orígenes de registro descubiertos automáticamente heredan el valor de la lista Almacenar carga útil de sucesos de los valores del sistema en QRadar. Cuando crea un origen de registro o edita una configuración existente, puede alterar temporalmente el valor predeterminado configurando esta opción para cada origen de registro.