追加のカスタム・フォーマットのキー値ペアの作成
特定の Blue Coat データまたはイベントを IBM QRadarに転送するには、Extended Log File Format (ELFF) カスタム・フォーマットを使用します。
カスタム・フォーマットはパイプ記号で区切った一連のフィールドであり、Bluecoat| フィールドで開始し、$(Blue Coat ELFF) パラメーターが含まれています。
例:
Bluecoat|src=$(c-ip)|srcport=$(c-port)|dst=$(cs-uri-address)|dstport=$(cs-uri-port)|username=$(cs-username)|devicetime=$(gmttime)|s-action=$(s-action)|sc-status=$(sc-status)|cs-method=$(cs-method)
| Blue Coat ELFF パラメーター | QRadar カスタム・フォーマットの例 |
|---|---|
| sc-bytes | $(sc-bytes) |
| rs(Content-type) | $(rs(Content-Type)) |
使用可能な Blue Coat ELFF パラメーターについて詳しくは、Blue Coat アプライアンスの資料を参照してください。