複数の拡張文書を作成してアップロードし、さまざまなログ・ソース・タイプに関連付けることができます。 それにより、ログ・ソース拡張 (LSX) によるロジックが、サポートされていないログ・ソースからのログを構文解析するために使用されます。
拡張文書は、 IBM
QRadarにアップロードする前の任意の場所に保管できます。
手順
- 「管理」 タブで、 「ログ・ソース拡張」をクリックします。
- 「追加」をクリックします。
- 名前を割り当てます。
- オプション: このログ・ソース拡張をログ・ソース・タイプの複数のインスタンスに適用する場合は、使用可能な 「ログ・ソース・タイプ」 リストからログ・ソース・タイプを選択し、追加矢印をクリックしてそれをデフォルトとして設定します。
デフォルトのログ・ソース・タイプを設定すると、そのログ・ソース拡張が特定のログ・ソース・タイプ (および自動的にディスカバーされたログ・ソース) のすべてのイベントに適用されます。
イベントが正しく構文解析されるように、必ず最初にログ・ソース・タイプに対する拡張をテストしてください。
- 「参照」 をクリックして保存した LSX を見つけ、 「アップロード」をクリックします。
QRadar は、内部 XSD に照らして文書を検証し、拡張文書がシステムにアップロードされる前に文書の妥当性を検証します。
- 「保存」 をクリックして、ウィンドウを閉じます。
- ログ・ソース拡張をログ・ソースに関連付けます。
- 「管理」 タブで、 をクリックします。
- 拡張文書の作成対象ログ・ソース・タイプをダブルクリックします。
- 「ログ・ソース拡張」 リストから、作成した文書を選択します。
- 「保存」 をクリックして、ウィンドウを閉じます。