TCP Aruba ClearPass Policy Manager のマルチラインSyslogログソースパラメータ
Aruba ClearPass Policy Manager DSMは、イベントが断片化されている場合、 TCPIBM QRadar のマルチラインSyslogプロトコルで設定されたログソースからのSyslogイベントを受け入れます。
ログソースが自動的に検出されない QRadar 場合は、 TCP のマルチラインSyslogプロトコルを使用して、Aruba QRadar ConsoleClearPass Policy Managerのログソースを追加してください。
次の表は、Aruba ClearPass Policy Manager から「 TCP 」マルチライン Syslog イベントを収集するために特定の値が必要なパラメータを示しています
| パラメーター | 値 |
|---|---|
| Log Source type | Aruba ClearPass Policy Manager |
| Protocol Configuration | TCP 複数行 Syslog |
| Log Source Identifier | ログ・ソースを識別するための IP アドレスまたはホスト名を入力します。 ログ・ソース ID の代わりにソース名を使用するには、 「カスタム・ソース名を使用」 を選択し、 「ソース名の正規表現」 および 「ソース名のフォーマット設定ストリング」に値を入力します。 重要: これらのパラメーターは、 「詳細オプションの表示」 が 「はい」に設定されている場合にのみ使用可能です。
ログ・ソース ID は、固有値でなければなりません。 |
| Listen Port | 着信する TCP のマルチラインSyslogイベントを受け付けるポート番号。 デフォルトの Listen Port は 12468です。 ポート番号を編集するには、以下の手順を実行します。
重要: 管理者が 「すべての構成のデプロイ (Deploy Full Configuration)」をクリックすると、システムはすべてのサービスを再始動します。これにより、デプロイメントが完了するまで、データ収集にギャップが生じる可能性があります。
|
| Aggregation Method | ID でリンク (ID-Linked) |
| Message ID Pattern | このパラメーターは、 「集約方法」 を 「ID リンク」に設定した場合に使用できます。 この正規表現は、イベント・ペイロード・メッセージをフィルタリングするために使用されます。 TCP 複数行イベント・メッセージでは、イベント・メッセージの各行で共通の識別値が繰り返されている必要があります。 重要: メッセージ ID の場合は、次のパターンを入力します。
|
| Event Formatter | フォーマットしない (No Formatting) |
| Show Advanced Options | はい |
| Use Custom Source Name | オフ |
| Use as a Gateway Log Source | オフ (同じポートに複数の Aruba デバイスを送信している場合を除く)。 |
| Flatten Multiline Events Into Single Line | オン |
| Retain Entire Lines During Event Aggregation | オフ |
| Time Limit | 3 |
以下は、Aruba ClearPass Policy Managerの TCP 用マルチラインSyslogプロトコルにおけるイベントメッセージの例です：
<135>Jul 21 14:15:58 10.0.0.0 LEEF:1.0|Aruba Networks|ClearPass|6.10.2.182283|13002|
messageId=5496525-2-0 Common.Username=Test Common.Service=WIRELESS_MAC-AUTH-SERVICE
Common.Roles=IOT-DEVICE, [User Authenticated] RADIUS.Auth-Source=Local:localhost
RADIUS.Auth-Method=MAC-AUTH Common.System-Posture-Token=UNKNOWN
Common.Enforcement-Profiles=WIRELESS_BAS-ROLE, RETURN-DEVICE-NAME Common.Host-MAC-Address=test
Common.NAS-IP-Address=10.0.0.1 Common.Error-Code=0
Common.Alerts=Policy server: Failed to construct filter=SELECT\n
CASE WHEN expire_time is null or expire_time > now() THEN 'false'\n
ELSE 'true'\n END AS is_expired,\n
CASE WHEN enabled = true THEN 'true' ELSE 'false' END as is_enabled\nFROM tips_guest_users\nWHERE
((guest_type = 'USER') AND (user_id = '%{Endpoint:Username}') AND (app_name != 'Onboard')).
\nFailed to get value for attributes=[AccountEnabled, AccountExpired]
Common.Request-Timestamp=2023-07-21 14:15:45-04 src=10.0.0.1
<135>Jul 21 14:15:58 10.0.0.0 LEEF:1.0|Aruba Networks|ClearPass|6.10.2.182283|13002|messageId=5496525-2-1
devTimeFormat=MMM dd yyyy HH:mm:ss.SSS z cat=Session Logs
TCP のマルチラインSyslogプロトコルのパラメータとその値の完全な一覧については、 「 TCP のマルチラインSyslogプロトコルの設定オプション」 を参照してください。