Blue Coat SG のログ・ファイル・ログ・ソース・パラメーター

リストから、リモート・サーバーからログ・ファイルを取得するときに使用するプロトコルを選択します。 デフォルトは SFTP です。

サービス・タイプ SCP および SFTP のログ・ファイルを取得するために使用される基礎のプロトコルでは、「リモート IP/ホスト名」フィールドに指定されているサーバーの SFTP サブシステムが有効になっている必要があります。

イベント・ログ・ファイルを保管するデバイスの IP アドレスまたはホスト名を入力します。

選択されたサービス・タイプを実行するリモート・ホスト上の TCP ポートを入力します。 有効な範囲は、1 から 65535 です。

オプションは、以下のとおりです。

• FTP - TCP ポート 21
• SFTP - TCP ポート 22
• SCP - TCP ポート 22

イベント・ファイルのホストが FTP、SFTP、または SCP に非標準のポート番号を使用する場合は、ポート値を調整する必要があります。

イベント・ファイルが含まれているホストにログインするために必要なユーザー名を入力します。

ユーザー名の長さは最大で 255 文字までです。

ホストにログインするために必要なパスワードを入力します。

ホストにログインするために必要なパスワードを確認します。

サービス・タイプとして「SCP」または「SFTP」を選択すると、このパラメーターにより、SSH 秘密鍵ファイルを定義することを選択できるようになります。 SSH 鍵ファイルを指定すると、「リモート・パスワード」フィールドは無視されます。

ログインに使用しているユーザー・アカウントに関連した、ファイルを取得するリモート・ホスト上のディレクトリーの場所を入力します。

FTP の場合のみ。 ログ・ファイルがリモート・ユーザーのホーム・ディレクトリー内にある場合は、リモート・ディレクトリーをブランクのままにしておくことができます。 これは、作業ディレクトリーの変更 (CWD) コマンドが制限されているオペレーティング・システムをサポートするためです。

ファイル・パターンでリモート・ディレクトリーのサブフォルダーを検索するようにしたい場合は、このチェック・ボックスを選択します。 デフォルトでは、このチェック・ボックスはクリアされています。

SCP をサービス・タイプとして構成する場合は、「再帰的 (Recursive)」オプションは無視されます。

サービス・タイプとして「SFTP」または「FTP」を選択した場合、このオプションにより、リモート・ディレクトリーで指定されているファイルのリストをフィルターに掛けるために必要な正規表現 (regex) を構成することを選択できるようになります。 一致するすべてのファイルは処理に組み込まれます。

指定する FTP ファイル・パターンは、イベント・ファイルに割り当てた名前に一致する必要があります。 例えば、末尾が .log のファイルを収集するには、以下を入力します。

.*\.log

このパラメーターの使用には、正規表現 (regex) の知識が必要です。 詳しくは、Web サイト https://docs.oracle.com/javase/tutorial/essential/regex/ を参照してください。

このオプションは、「サービス・タイプ」として「FTP」を選択した場合にのみ表示されます。 「FTP 転送モード (FTP Transfer Mode)」パラメーターにより、FTP 経由でログ・ファイルを取得するときのファイル転送モードを定義することを選択できるようになります。

リストから、このログ・ソースに適用する転送モードを選択します。

FTP 転送モードとして ASCII を使用するときは、「プロセッサー」パラメーターに「なし」を、「イベント・ジェネレーター (Event Generator)」に「LINEBYLINE」を選択する必要があります。

SCP をサービス・タイプとして選択する場合は、リモート・ファイルのファイル名を入力する必要があります。

処理を開始する時刻を入力します。 例えば、午前 0 時にイベント・ファイルを収集するようにログ・ファイル・プロトコルをスケジュールするには、00:00 と入力します。

このパラメーターと「繰り返し (Recurrence)」の値の組み合わせにより、リモート・ディレクトリーでファイルをスキャンするタイミングと頻度が決定されます。 「HH:MM」の形式で、24 時間クロックに基づいて開始時刻を入力します。

開始時刻に始まる、リモート・ディレクトリーのスキャンの頻度を入力します。 この値は、時間数 (H)、分数 (M)、または日数 (D) で入力します。

例えば、リモート・ディレクトリーを開始時刻から 2 時間おきにスキャンする場合は、2H と入力します。 デフォルトは 1H です。

「保存」をクリックした後にログ・ファイル・プロトコルを即時に実行するには、このチェック・ボックスを選択します。

「保存時に実行」が完了した後には、ログ・ファイル・プロトコルは構成済みの開始時刻と反復スケジュールに従います。

「保存時に実行」を選択すると、「以前に処理したファイルを無視 (Ignore Previously Processed File)」パラメーターの、以前に処理したファイルのリストはクリアされます。

QRadar が取り込む 1 秒当たりのイベントの最大数。

データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

有効な範囲は、100 から 5000 です。

リモート・ホストにあるファイルが zip、gzip、tar、または tar+gzip のアーカイブ・フォーマットで保管されている場合は、アーカイブを展開して内容を処理することができるプロセッサーを選択します。

ログ・ファイル・プロトコルによって既に処理済みのファイルを追跡および無視するには、このチェック・ボックスを選択します。

QRadar®は、リモートディレクトリのログファイルを調べ、ログファイルプロトコルで以前に処理されたファイルかどうかを判断します。 以前に処理されたファイルが検出されると、ログ・ファイル・プロトコルはそのファイルを処理のためにダウンロードすることはしません。 以前に処理されていないすべてのファイルがダウンロードされます。

このオプションは FTP および SFTP のサービス・タイプにのみ適用されます。

処理中にダウンロードしたファイルを保管するための QRadar システム上のローカル・ディレクトリーを定義するには、このチェック・ボックスを選択します。

このチェック・ボックスはクリアしたままにしておくことをお勧めします。 このチェック・ボックスを選択すると、「ローカル・ディレクトリー (Local Directory)」フィールドが表示されます。これによりファイルの保管に使用するローカル・ディレクトリーを構成できます。

「イベント・ジェネレーター (Event Generator)」リストで、LineByLine を選択します。

イベント・ジェネレーターは、取得されたイベント・ファイルに追加の処理を適用します。 ファイルの各行が、単一イベントです。 例えば、ファイルに 10 行のテキストがある場合、10 件の個別のイベントが生成されます。