IBM WebSphere 用のログ・ファイル・ログ・ソース・パラメーター

QRadarでイベント・ソースとして IBM WebSphere Application Server を識別するための IP アドレス、ホスト名、または名前を入力します。 QRadar が固有のイベント・ソースに対してログ・ファイルを識別できるようにするため、IP アドレスまたはホスト名をお勧めします。

例えば、ファイル・リポジトリーにログを提供する複数の IBM WebSphere Application Server がネットワークに含まれている場合は、イベント・ログを作成したデバイスの IP アドレスまたはホスト名を指定します。 これにより、ファイル・リポジトリーを識別する代わりに、ネットワーク内のデバイス・レベルでイベントを識別できるようになります。

リモート・サーバーからログ・ファイルを取得するときに使用するプロトコルを、リストから選択します。 デフォルトは SFTP です。

• SFTP - SSH ファイル転送プロトコル
• FTP -ファイル転送プロトコル
• SCP - セキュア・コピー

サービス・タイプ SCP および SFTP のログ・ファイルを取得するために使用される基礎のプロトコルでは、「リモート IP/ホスト名」フィールドに指定されているサーバーの SFTP サブシステムが有効になっている必要があります。

イベント・ログ・ファイルを保管する IBM WebSphere Application Server の IP アドレスまたはホスト名を入力します。

選択されたサービス・タイプを実行するリモート・ホスト上の TCP ポートを入力します。 有効な範囲は、1 から 65535 です。

オプションには、以下の FTP ポートがあります。

• FTP - TCP ポート 21
• SFTP - TCP ポート 22
• SCP - TCP ポート 22

イベント・ファイルのホストが FTP、SFTP、または SCP に非標準のポート番号を使用する場合は、ポート値を調整する必要があります。

イベント・ファイルが含まれているホストにログインするために必要なユーザー名を入力します。

ユーザー名の長さは最大で 255 文字までです。

ホストにログインするために必要なパスワードを入力します。

ホストにログインするために必要なパスワードを確認します。

「サービス・タイプ」として「SCP」または「SFTP」を選択した場合、このパラメーターにより、SSH 秘密鍵ファイルを定義できます。

SSH 鍵ファイルを指定した場合、「リモート・パスワード」フィールドは無視されます。

「 IBM WebSphereの構成」で指定したセルおよびファイル・パスに対するリモート・ホスト上のディレクトリー・ロケーションを入力します。 これは、 IBM WebSphere Application Server イベント・ファイルを格納するために作成したディレクトリーです。

FTP の場合のみ。 ログ・ファイルがリモート・ユーザーのホーム・ディレクトリー内にある場合は、リモート・ディレクトリーをブランクのままにしておくことができます。 これは、作業ディレクトリーの変更 (CWD) コマンドが制限されているオペレーティング・システムをサポートするためです。

ファイル・パターンでサブフォルダーを検索する場合は、このチェック・ボックスを選択します。 デフォルトでは、このチェック・ボックスはクリアされています。

SCP を 「サービス・タイプ」として構成した場合、 「再帰的」 オプションは無視されます。

「サービス・タイプ」として「SFTP」または「FTP」を選択した場合、このオプションにより、「リモート・ディレクトリー」で指定したファイルのリストをフィルタリングするための正規表現 (regex) を構成できます。 一致するすべてのファイルは処理に組み込まれます。

指定する FTP ファイル・パターンは、 ロギング・オプションのカスタマイズで JVM ログに割り当てた名前と一致している必要があります。 例えば、システム・ログを収集するには、以下のコードを入力します。

System.*\.log

このパラメーターの使用には、正規表現 (regex) の知識が必要です。 詳細については、次の Web サイトを参照してください。 http://download.oracle.com/javase/tutorial/essential/regex/

このオプションは、「サービス・タイプ」として「FTP」を選択した場合にのみ表示されます。 「FTP 転送モード」パラメーターにより、FTP を介してログ・ファイルを取得する際のファイル転送モードを定義できます。

リストから、このログ・ソースに適用する転送モードを選択します。

• バイナリー - バイナリー・データ・ファイル、または圧縮された zip、gzip、tar、tar + gzip のアーカイブ・ファイルを必要とするログ・ソースには、「バイナリー」を選択します。
• ASCII - ASCII FTP ファイル転送を必要とするログ・ソースには、「ASCII」を選択します。

「FTP 転送モード」として「ASCII」を使用する場合、「プロセッサー」パラメーターには「なし」を選択し、「イベント・ジェネレーター (Event Generator)」パラメーターには「1 行ずつ (LineByLine)」を選択する必要があります。

SCP をサービス・タイプとして選択する場合は、リモート・ファイルのファイル名を入力する必要があります。

処理を開始する時刻を入力します。 このパラメーターと「繰り返し (Recurrence)」の値の組み合わせにより、リモート・ディレクトリーでファイルをスキャンするタイミングと頻度が決定されます。 「HH:MM」の形式で、24 時間クロックに基づいて開始時刻を入力します。

開始時刻に始まる、リモート・ディレクトリーのスキャンの頻度を入力します。 この値は、時間数 (H)、分数 (M)、または日数 (D) で入力します。 例えば、ディレクトリーを 2 時間おきにスキャンする場合は、2H と入力します。 デフォルトは 1H です。

ログ・ファイル・プロトコルをスケジュールする場合は、 WebSphere Application Server ログ・ファイルのスケジュールされた書き込み間隔より短いログ・ファイル・プロトコルの繰り返し時間を選択します。 これにより、新しいログ・ファイルが古いイベント・ログを上書きする前に、ログ・ファイル・プロトコルによって WebSphere イベントが収集されます。

「保存」をクリックした後にログ・ファイル・プロトコルを即時に実行するには、このチェック・ボックスを選択します。 Run On Save が完了すると、ログ・ファイル・プロトコルは、構成された開始時刻と繰り返しスケジュールに従います。

Run On Save を選択すると、「以前に処理されたファイルを無視」パラメーターの以前に処理されたファイルのリストがクリアされます。

QRadar が取り込む 1 秒当たりのイベントの最大数。

データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

有効な範囲は、100 から 5000 です。

リモート・ホストにあるファイルが zip、gzip、tar、または tar+gzip のアーカイブ・フォーマットで保管されている場合、アーカイブを解凍して内容を処理することができるプロセッサーを選択します。

処理済みのファイルを追跡する場合は、このチェック・ボックスを選択します。 以前に処理されたファイルは、再度処理されません。

このチェック・ボックスは FTP および SFTP のサービス・タイプにのみ適用されます。

処理中にダウンロードしたファイルを保管するために使用する QRadar 上のローカル・ディレクトリーを定義するには、このチェック・ボックスを選択します。 このチェック・ボックスはクリアしたままにしておくことをお勧めします。 このチェック・ボックスを選択すると、「ローカル・ディレクトリー (Local Directory)」フィールドが表示されます。これによりファイルの保管に使用するローカル・ディレクトリーを構成できます。

「イベント・ジェネレーター」 リストから、 WebSphere Application Server」を選択します。

イベント・ジェネレーターは、 IBM WebSphere Application Server イベントの取得済みイベント・ファイルに固有の追加の処理を適用します。