Sun ONE LDAP のログ・ファイル・ログ・ソース・パラメーター
QRadar でログ・ソースが自動的に検出されなかった場合は、ログ・ファイル・プロトコルを使用して QRadar Console で Sun ONE LDAP ログ・ソースを追加します。
ログ・ファイル・プロトコルを使用する場合は、特定のパラメーターを使用する必要があります。
| パラメーター | 値 |
|---|---|
| Log Source name | ログ・ソースの名前を入力します。 |
| Log Source description | ログ・ソースの説明を入力します。 |
| Log Source type | Sun ONE LDAP |
| Protocol Configuration | ログ・ファイル |
| Log Source Identifier | イベント・ソースを識別するための IP アドレス、ホスト名、または名前を入力します。 IP アドレスまたはホスト名により、 QRadar は固有のイベント・ソースに対してログ・ファイルを識別できます。 例えば、ネットワークに複数のデバイス (管理コンソール、ファイル・リポジトリーなど) が含まれている場合、イベントを作成したデバイスの IP アドレスまたはホスト名を指定します。 これにより、管理コンソールまたはファイル・リポジトリーに対するイベントを識別する代わりに、ネットワーク内のデバイス・レベルでイベントを識別できるようになります。 |
| Service Type | 選択されたサービス・タイプを実行するリモート・ホスト上の TCP ポートを入力します。 有効な範囲は、1 から 65535 です。 オプションは、以下のとおりです。
重要: イベント・ファイルのホストが FTP、SFTP、または SCP に標準以外のポート番号を使用している場合は、ポート値を調整する必要があります。
|
| Remote User | イベント・ファイルが含まれているホストにログインするために必要なユーザー名を入力します。 ユーザー名の長さは最大で 255 文字までです。 |
| Confirm Password | ホストにログインするために必要なパスワードを確認します。 |
| SSH Key File | 「Service Type」として SCP または SFTP を選択すると、このパラメーターにより SSH 秘密鍵ファイルを定義できます。 SSH 鍵ファイルを指定すると、「リモート・パスワード」フィールドは無視されます。 |
| Remote Directory | ログインに使用しているユーザー・アカウントに関連した、ファイルを取得するリモート・ホスト上のディレクトリーの場所を入力します。
重要: FTP の場合のみ。 ログ・ファイルがリモート・ユーザーのホーム・ディレクトリー内にある場合は、リモート・ディレクトリーをブランクのままにしておくことができます。 これは、作業ディレクトリーの変更 (CWD) コマンドが制限されているオペレーティング・システムをサポートするためです。
|
| Recursive | このチェック・ボックスを有効にすると、FTP 接続または SFTP 接続を使用して、リモート・ディレクトリーのサブフォルダーを再帰的に検索してイベント・データを取得できます。 サブフォルダーから収集するデータは、「FTP ファイル・パターン」の正規表現に一致するかどうかで決まります。 「Recursive」オプションは、SCP 接続では使用できません。 |
| FTP File Pattern | 例えば、log という単語で始まり 1 つ以上の数字が続き、tar.gz で終わるファイルをすべてリストするには、log[0-9]+¥.tar¥.gz を使用します。 このパラメーターの使用には、正規表現 (regex) の知識が必要です。 正規表現について詳しくは、 Oracle Web サイト (http://docs.oracle.com/javase/tutorial/essential/regex/) を参照してください。 サービス・タイプとして SFTP または FTP を選択すると、このオプションにより、リモート・ディレクトリーで指定されているファイルのリストをフィルターに掛けるために必要な正規表現 (regex) を構成できます。 一致するすべてのファイルは処理に組み込まれます。 |
| FTP Transfer Mode | リスト・ボックスから、このログ・ソースに適用する転送モードを選択します。
重要: FTP 転送モードとして ASCII を使用する場合は、 プロセッサー パラメーターとして なし を選択し、 ライン・ライン イベント・ジェネレーター パラメーターを選択する必要があります。
このオプションは、FTP をサービス・タイプとして選択した場合にのみ表示されます。 「FTP Transfer Mode」パラメーターにより、FTP 経由でログ・ファイルを取得するときのファイル転送モードを定義できます。 |
| SCP Remote File | 「サービス・タイプ」として SCP を選択した場合は、リモート・ファイルのファイル名を入力する必要があります。 |
| Start Time | 処理を開始する時刻を入力します。 このパラメーターと「繰り返し (Recurrence)」の値の組み合わせにより、リモート・ディレクトリーでファイルをスキャンするタイミングと頻度が決定されます。 「HH:MM」の形式で、24 時間クロックに基づいて開始時刻を入力します。 |
| Recurrence | 開始時刻に始まる、リモート・ディレクトリーのスキャンの頻度を入力します。 この値は、時間数 (H)、分数 (M)、または日数 (D) で入力します。 例えば、ディレクトリーを 2 時間おきにスキャンする場合は、2H です。 デフォルトは 1H です。 |
| Run On Save | 「保存」をクリックした後にログ・ファイル・プロトコルを即時に実行するには、このチェック・ボックスを選択します。 「保存時に実行」が完了した後には、ログ・ファイル・プロトコルは構成済みの開始時刻と反復スケジュールに従います。 「保存時に実行」を選択すると、「以前に処理したファイルを無視 (Ignore Previously Processed File)」パラメーターの、以前に処理したファイルのリストはクリアされます。 |
| EPS Throttle | QRadar が取り込む 1 秒当たりのイベントの最大数。 データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。 有効な範囲は、100 から 5000 です。 |
| Processor | リモート・ホストにあるファイルが zip、gzip、tar、または tar+gzip のアーカイブ形式で格納されている場合は、アーカイブを展開して内容を処理することができるプロセッサーを選択します。 |
| Ignore Previously Processed File(s) | これは FTP および SFTP のサービス・タイプに適用されます。 処理済みのファイルを追跡し、ファイルの再度の処理を希望しない場合は、このチェック・ボックスを選択します。 |
| Change Local Directory? | 処理中にダウンロードしたファイルを保管するために使用する QRadar 上のローカル・ディレクトリーを定義するには、このチェック・ボックスを選択します。 ほとんどの構成では、このチェック・ボックスをクリアしたままにしてかまいません。 このチェック・ボックスを選択すると、「Local Directory」フィールドが表示されます。これにより、ファイルを一時的に格納するために使用するローカル・ディレクトリーを構成できます。 |
| Event Generator | 「ID-Linked Multiline」形式では、複数行のイベント・メッセージの各行の先頭に共通の値を含む複数行のイベント・ログを処理します。 このオプションにより、正規表現を使用して、単一のイベント・ペイロード内の複数行のイベントの識別および再組み立てを実行する「Message ID Pattern」フィールドが表示されます。 取得したイベント・ログを複数行のイベントとして処理するには、「ID-Linked Multiline」を選択します。 |
| Folder Separator | ほとんどの構成では、「フォルダー分離文字 (Folder Separator)」フィールドのデフォルト値を使用できます。 このフィールドを使用するのは、分離フォルダーの定義に代替文字を使用するオペレーティング・システムのみです。 例えば、メインフレーム・システムの場合にフォルダーを区切るピリオドが該当します。 オペレーティング・システムのフォルダーを分離するために使用される文字を入力します。 デフォルト値は / です。 |