Disconnected Log Collector のログ・ソースの追加

Disconnected Log Collector UDP および TCP の syslog ログソースからログ情報を収集するように設定されています。ログ・ソースを定義する logSources.json 構成ファイルを変更することで、他のログ・ソースを追加できます。

このタスクについて

Disconnected Log Collector で使用できる追加のログ・ソース・プロトコルに関する readme ファイルと、ログ・ソース定義を検証するためのスクリプトが提供されています。この検証スクリプトは、json ファイルが適切にフォーマット設定されていることを確認し、各パラメーターに指定された値を readme ファイル内のスキーマ定義に照らし合わせて検証します。

重要: logSources.json ファイル以外のファイルに新しいログ・ソース定義を定義し、構成が完了して有効になったら、その定義を logSources.json に追加します。

Disconnected Log Collector は、変更がないか logSources.json ファイルを定期的にスキャンします。 logSources.json ファイルを直接編集する場合、無効な情報を入力すると、ログ・ソースの収集が中断される可能性があります。

注：ゲートウェイ機能を持つログソースを追加する場合、および/または変数を使用する場合、 logSourceIdentifierPattern 変数を使用する場合、式に「"」や「"」などのバックスラッシュが含まれる場合は、JSON内でバックスラッシュ文字をエスケープする必要があります。式は次のようになります。

\\s or \\d

手順

Disconnected Log Collector コンピューターまたは VM に root ユーザーとしてログインします。
テキスト・エディターで、以下の構造の JSON ファイルを作成します。
```
{
       "LogSources":[

       ]
}
```
/opt/ibm/si/services/dlc/conf/template ディレクトリーから、 Disconnected Log Collectorに追加するログ・ソースに対応する readme ファイルを開きます。
ログ・ソース定義 ( readme ファイルの内容) を JSON ファイル内の大括弧の間に貼り付けます。

重要: 複数のログ・ソースを追加する場合は、各ログ・ソース定義に左中括弧と右中括弧が必要です。以下の例に示すように、各ログ・ソース・セクションがコンマで区切られている必要があります。
図 1. logSources.json フォーマット設定の例
環境の必要に応じて、値を編集します。

ログ・ソース json テンプレートごとに、各パラメーターの値に関する情報が含まれた readme ファイルが提供されています。

ヒント: パラメーターについて詳しくは、「 QRadar DSM 構成ガイド」を参照してください。 DSM 資料では、 IBM QRadar アプリケーションに表示されるパラメーターを参照しています。 logSources.json パラメーターの名前は、データベース・ラベルに従って付けられています。

注: 各ログ・ソースには、固有の DatabaseId 値があります。ログ・ソースを追加する場合、新しいログ・ソースの DatabaseId 値が固有であることを確認する必要があります。 logSources.json ファイル内に重複する DatabaseId 値がある場合は、最初のログ・ソースのみが Disconnected Log Collectorによって認識されます。検証スクリプトによって、重複する DatabaseId 値が識別されます。
以下のようにして、ログ・ソースのパスワードを暗号化します。
1. 以下のコマンドを実行します。
```
/opt/ibm/si/services/dlc/current/script/encrypt.sh
```
2. 暗号化するパスワードを入力し、確認のためにパスワードを再度入力します。
  スクリプトによって、暗号化されたパスワードが表示されます。
3. 暗号化されたパスワードをログ・ソース構成ファイルにコピーします。
以下のコマンドを実行して構成を検証します。
```
/opt/ibm/si/services/dlc/current/script/log_source_validate.sh <path_to_file>/<file_to_validate>.json
```
コマンドの <path_to_file>/<file_to_validate>.json 部分が含まれていることを確認してください。そうでない場合は、スクリプトによって logSources.json ファイルが検証されます。
ファイルが正常に検証されると、以下のメッセージが表示されます。
```
Successfully validate log source file '<path_to_file>/<file_to_validate>.json'
```
問題: ファイルが正常に検証されない場合は、 /var/log/dlc/<file_to_validate>.log ファイルで詳細を確認してください。問題がある場合は修正し、検証スクリプトを再度実行します。
ファイルが有効な場合は、新しいログ・ソース定義を logSources.json ファイルにコピーします。
1. /opt/ibm/si/services/dlc/conf ディレクトリーに移動します。
2. logSources.json ファイルのバックアップを作成します。
3. 新しいログ・ソース定義を logSources.json ファイルにコピーします。 logSources.json ファイル内の大括弧の間にログ・ソース定義が追加されていることを確認します。
4. logSources.json ファイルを保存します。
  
  注: Disconnected Log Collector は、 logSources.json ファイルに変更がないか定期的にスキャンします。変更されたログ・ソースは再始動され、新しいソースは始動されます。変更は 5 分以内に検出されます。
新規プロトコルを追加した後に logSources.json ファイルを検証するには、以下のコマンドを実行します。
```
/opt/ibm/si/services/dlc/current/script/log_source_validate.sh
```
ファイルが正常に検証されると、以下のメッセージが表示されます。
```
Successfully validate log source file '/opt/ibm/si/services/dlc/conf/logSources.json'
```
問題: logSources.json ファイルが正常に検証されない場合は、 /var/log/dlc/logSources.log ファイルで詳細を確認してください。問題がある場合は修正し、検証スクリプトを再度実行します。
JDBC を MySQL, に定義する場合は、 JDBC ドライバ（例えば、 mysql-connector-java-<version>.jar ）を /opt/ibm/si/services/dlc/current/lib ディレクトリにコピーします。
TLS の syslog ログソース値を変更した場合は、次のコマンドを入力して Disconnected Log Collector 再起動してください:
```
systemctl restart dlc
```