ユース・ケース: 正規化されていないイベント・データを使用するレポートの作成

カスタム・プロパティーを使用して、正規化されていないデータをペイロードから抽出し、そのデータを使用してレポートを作成することができます。 例えば、Cisco ASA ファイアウォールの拒否メッセージに含まれているインターフェース情報に基づいたレポートを作成できます。

<162>Sep 02 2014 11:49:41: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface External
<162>Sep 02 2014 11:49:40: %ASA-2-106001: Inbound TCP connection denied 
from 10.10.10.128/58826 to 10.11.11.11/9100 flags SYN on interface Loopback
<162>Sep 02 2014 11:49:17: %ASA-2-106001: Inbound TCP connection 
denied from 10.10.10.128/58821 to 10.11.11.11/9100 flags SYN on interface Internal

1. カスタム・プロパティーを作成します。

   上記のサンプル・イベントでは、イベント・ペイロードに次の語が含まれていることが分かります。interfaceその後に、抽出する値を指定します。 上記のイベントからインターフェース情報をキャプチャーするには、抽出ベースのカスタム・プロパティーを作成し、正規表現式を使用するように構成します。interface\s(.*)\b.

   新規カスタム・プロパティーを検索で使用できるようにするには、 「ルール、転送プロファイル、および検索索引付けで使用できるようにする」 チェック・ボックスを選択し、カスタム・プロパティーを有効にします。

2. 検索を作成し、 「グループ化の基準」 フィールドで新しいカスタム・イベント・プロパティーを選択します。

   検索結果に Cisco ASA イベントのみが含まれるようにするには、検索パラメーターにクイック・フィルター・オプションとしてログ・ソースを追加します。 検索基準を保存して、レポートに使用できるようにします。 保存された検索を、後で見つけやすいようにグループに割り当てます。

3. レポートを作成し、新しい保存済み検索を使用するようにグラフ・コンテンツを構成します。

   レポートが保存後に実行するように構成されていない場合は、「アクション」「レポートの実行」を選択すると、レポートを直ちに実行できます。