Protocolos não documentados

Como uma plataforma aberta, o IBM® QRadar® coleta e processa dados do evento por vários métodos de integração (tipos de protocolo). É possível configurar alguns tipos de protocolo para um determinado tipo de origem de log que está marcado como não documentados IBM não suporta esses protocolos não documentados porque eles não são internamente testados ou documentados no DSM Configuration Guide. Você é responsável por determinar como obter os dados do evento no QRadar..

Protocolos documentados

O DSM Configuration Guide descreve como configurar origens de log de um tipo específico, com cada um dos tipos de protocolo que o IBM suporta totalmente para esse tipo de origem do log. Qualquer tipo de protocolo que tenha documentação de configuração para um determinado tipo de origem do log é considerado um protocolo documentado para esse tipo de origem do log. Os protocolos documentados são testados internamente.

Exemplo de problemas potenciais com protocolos não documentados

Por exemplo, o protocolo JDBC é a configuração documentada para obter eventos de um sistema que armazena seus dados de eventos em um banco de dados. Também é possível coletar os mesmos dados do evento por meio de um produto de terceiros e, em seguida, encaminhá-los para o QRadar usando o tipo de protocolo syslog Como o tipo de protocolo syslog é não documentado, você é responsável por configurar o produto de terceiro para recuperar os dados do evento do banco de dados e enviá-lo para o QRadar

Nota: se você coletar e processar dados do evento por meio de protocolos não documentados, seus dados poderão formatar de forma diferente do que um tipo de origem de log do DSM documentado espera. A análise poderá não funcionar para o DSM se ele receber eventos de um protocolo não documentado. Por exemplo, um protocolo JDBC cria cargas úteis de eventos que consistem em uma série de pares de chave e valor separados por espaço. No banco de dados de destino, a chave é um nome de coluna e o valor é a coluna da linha da tabela que o evento representa. O DSM para um tipo de origem de log suportado que usa o protocolo JDBC espera esse formato de evento. Se os dados do evento encaminhados de um produto de terceiros por meio do protocolo syslog estão em um formato diferente, o DSM não pode analisá-los. Use o DSM Editor para ajustar a análise sintática de DSM para que ele possa abordar esses eventos.

Para obter mais informações, consulte a Visão geral do DSM Editor.