Parâmetros de origem de log de arquivo de log para o Blue Coat SG

Na lista, selecione o protocolo que você deseja usar ao recuperar arquivos de log a partir de um servidor remoto. O padrão é SFTP.

O protocolo subjacente que é usado para recuperar arquivos de log para o tipo de serviço SCP e SFTP requer que o servidor especificado no campo IP ou nome do host remoto tem o subsistema SFTP ativado.

Digite o endereço IP ou o nome do host do dispositivo que armazena seus arquivos de log de eventos.

Digite a porta TCP no host remoto que esteja executando o Tipo de Serviço selecionado. O intervalo válido é de 1 a 65535.

As opções incluem:

• FTP - Porta TCP 21
• SFTP - Porta TCP 22
• SCP - Porta TCP 22

Se o host dos seus arquivos de eventos estiver usando um número de porta não padrão para FTP, SFTP ou SCP, você deverá ajustar o valor da porta.

Digite o nome do usuário necessário para efetuar login no host que contém os arquivos de eventos.

O nome de usuário pode ter até 255 caracteres de comprimento.

Digite a senha necessária para efetuar login no host.

Confirme a senha necessária para efetuar login no host.

Se você selecionar SCP ou SFTP como o Tipo de serviço, esse parâmetro fornecerá a opção de definir um arquivo de chave privada SSH. Ao fornecer um arquivo de chave SSH, o campo Senha remota será ignorado.

Digite o local do diretório no host remoto a partir do qual os arquivos são recuperados, relativo à conta do usuário que você está usando para efetuar login.

Somente para FTP. Se seus arquivos de log estiverem no diretório inicial do usuário remoto, será possível deixar o diretório remoto em branco. Isso é para suportar sistemas operacionais nos quais uma mudança no comando de diretório ativo (CWD) é restrita.

Selecione esta caixa de seleção se desejar que o padrão do arquivo procure as subpastas no diretório remoto. Por padrão, a caixa de seleção não é selecionada.

A opção Recursivo será ignorada se você configurar SCP como o Tipo de serviço.

Se você selecionar SFTP ou FTP como o Tipo de serviço, essa opção fornecerá a opção de configurar a expressão regular (regex) necessária para filtrar a lista de arquivos que são especificados no Diretório remoto. Todos os arquivos correspondentes são incluídos no processamento.

O padrão do arquivo FTP que você especificar deve corresponder ao nome designado aos seus arquivos de eventos. Por exemplo, para coletar arquivos que terminam com .log, digite o seguinte:

.*\.log

A utilização deste parâmetro requer conhecimento de expressões regulares (regex). Para obter mais informações, consulte o seguinte website: https://docs.oracle.com/javase/tutorial/essential/regex/

Esta opção será exibida somente se você selecionar FTP como o Tipo de serviço. O parâmetro FTP Transfer Mode fornece a opção de definir o modo de transferência de arquivo ao recuperar arquivos de log via FTP.

Na lista, selecione o modo de transferência que você deseja aplicar a esta origem de log:

Deve-se selecionar NONE para o parâmetro Processor e LINEBYLINE para o parâmetro Event Generator quando usar ASCII como modo de transferência FTP.

Se você selecionar SCP como o Tipo de serviço, deverá digitar o nome do arquivo remoto.

Digite o horário do dia que deseja que o processamento comece. Por exemplo, digite 00:00 para planejar o protocolo de Arquivo de log para coletar arquivos de eventos à meia-noite.

Esse parâmetro funciona com o valor de Recorrência para estabelecer quando e com que frequência o Diretório Remoto é varrido em busca de arquivos. Digite o horário de início, com base em um relógio de 24 horas, neste formato: HH:MM.

Digite a frequência, começando no horário de início, que você deseja que o diretório remoto seja varrido. Digite este valor em horas (H), minutos (M) ou dias (D).

Por exemplo, digite 2H se você desejar que o diretório remoto seja varrido a cada 2 horas a partir da hora de início. O padrão é 1H.

Selecione esta caixa de seleção se desejar que o protocolo de arquivo de log seja executado imediatamente após você clicar em Salvar.

Após o Executar ao salvar ser concluído, o protocolo de arquivo de log segue o horário de início configurado e o planejamento de recorrência.

A seleção de Executar ao salvar limpa a lista de arquivos processados anteriormente para o parâmetro Ignorar arquivo processado anteriormente.

O número máximo de eventos por segundo que o QRadar alimenta.

Se sua origem de dados exceder o regulador EPS, a coleta de dados será atrasada. Os dados ainda são coletadas e, em seguida, alimentados quando a origem de dados para de exceder o regulador EPS.

O intervalo válido é de 100 a 5000.

Se os arquivos no host remoto estiverem armazenados em um formato de archive zip, gzip, tar ou tar+gzip, selecione o processador que permite que os archives sejam expandidos e conteúdo seja processado.

Marque essa caixa de seleção para rastrear e ignorar os arquivos que já foram processados pelo protocolo de arquivo de log.

QRadar® examina os arquivos de registro no diretório remoto para determinar se um arquivo foi processado anteriormente pelo protocolo de arquivo de registro. Se um arquivo anteriormente processado for detectado, o protocolo de arquivo de log não fará download do arquivo para processamento. Todos os arquivos que não foram processados anteriormente são transferidos por download.

Essa opção aplica-se somente aos tipos de serviço FTP e SFTP.

Selecione esta caixa de seleção para definir um diretório local em seu sistema QRadar para armazenar arquivos transferidos por download durante o processamento

Recomendamos que você deixe essa caixa de seleção desmarcada. Quando essa caixa de seleção está marcada, o campo Diretório local é exibido, permitindo que você configure o diretório local a ser usado para armazenar arquivos.

Na lista Gerador de evento, selecione LineByLine.

O Gerador de evento aplica processamento adicional aos arquivos de eventos recuperados. Cada linha do arquivo é um único evento. Por exemplo, se um arquivo tiver 10 linhas de texto, 10 eventos separados serão criados.