DSMのトラブルシューティング

問題

形容

デバイスサポートモジュール(DSM)は、JSAでイベントを解析します。DSMは、イベントソースによって提供されるイベントの理解と解析を担当するソフトウェアプラグインと考えることができます。イベントソースは、セキュリティアプライアンス、サーバ、オペレーティングシステム、ファイアウォール、またはデータベースです。DSM は、アクションが発生したときにイベントを生成する任意のタイプのシステムにすることができます。

解決

不明なイベントと保存されたイベントの違いは何ですか?

イベントが正しく解析されない場合は、[ ログアクティビティ ] タブに次のいずれかのイベントの種類として表示されます。

不明なイベント - イベントは収集および解析されますが、特定のログ・ソースにマップまたは分類することはできません。自動的に検出されないログ・ソースは、通常、ログ・ソースがシステムで手動で作成されるまで、不明なイベント・ログとして識別されます。イベントをログ・ソースに関連付けることができない場合、そのイベントは汎用ログ・ソースに割り当てられます。これらのイベントを識別するには、 SIM Generic ログ・ソースに関連付けられているイベントを検索するか、「イベントは Unparsed です」フィルターを使用します。
保存されたイベント - JSA はイベントを理解または解析できません。JSA がイベントを解析できない場合、 JSA はイベントをディスクに書き込み、イベントを格納済みとして分類します。

これらの不明なイベントまたは保存されたイベントを [ログアクティビティ] タブで見つけるにはどうすればよいでしょうか。

デバイスに固有のイベントを見つけるには、JSAでデバイスの送信元IPアドレスを検索します。また、イベントペイロードから一意の値を選択し、[ペイロードに含まれるもの] を検索することもできます。これらの検索の 1 つでイベントが見つかる可能性があり、不明として分類されるか、保存されている可能性があります。

Unparsedのイベントの検索フィルターを追加することもできます。この検索では、解析できない (保管される) すべてのイベント、またはログ・ソースに関連付けられていないイベント、または自動検出されていない可能性があるイベント (不明) が検索されます。

お持ちの製品バージョンが [DSM の設定ガイド] に記載されていない場合はどうしますか?

DSMの設定ガイドには、特定の製品に対して公式にテストおよび検証された製品メーカーとDSMのリストが含まれています。DSM が JSA によって公式にサポートされている製品のものであるが、バージョンが古い場合は、解析の問題を解決するために DSM の更新が必要になることがあります。DSMガイドの製品バージョンは社内で公式にテストされていますが、ベンダーによるソフトウェアアップデートにより、特定のDSMのイベント形式が追加または変更される場合があります。このような場合は、https://support.juniper.net/support/ でサポートチケットを開いてください。

お持ちの製品デバイスが [DSM の設定ガイド] に記載されていない場合はどうしますか?

お使いの製品デバイスが [DSM の設定ガイド] に記載されていない場合、それは公式にはサポートされていません。例えば、IBM Security App Exchangeに掲載されているDSMはベンダーから提供されており、ジュニパーでは公式にサポートされていません。公式の DSM がないからといって、イベントが収集されないわけではありません。これは、 JSA が受信したイベントが [ログアクティビティ] タブで不明として識別される可能性があることを示します。次のオプションがあります。

Request for Enhancement(RFE)を開いて、デバイスを正式にサポートしてもらいます。
1. JSAに移動します。
2. サポートポータルページにログインします。
3. 「送信」タブをクリックし、必要な情報を入力します。
手記：
デバイスからのイベントログがある場合は、イベント情報を添付し、イベントログを生成したデバイスの製品バージョンを含めると便利です。
デバイスのイベントを解析するためのログソース拡張機能を記述します。