新しいログ パーサーを作成する
「新規ログ・パーサー」ページを使用して、サンプル・ログを使用して独自のログ・パーサーを作成します。サンプル・ログのフィールドをSecurity Director Insightsイベント・フィールドにマッピングして、インシデントを生成するイベントのタイプを示すことで、独自のパーサーを作成できます。
新しいログ パーサーを作成するには:
設定 |
ガイドライン |
|---|---|
Create/Edit Parser |
|
名前 |
ログ・パーサーの一意でわかりやすい名前を入力します。 |
説明 |
ログ・パーサーの説明を入力します。 |
Parse Log File |
|
未加工ログ |
生のログ ファイルを参照してアップロードするか、[参照] ボタンの下にある別のフィールドにログ データを貼り付けます。 ログ ファイルに RFC 準拠の syslog ヘッダーが含まれていることを確認します。 |
ログ ファイル形式 |
サンプル・ログ・ファイルの形式を指定します。使用可能なオプションは次のとおりです。
|
CSV ヘッダー (ログファイル形式がCSVの場合) |
ログ ファイルが CSV 形式の場合は、このフィールドにフィールド名のカンマ区切りリストを指定できます。CSV ヘッダーが指定されていない場合、フィールドの名前は csvN になり、 N フィールドの位置は になります。 |
グロクパターン (ログ ファイル形式が [その他] の場合) |
ログ ファイル形式に [その他] オプションを選択した場合は、ログ ファイルの grok パターンを指定する必要があります。grok パターンは、1 つ以上の行で構成されます。LOGPATTERN で始まる grok パターン行は、ログに適用されるパターンです。grok パターンには LOGPATTERN という名前のパターンが含まれている必要があり、それ以外の場合、パーサーには使用するパターンがありません。 |
Field Mapping |
|
マップされたフィールドとマップされていないフィールド |
[マップされていないフィールド] セクションで、[解析されたフィールド] 列のフィールドを選択し、[Insights フィールド] 列でマップする値を選択します。両方のフィールドを選択したら、[ マップ] をクリックします。マップされたフィールドが [マップされたフィールド] セクションに表示され、相互にマップされたすべてのフィールドが一覧表示されます。 [フィールド マッピング] ページから次のアクションを実行できます。
メモ：
* が付いているフィールドは必須です。 |
Date Format |
|
フィールド マッピング: 日付と時刻の書式設定 |
これはオプションの構成です。ログ ファイルで RFC 3164 または RFC 5424 で規定されている標準時刻が使用されている場合は、このフィールドを空白のままにすることができます。これらのヘッダーは自動的に解析されます。タイム・スタンプを解析できない場合は、Security Director Insightsがログ・ファイル内の日付と時刻をイベント開始時刻として解釈できるように、Ruby strftimeを使用してフォーマット・ストリングを指定します。 Ruby strftime 形式の詳細については、「 https://ruby-doc.org/core-2.3.0/Time.html#method-i-strftime」を参照してください。 |
Log Filtering |
|
ログフィルタリング |
悪意のあるイベントおよび悪意のないイベントについてSecurity Director Insightsに通知するフィルタを作成し、保持するログと無視するログを決定することができます。ログフィルタリングは、「ノイズが多く」、特に関心がないログを削除し、悪意のあるイベントに関連するログを保持します。 これらのフィルターを使用すると、入力する文字列に対して 完全一致 または 次を含む フィルターを選択できます。 [ 追加 ] をクリックし、フィルター条件を次のように構成します。
[ OK] をクリックすると、条件がフィルターに追加されます。複数のフィルターを追加できます。「または」条件がフィルターのリストに適用されます。したがって、フィルターの順序は関係ありません。
メモ：
フィルターのチェック・ボックスを選択し、「 削除 」をクリックしてそのフィルターを削除します。 |
Conditions Assignment |
|
条件の割り当て |
設定したフィルタリングパラメータに基づいて、イベントに異なる条件を割り当てることができます。
|