Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

システムログの取り込みを設定する

システムログ(syslog)の取り込みをルールに適用できるようにするには、まずsyslogデータを送信するようにデバイスを設定し、イベントパターンを追加してパターンセットにパターンを適用してsyslog取り込みを設定し、syslogヘッダーを設定する必要があります。このセクションを参照して、パターン設定のクローンを作成したり、ヘッダー設定を編集したりすることもできます。

次のステップ

Paragon Insightsでsyslogを設定する際、ポート、デバイスのタイムゾーンなどを構成することを選択できます。オプション設定の詳細については、「 システム ログのオプション設定」を参照してください。

デバイス構成

syslogデータをParagon Insightsに送信するようにネットワークデバイスを設定します。ここでは、前のセクションのデバイス設定例を繰り返します。

## 10.10.10.1 = ロードバランサーのIPアドレス

Syslogイベントパターンの設定

イベントパターンは、syslogイベントを監視するための設定です。監視するイベントごとにパターンを作成します。この例では、パターンを使用して4つのsyslogイベント(2つの構造化イベントと2つの非構造化イベント)を監視しています。

手記：

設定内容の詳細については、このセクションの最後にある使用上の注意を参照してください。

GUI で Syslog パターンを設定するには、次の手順に従います。

  1. 左側のナビゲーションバーで [Configuration > Data Ingest > Settings (データの取り込み設定)] をクリックします。
  2. [Ingest Settings] ページで [Syslog] タブを選択します。
  3. [Syslog 設定(Syslog Settings)] ページで、プラス(+)アイコンをクリックします。
  4. 表示されるポップアップウィンドウで、snmp-if-link-down という名前の最初のパターンに次のパラメーターを入力します。
  5. [Save and Deploy] をクリックします。
  6. プラス(+)をもう一度クリックし、fpc-offline という名前の 2 番目のパターンに次のパラメーターを入力します。
    手記：

    [フィルター] フィールドに入力する完全な値は fpc%{NUMBER:fpc} です。 ポートのマーキング %{WORD:port-status}
  7. [Save & Deploy] をクリックします。[Syslog Settings] ページに、作成した 2 つのパターンが表示されます。

パターンの使用上の注意

構造化された syslog の場合:

  • イベントID(SNMP_TRAP_LINK_DOWN)は、syslogメッセージ内にあるイベント名を参照します。

  • 構造化された syslog メッセージでは、フィールドはオプションです。フィールドを設定しない場合、メッセージの属性名はフィールド名として扱われます。

    • ただし、この例では、ユーザー定義フィールドがあります。

      • フィールド名 (if-name、 snmp-index)はユーザーが定義したものです。

      • フィールドinterface-name値は、syslogメッセージからの属性です(例:ge-0/3/1.0;このフィールドはif-nameに名前が変更されます

      • フィールド snmp-interface-index 値は、syslogメッセージからの属性です(例: ifIndex 539;このフィールドは snmp-indexに名前が変更されます。

      • ここでのフィールド snmp-interface-index は整数として定義されています。デフォルトでは、syslogメッセージから抽出されるフィールドは文字列型ですが、整数型では値が整数として扱われるよう変更されます

  • 定数セクションはオプションで、この例ではユーザー定義の定数があります。

    • 定数名 ifOperStatus はユーザー定義です。この場合、整数値は「2」です

  • 構造化された syslog のフィルタ設定はオプションですが、必要に応じて設定することもできます。使用すると、フィルターで生成されたフィールドが syslog メッセージに含まれるフィールドを上書きします。

  • キー フィールド セクションは省略可能です。デフォルトでは、ホスト名とイベントIDがParagon Insightsで使用されるキーになります。ここにキーフィールドを追加します。この例では、 key-fields、すなわち interface-nameがあり、名前と値がsyslogメッセージの属性と値のペアから抽出されます

非構造化 syslog の場合:

  • イベント ID はユーザーが定義しています。この場合、それはPSEUDO_FPC_DOWNです

    • たとえば、非構造化 syslog Nov 22 02:27:05 R1 fpc1 Marking ports down も、それに対応する構造化 <166>1 2019-11-22T02:38:23.132-08:00 R1 - - - - fpc1 Marking ports down syslog にも、イベント ID は含まれていません。

  • フィルタは、(適切な構造化された syslog とは異なり)フィールドを導出するために使用する必要があります。この例では fpc%{NUMBER:fpc} Marking ports %{WORD:port-status} を使用しており、 FPC がフィールド名になり、 NUMBER はメッセージの特定の部分から文字を抽出するために使用される構文を示します (例: "2")。

    • grok フィルターに一致する syslog メッセージの例は、「fpc2 Marking ports down」です。

  • 定数 fpc-status - 文字列値は 'online' です。

フィルターについて:

  • パターンのデフォルトでは、フィールド値と定数値は文字列です。整数または浮動小数点数として扱うには、パターンのフィールドタイプを整数または浮動小数点数として定義します。

  • 非構造化パターンの場合、メッセージは基本的にプレーンテキストとして送信され、それ自体にはフィールド情報が含まれないため、フィルターを構成する必要があります。

  • フィルターは、常にイベント ID の後のメッセージの部分と一致するように記述する必要があります。これにより、非構造化形式と構造化形式のどちらで到着したかに関係なく、フィルターはsyslogメッセージを解析できます。

    • たとえば、フィル ター fpc%{NUMBER:fpc} Marking ports %{WORD:port-status} は、以下の syslog メッセージの両方のバージョンと一致します。

      • 構造： <166>1 2019-11-22T02:38:23.132-08:00 R1 - - - - fpc1 Marking ports down

      • 非構造化: Nov 22 02:27:05 R1 fpc1 Marking ports down

パターンセットにパターンを追加する

パターンを設定したら、それらをパターンセットにグループ化します。

  1. [Syslog Settings] ページで、[Pattern Set] セクションをクリックして展開し、プラス(+)アイコンをクリックします。
  2. 表示されるポップアップウィンドウで、次のパラメータを入力します。
  3. [ Save & Deploy] をクリックします。[Syslog Settings]ページに、作成したパターンセットが表示されます。

ヘッダーパターンの設定

Paragon Insightsでは、syslogメッセージのヘッダー部分を解析するパターンを設定できます。このリリースでは、ジュニパー以外のデバイスの非構造化syslogメッセージがサポートされています。以前のリリースでは、 RFC 5424 標準で規定されている構造化された syslog メッセージ、またはジュニパー デバイスの非構造化された syslog メッセージのいずれかのペイロード部分のみを解析できました。

一般的に、構造化されていないsyslogメッセージは、ジュニパーsyslogメッセージパターンと一致するものと見なされます。例えば、ジュニパーヘッダーパターンはParagon Insightsに組み込まれているため、設定する必要はありません。ただし、ジュニパー以外のデバイスの非構造化syslogメッセージが組み込みパターンと一致しない場合は、ユーザーが設定したヘッダーパターンの1つと最初の一致が行われます。一致が成功すると、フィールドが抽出されます。一致しない場合、受信 syslog メッセージはドロップされます。

ヘッダーパターンを設定するには:

  1. 左側のナビゲーションバーで [Configuration > Data Ingest > Settings に移動します。

    [Ingest Settings] ページが表示されます。

  2. [Syslog] をクリックして [Syslog Settings] ページを表示します。
  3. [ヘッダー パターン] セクションをクリックして展開します。

    [Syslog 設定(Syslog Setting)] ページの [ ヘッダー パターン(Header Pattern )] セクションが表示されます。このページから、新しいヘッダーパターンを追加したり、既存のヘッダーパターンを編集または削除したりできます。

  4. プラス(+)アイコンをクリックして、新しいヘッダーを追加します。

    「ヘッダー・パターンの追加」ページが表示されます。

  5. 「ヘッダー・パターンの追加」ページに次の情報を入力します。
    1. 「名前」フィールドにヘッダー・パターンの名前を入力します。
    2. 「説明」フィールドにヘッダー・パターンの説明を入力します。

      たとえば、このヘッダー パターンを作成する理由を 1 行で説明できます。

    3. ヘッダーパターンのフィルターまたは正規表現(regex)を「フィルター」フィールドに入力します。
      手記：

      regex101.com を使用して、ヘッダー パターンに追加するフィルター パターンを編集、検証、および変更できます。

      フィルター パターンの例は、 (.*):([A-Z][a-z]{2} \d{1,2} \d{1,2}:\d{1,2}:\d{1,2}\.\d*)\s:\s([a-z]*)\[(\d*)\]:\s*(.*)\s* です。

    4. [フィールド] セクションの log-host、log-timestamp、および log-message-payload は、ヘッダーの位置を決定する必須フィールドです。

      [フィールド] セクションで、

      1. [log-host] をクリックし、次の情報を入力します。

        • 「名前」フィールドにログ・ホストの名前を入力します。

          log-host はデフォルトの名前です。

        • [説明(Description)] フィールドに log-host の説明を入力します。

          デフォルトの説明は 、ホスト名の位置です。

        • [From] フィールドにプレフィックス $ を付けてキャプチャ グループ値を入力します。

          キャプチャ グループは、 ログ ホスト がヘッダー内のどの位置から開始するかを決定します。

      2. [log-timestamp] をクリックし、次の情報を入力します。

        • 「名前」フィールドに、ログ・タイムスタンプの名前を入力します。

          log-timestamp はデフォルトの名前です。

        • [説明(Description)] フィールドにログタイムスタンプの説明を入力します。

          デフォルトの説明は [Position of time stamp] です。

        • [From] フィールドにプレフィックス $ を付けてキャプチャ グループ値を入力します。

          キャプチャ グループは、ヘッダー内のどの位置から ログ タイムスタンプ を開始するかを決定します。

        手記：

        タイムスタンプ形式が、サンプルのタイムスタンプ形式 "Jan _2 15:04:05 2006" に従っていることを確認します。そうしないと、syslogメッセージの解析が未定義の動作につながります。

      3. [log-message-payload] をクリックし、次の情報を入力します。

        • [Name] フィールドにログ メッセージ ペイロードの名前を入力します。

          log-message-payload がデフォルトの名前です。

        • [説明] フィールドに log-message-payload の説明を入力します。

          デフォルトの説明は、 ペイロードの位置です。

        • [From] フィールドにプレフィックス $ を付けてキャプチャ グループ値を入力します。

          キャプチャ グループは、ヘッダー内のどの位置から log-message-payload が開始するかを決定します。

      4. (オプション)プラス(+)アイコンをクリックして、新しいフィールドを追加します。

        • [名前] フィールドに新しいフィールドの名前を入力します。

        • [説明] フィールドに新しいフィールドの説明を入力します。

        • [From] フィールドにプレフィックス $ を付けてキャプチャ グループ値を入力します。

          キャプチャ グループは、ヘッダー内のどの位置から新しいフィールドが開始するかを決定します。

        プラス(+)アイコンをクリックすると、1 つ以上のフィールドを追加できます。

  6. [キー項目]項目にキー項目の名称を入力します。
  7. [ Save ] をクリックして設定を保存するか、[ Save & Deploy ] をクリックして設定を保存してすぐに展開します。

    または、設定を取り消すには、「 キャンセル」をクリックします。

ヘッダーパターンの編集

設定済みのヘッダーパターンを編集するには:

  1. 左側のナビゲーションバーで、[Configuration > Data Ingest > Settings] に移動します。

    [Ingest Settings] ページが表示されます。

  2. [Syslog] をクリックして [Syslog Settings] ページを表示します。
  3. [ヘッダー パターン] セクションをクリックして展開します。

    [Syslog 設定(Syslog Setting)] ページの [ ヘッダー パターン(Header Pattern )] セクションが表示されます。

  4. ヘッダー・パターンの名前の横にあるチェック・ボックスを選択して編集するヘッダー・パターンを選択し、「編集」(鉛筆)アイコンをクリックします。

    「ヘッダー・パターンの編集<Header Name> 」ページが表示されます。

  5. 必須フィールドを編集したら、[ 保存(Save )] をクリックして設定を保存します。

    [ Save & Deploy ] をクリックして、編集した設定を保存し、すぐに展開することもできます。

Syslogイベントパターンの複製

既存のSyslogパターンをクローニングするには、次の手順に従います。

  1. 左側のナビゲーションバー> [Configuration Data Ingest > Settings (データ取り込み設定)] をクリックします。

    [Ingest Settings] ページが表示されます。

  2. [ Syslog ] タブをクリックして、[Syslog Settings] ページを表示します。
  3. [Syslog 設定(Syslog Settings)] ページの [イベントパターン(Events Pattern)] セクションをクリックして展開し、既存の syslog イベント パターンを表示します。
  4. パターンを複製するには、「複製」をクリックします。

    [複製パターン: <name of syslog pattern>] ページが表示されます。

    「パターンファイルの複製: <name of syslog pattern>」ページでは、次の操作を実行できます

    • 既存のフィールドを編集する

    • 新しいフィールドまたは定数を追加する

    • キー フィールドを追加または削除する

  5. [ Save ] をクリックして設定を保存し、syslog パターンのクローンを作成します。

    または、[ Save & Deploy ]をクリックして設定を保存し、syslogパターンを複製して、パターンをデプロイします。

パターンセットを複製する

既存のSyslogパターンセットを複製するには、次の手順に従います。

  1. 左側のナビゲーションバー> [Configuration Data Ingest > Settings (データ取り込み設定)] をクリックします。

    [Ingest Settings] ページが表示されます。

  2. [ Syslog ] タブをクリックして、[Syslog Settings] ページを表示します。
  3. [Syslog 設定(Syslog Settings)] ページの [パターンセット(PatternSet)] セクションをクリックして展開し、既存の syslog パターン セットを表示します。
  4. パターンセットを複製するには、[複製]をクリックします。

    [Clone Pattern-set: <name of pattern-set>] ページが表示されます。

    「パターンセットのクローン作成: <name of pattern-set>」ページでは、次の操作を実行できます

    • 名前と説明のフィールドを編集する

    • 「パターン」フィールドにパターンを追加または削除します。

  5. [Save] をクリックして設定を保存し、syslog パターン セットのクローンを作成します。

    または、[ Save & Deploy ]をクリックして設定を保存し、syslogパターンセットを複製して、パターンセットを配布します。

デバイスに複数の元 IPアドレスを設定する

Paragon Insights GUIで最初に設定されたものとは異なる送信元IPアドレスを使用してsyslogメッセージを送信するデバイスに対して、送信元IPアドレスを追加することができます。

追加の送信元 IP アドレスをサポートするには:

  1. [ Configuration > Devices ]ページに移動し、デバイスの名前をクリックします。
  2. 編集(鉛筆)アイコンをクリックします。

    [ Edit Device-Name ] ページが表示されます。

  3. [デバイスIDの詳細(Device ID Details)] をクリックし、[Syslog 送信元 IP(Syslog Source IPs)] フィールドに IP アドレスを入力します。

関連資料