Ресивер Syslog on Alertix

Настройка приема событий

Mon, 01 Jan 0001 00:00:00 +0000

Ресивер Syslog открывает для приема данных порт 514 по протоколу TCP и UDP одновременно. ПО начинает прослушивать указанный порт. Работу ресивера можно проверить в панели мониторинга. В случае, если ресивер не работает, запустите его, выбрав операцию "Перезапуск".

Ресивер осуществляет обработку поступающих событий только от сконфигурированных источников.

Для подключения источника выполните следующие действия:

Нажмите кнопку "Настройка ресивера" в строке таблицы с установленными ресиверами syslog, затем нажмите кнопку "Добавить".

Рисунок 1.

Просмотр списка неподключенных источников, передающих данные по Syslog

Mon, 01 Jan 0001 00:00:00 +0000

Информация о событиях, поступающих по Syslog от неизвестных источников, отображается на странице управления ресивером Syslog. Нажмите на ссылку "Скрыть/Показать список неподключенных источников данных (направлявших данные за последний час)", будет развернут список ip-адресов, с которых поступают данные. Глубина запроса данных для отображения составляет 1 час.

Рисунок 1.

В списке отображается количество событий за последний час и ссылка "События".

Если необходимо подключить этот источник, нажмите кнопку "Добавить источник". Откроется окно добавления источника, в поле "IP источника" адрес подставляется автоматически. В поле "Коннектор" выберите корректный коннектор и сохраните. Новый источник данных появится в списке подключенных источников.

Добавление нестандартного источника Syslog

Mon, 01 Jan 0001 00:00:00 +0000

Ресивер SYSLOG предоставляет возможность подключить нестандартный источник, направляющий события в виде однострочных сообщений, посредством выбора одного из 4 вариантов:

Встроенный коннектор Custom SYSLOG
Встроенный коннектор Custom CEF
Встроенный коннектор Custom
Пользовательский коннектор

Различие заключается в наличии или отсутствии предварительной обработки сообщений.

Таблица 1. Варианты подключения нестандартного источника событий ресивера Syslog
Вариант подключения	Название (namespace)	Обработка
Встроенный коннектор Custom SYSLOG	custom-syslog	Сообщения обрабатываются в соответствии с описаниями протокола SYSLOG в RFC 3164 и 5424
Встроенный коннектор Custom CEF	custom-cef	Сообщения обрабатываются как SYSLOG при наличии заголовка, далее выделенная смысловая часть или все сообщение при отсутствии заголовка SYSLOG обрабатывается в соответствии с ArcSight CEF (Common Event Format)
Встроенный коннектор Custom	custom	В отсутствии заголовка SYSLOG никак более не обрабатывается
Пользовательский коннектор <Описание>	указанное при добавлении пользовательского коннектора	В отсутствии заголовка SYSLOG никак более не обрабатывается

Добавление пользовательского коннектора позволяет при обработке событий использовать не адреса источников, а метки. После добавления пользовательского коннектора, он становится доступен для выбора в выпадающем списке при стандартной процедуре подключения источника. Для добавления пользовательского коннектора выполните следующие действия:

Изменение конфигурации ресивера

Mon, 01 Jan 0001 00:00:00 +0000

Перечень настроенных источников отображается при нажатии элемента "Скрыть/Показать список источников данных". При наличии настроенных источников событий, передающих данные по Syslog, будет отображена таблица со следующими полями.

Таблица 1. Сведения, отображаемые в списке источников данных ресивера Syslog
Поле	Описание
IP источника	IP-адрес источника
Тип	Внутреннее наименование данных от конкретного источника, связано с наименованием индексов, хранящих данные от источника
Описание	Краткое описание типа подключенного источника