Log Shipper est un service de journalisation qui extrait tous les événements et alertes des locataires du client ou un sous-ensemble d'entre eux et les envoie dans un format personnalisé, choisi par le client, à son SIEM et à son (ses) centre(s) de données en utilisant soit l'assistant de mappage, soit l'éditeur de données brutes. Utilisez l'un ou l'autre outil pour ajouter ou supprimer des champs, modifier les mappages, changer les en-têtes de champs, transformer les attributs étendus des champs ou insérer des espaces réservés statiques pour répondre à vos besoins spécifiques en matière de journalisation.
Cliquez sur "play" pour apprendre à configurer Log Shipper.
Paramètres globaux de l'expéditeur de journaux
Seuls les administrateurs peuvent modifier les paramètres globaux de Log Shipper. Allez sur Settings > Log Shipper. Il y a deux onglets : Général et Mappages.
Dans l'onglet Général, vous pouvez réessayer la configuration de la livraison de logs de Log Shipper à un SIEM de destination.
- Default (3 Retries):
- En cas d'échec de la livraison des logs par Log Shipper à un SIEM de destination, Log Shipper effectuera trois tentatives pour envoyer les logs au SIEM de destination.
- Si les 3 tentatives échouent, le lot de logs correspondant sera rejeté par Log Shipper.
- Retry till Successful Delivery: Tentatives illimitées jusqu’à la remise réussie des journaux. Cela peut avoir un impact sur les performances globales de Cloud Exchange, y compris sur d'autres modules de Cloud Exchange tels que Ticket Orchestrator, Threat Exchange, etc. En cas d’échec de la remise des journaux de Log Shipper à un SIEM de destination, Log Shipper effectuera des tentatives indéfiniment jusqu’à la remise réussie des journaux au SIEM de destination.
- UTF-8 encoding: Activez le codage UTF-8 pour les alertes, les événements et WebTx afin d'assurer une gestion transparente des données codées en UTF-8. Par défaut, cette fonction est désactivée.
Utilisez l'onglet Mapping pour gérer vos fichiers Mapping Log Shipper. 
Vous pouvez également créer un fichier de correspondance New qui sera invoqué par un plugin configuré en lieu et place des valeurs par défaut fournies. Dans la vue Assistant, vous pouvez modifier le fichier de mappage pour permettre l'ajout, la suppression ou la modification des champs New par rapport à la valeur par défaut.
Note
Les plugins AWS S3, Microsoft Azure Cloud Storage (Azure Blob) et Google Cloud SCC (Google GCS) pour les journaux WebTx ne peuvent pas être modifiés. Ces plugins poussent le fichier original .gzip obtenus à partir de Netskope vers les fournisseurs de services en nuage sans décompresser ni modifier le contenu.
- Cliquez sur Add Mapping File (ou sur l’icône Copier) à partir de n’importe quel fichier de mappage par défaut.
- Saisissez un nom.
- Select le bouton radio Wizard.
- Dans l'onglet Alertes/Événements, développez la ligne Alertes/Événements. Le champ cible spécifie le nom du champ de destination vers lequel les données seront mappées ou transmises. La transformation définit le type de conversion ou de transformation des données appliqué au champ Netskope avant qu'il ne soit transmis au champ cible. Champ Netskope Indique le champ source des données Netskope qui sera mis en correspondance avec le champ cible. Valeur par défaut signifie que si la valeur source est vide, cette valeur par défaut sera envoyée au champ cible.
- Dans la section de développement de l'en-tête, sélectionnez le champ Netskope pour chaque champ Cible et modifiez la valeur par défaut si nécessaire. Les New champs provenant des New alertes/événements seront ajoutés au champ Netskope. Les champs nouvellement disponibles seront également affichés dans les notifications ainsi que dans les journaux de Netskope CE.
- Vous pouvez supprimer la ligne de valeur d’alerte/événement de l’assistant en cliquant sur l’icône Supprimer.
- Vous pouvez également supprimer un champ cible en cliquant sur l'icône Supprimer.
- Dans Extension développer, sélectionnez une Transformation pour chaque champ Cible et entrez une valeur par défaut.
- Supprimez également la ligne de valeur d'alerte et de valeur de champ cible à l'aide de l'icône Supprimer. Cliquer sur Extension Expand.
- Ajoutez un champ New d’alerte/d’événement en cliquant sur Add Alert Field.
- Saisissez un nom de champ et cliquez sur Add.
- Entrez un New champ d'alerte, ajoutez un champ cible et une valeur par défaut pour les mappages de champs Netskope respectifs, puis cliquez sur Add.
- Cliquez sur l'onglet WebTx et sélectionnez les champs cible En-tête et Extensions avec le champ Netskope respectif. Vous pouvez supprimer le champ WebTx en cliquant sur Delete.
- Cliquez sur le bascule de l'éditeur pour ajouter/modifier/supprimer le nom de l'événement et de l'alerte.
- Cliquez sur Save.
- Vous pouvez télécharger le fichier de mappage personnalisé ou par défaut à partir de l’icône de téléchargement dans la liste et pouvez télécharger le même à partir de l’option Charger à partir du fichier sur la fenêtre Créer un fichier de mappage et cliquer sur Save.
- Vous pouvez activer le bouton bascule affiché dans la configuration du plugin CLS (qui prend en charge cette fonctionnalité pour envoyer les données en JSON au SIEM) pour envoyer les données au format JSON sans transformer les données à l'aide du fichier Default Mapping. Il existe une fonctionnalité permettant d'envoyer des champs spécifiques uniquement au SIEM cible. L'utilisateur peut sélectionner le nombre de champs qu'il souhaite envoyer à l'aide de l'assistant de mappage CLS.
- Lorsque vous sélectionnez l'option JSON pour l'envoi des données et que vous ne spécifiez aucun champ Netskope, toutes les données disponibles dans les champs Netskope seront envoyées par défaut à la destination. Toutefois, si vous choisissez des champs Netskope spécifiques, seuls les champs sélectionnés seront inclus dans les données envoyées à la destination.
