カスタムログパーサーの設定 - Netskopeナレッジポータル

定義済みのパーサーではアップロードしたログからイベントを抽出できない場合は、カスタムログパーサーを設定できます。ログの内容に基づいて、パーサーをカスタマイズできます。カスタムパーサーを作成すると、「カスタム」タブに表示されます。

カスタムログパーサーを設定するための主な手順は以下のとおりです。

アップロード
準備
抽出
変身
名前

カスタムパーサーを構成するには、ログファイルを使用します。

テスト/作成ページで、 Create Custom Parserをクリックします。
アップロードページで、 Select Fileをクリックします。ログファイルを見つけて選択し、 Uploadをクリックします。
ログファイルを処理するには、 Testをクリックしてください。結果は、ページ下部の「抽出フィールド」タブに表示されます。ログファイルのデータが正しくマッピングされていることを確認するには、これらの下部のタブをクリックしてください。
- 抽出フィールド：このタブには、ログファイルから抽出された列が表示されます。
- 抽出されたイベント：このタブには、ログファイルから抽出されたイベントが表示されます。
- 拒否: このタブには、拒否されたログ行番号、行番号、および理由が表示されます。
- 概要：このタブでは、抽出された行の総数、拒否された行の数、およびアップロードされた行の総数の概要が表示されます。
  ヒント
  テストボタンと下部のタブは、すべてのページに表示されます。
準備ページで、以下のタブから必要な情報を選択して入力してください。
- フォーマット：このタブは、デフォルトでフォーマットがCSVに設定された状態で開きます。書式を変更するには、以下を指定してください。
  - ログファイル形式：CSV、区切り文字形式、キーバリュー形式、またはハイブリッド形式を選択してください。
  - ログのヘッダー: ログにヘッダーが含まれているかどうかを指定します。
  - ヘッダー開始: ヘッダーを開始するテキスト文字列を入力します。
  - 行番号：ログの開始行番号を入力してください。
  - ヘッダー区切り文字：ドロップダウンメニューから区切り文字の種類を選択してください。
- 事前フィルター：このタブでは、ログファイルのデータ行パターンを選択できます。現在サポートされているデータラインパターンは80http443httpsです。さらに、破棄するログ行を決定する正規表現である「行/ヘッダーパターン」を定義することもできます。
- 複数行の結合：このタブは、2行に分割される行を含む複雑なログファイルがある場合にのみ使用してください。以下の項目を指定できます。
  - 複数行区切り文字：行間の区切り文字。
  - ログ行区切り文字サイズ：ログ行間の区切り文字サイズ。
  - ログ行区切り文字の一致: ログ行間の区切り文字の一致。
完了したら、 Nextをクリックしてください。
抽出ページで、ログファイルのファイル構造、タイムスタンプ、およびフィールドを特定します。
- 構造: このタブでは、フィールド区切り文字（カンマ、スペース、タブ、コロンなど）、フィールド囲み文字（二重引用符、一重引用符、パイプ文字など）、および囲む行（角括弧、丸括弧、波括弧、パイプ文字、二重引用符など）を指定できます。タイムスタンプ：このタブには、データを正しくマッピングするために重要なフィールドがいくつか含まれています。対象となる分野は以下のとおりです。
  - タイムスタンプのマッピング先: ログファイル内のタイムスタンプの位置 (列ヘッダー) を特定し、このフィールドにマッピングします。
    注記
    これは必須項目であり、ベストプラクティスとしては1列目にマッピングすることです。
    タイムスタンプ形式: ほとんどの場合、形式を変更する必要はありませんが、タイムスタンプが固有のエポック形式である場合は、形式フィールドに %H などの形式コードを選択する必要があります。具体的なフォーマットコードについては、「タイムスタンプフォーマットコード」を参照してください。囲まれているかどうか: タイムスタンプが角括弧、丸括弧、波括弧、パイプ文字、または二重引用符で囲まれているかどうかSelect 。デフォルトタイムゾーン：ログファイルのデフォルトのGMTタイムゾーンSelect 。
フィールド: フィールドマッピングについては、送信元 IP (必須)、送信元 (Src) ポート、宛先 IP または宛先ホストまたは URL (必須)、宛先ポート
宛先 IP または宛先ホストのみが存在する場合に必須)、アクションなど、各特定フィールドのログヘッダーを確認し、Skope IT の必要なフィールドにマッピングします。例えば、送信元IPアドレスが6列目にある場合は、送信元IPアドレスのドロップダウンリストから6列目を選択してください。マッピングしたいすべてのフィールドに対して、この操作を行ってください。
完了したら、 Nextをクリックしてください。
ログファイルを処理するには、 Testをクリックしてください。結果はページ下部のタブに表示されます。
Finishをクリックし、カスタムパーサーの名前を入力してから、 Saveをクリックします。

ヒント

変換ルールを作成する場合は、この「カスタムパーサーの作成」ウィンドウを開いたままにしてください。変換ルールについては、「変換」の項で説明します。

タイムスタンプ形式コード

フォーマットコード	デスクリプション	例
%a	曜日を地域名の略称として表示	水曜日
%A	曜日を地域名で表したもの	水曜日
%w	曜日を小数で表したもの。0は日曜日、6は土曜日を表す。	水曜日の3
%d	月の日付をゼロ埋めした小数で表したもの	25
%b	地名の略称としての月	12月
%B	地域名の正式名称としての月	12月
%m	月をゼロ埋めした小数で表したもの	12
%y	世紀を除いた年をゼロ埋めした小数で表したもの	15または2015
%Y	世紀を小数で表した年	2015
%H	24時間制の時間をゼロ埋めした小数で表した数値	18
%I	12時間制の時刻	06
%p	地域における午前または午後に相当するもの	首相
%M	分をゼロ埋めした小数で表したもの	15
%S	秒数をゼロ埋めした小数点数で表したもの	30
%f	マイクロ秒を10進数で表し、左側をゼロ埋めする。	000000
%z	UTCオフセットを+HHMMまたは-HHMMの形式で指定します（オブジェクトがナイーブな場合は空文字列）。	-0800
%Z	タイムゾーン名（GMTなど）（単純な場合は空文字列）	PST
%j	1月1日からの年間日数を、ゼロ埋めした小数で表したもの	359
%U	年間の週番号をゼロ埋めした数値で表したもの。最初の日曜日の前の最初の週のすべての日を0週目とみなす。	51
%W	年間の週番号をゼロ埋めした数値で表したもの。最初の月曜日の前の最初の週のすべての日を0週目とみなします。	02（1桁の週を表すゼロ埋めされた数字）または36
%c	ロケールの適切な日付と時刻の表示	2015年12月25日(水) 18:15:30
%x	地域に適した日付	12/25/15
%X	現地の適切な時間	18:15:30