アプライアンス上でsyslogを設定することで、企業ファイアウォールやプロキシサーバーからsyslogメッセージを直接ストリーミングできます。
ログがsyslog経由でアプライアンスにストリーミングされた後、syslogメッセージは/nslogs/user/upload/<parser-name>フォルダ内のファイルに書き込まれます。ファイルは毎時開始時にファイル名の形式parser name_month_day_hour_host.logで取得されます。処理時間の関係上、最新の完了ファイルは前1時間分のものです。
ログ処理後、抽出されたクラウドアプリのイベントは、Netskopeクラウド上のテナントインスタンスにアップロードされます。NetskopeテナントUIでログの状態を確認するには、 Settings > Risk Insights > Log > Uploadにアクセスしてください。アプライアンスを使うコマンド ライン インターフェイス (CLI) コマンドでログのステータスを確認することもできます。
基本設定
protocol TCP または UDP を使用することを指定します。 デフォルトのプロトコルはUDPで、デフォルトのsyslogポートは514です。
プロトコルを設定する前に、実行中または処理中のすべてのプロセスを停止する必要があります。
- 操作モードで以下のコマンドを実行してください。
log-upload stop
- OPLPでsyslogを有効にするには、設定モードで以下のコマンドを実行してください。
set log-upload syslogng protocol <TCP|UDP> set log-upload syslogng noparse enable true
noparse enable trueファイアウォールやプロキシから受信した syslog メッセージが、syslogng によって切り詰められることなく、そのまま書き込まれることを保証します。syslogを有効にする場合は、この設定を有効にすることをお勧めします。
Syslog を介したログアップロードで TLS を有効にする
syslogを設定してログをOPLPにアップロードできます。 TLS接続。 TLSは、 protocolがTCPに設定されている場合にのみ有効にできます。syslogngでTLSを有効にするには、サーバー証明書と秘密鍵が必要です。
注記
アプライアンスはサーバー証明書とキーを生成しません。
- 設定モードで以下のコマンドを実行して、syslog の TLS を有効にします。
set log-upload syslogng tls enable true set log-upload syslogng tls server-cert set log-upload syslogng tls server-key
ログソースを定義する
ログを処理するためのパーサータイプを指定します。 ログを処理するためのパーサータイプを指定します。 例えば、Bluecoatプロキシのログをアップロードする場合は、 logsource proxysg-http-mainを選択してください。有効な選択肢は以下のとおりです。
注記
これらのパーサー型名はケースを区別するため、この表に示されているとおりに正確に入力する必要があります。
| サ | フォーティゲート | proxysg | イカ |
| asa-syslog | グリーンプラムブルーコート | proxysg-http-main | シマンテックウェブセキュリティ |
| 兄弟 | ISA-Splunk | proxysg-websense | トラストウェーブ |
| chkp | juniper-srx-structured-syslog | スキャンセーフ | ウェブセンス |
| cisco-fwsm-syslog | マカフィー | 感覚 | zscaler |
| シスコWSA | ネットスクリーン・トラフィック | sfwder | |
| cisco-wsa-syslog | パン | sonicwall-syslog | |
| カスタムCSV | panw-syslog | ソフォス |
add log-upload syslogng parserconfig
{server response should be} added index 0
set log-upload syslogng parserconfig 0 logsource <log-source>
フィルターを定義する
ログに含まれるデータに基づいて、ログを異なるディレクトリに分類します。
set log-upload syslogng parserconfig 0 filter message <message> set log-upload syslogng parserconfig 0 filter name <filter name>
マクロを定義する
どのマクロ テンプレートを使用するかを定義します。
set log-upload syslogng parserconfig 0 macros <macros>
パーサーを定義する
どのパーサーを使用するかを定義します。
set log-upload syslogng parserconfig 0 parser <parser name> csv-parser columns (<comma separated column name>) delimiters (<delimiter characters>)
例えば、
set log-upload syslogng parserconfig 0 parser panparser csv-parser columns (rserver, rtime, SNO) delimiters (chars(","))
置換を定義する
取得したログファイルの再フォーマット方法を定義します。
add log-upload syslogng parserconfig 0 rewrite substitute set log-upload syslogng parserconfig 0 rewrite name <any substition name> set log-upload syslogng parserconfig 0 rewrite substitute 0 flags <flag>
注記
この最後のコマンドは省略可能です。フラグの例としてはglobal 、 ignore-caseなどがあります。
set log-upload syslogng parserconfig 0 rewrite substitute 0 fromstring <fromstring> set log-upload syslogng parserconfig 0 rewrite substitute 0 tostring <tostring> set log-upload syslogng parserconfig 0 rewrite substitute 0 value message