Log Shipper は、顧客テナントのイベントとアラートのログのすべてまたは一部を取得し、顧客が選択したカスタマイズされた形式で SIEM およびデータレイクに送信するログサービスです。 マッピングウィザードまたは生のエディターのいずれかを使用します。 フィールドの追加または削除、マッピングの変更、フィールドヘッダーの変更、フィールド拡張属性の変換、または静的プレースホルダーの挿入など、特定のログ要件を満たすためのツールです。
再生ボタンをクリックして、Log Shipperの設定方法を学びましょう。
ログシッパーのグローバル設定
Log Shipperのグローバル設定を変更できるのは管理者のみです。Settings > Log Shipperへ移動してください。「一般」と「マッピング」の2つのタブがあります。
「一般」タブでは、Log Shipperから宛先SIEMへのログ配信の設定を再試行できます。
- Default (3 Retries):
- Log Shipperから宛先SIEMへのログ配信が失敗した場合、Log Shipperは宛先SIEMへのログ送信を3回試行します。
- 3回の再試行すべてが失敗した場合、対応するログのバッチはログシッパーによって破棄されます。
- Retry till Successful Delivery: ログの配信が成功するまで無制限に再試行します。これは、Ticket Orchestrator、Threat Exchangeなどの他のCloud Exchangeモジュールを含め、Cloud Exchange全体のパフォーマンスに影響を与える可能性があります。Log Shipperから送信先SIEMへのログ配信に失敗した場合、Log Shipperは送信先SIEMへのログ配信が成功するまで無期限に再試行します。
- UTF-8 encoding: UTF-8エンコードされたデータのスムーズな処理を保証するために、アラート、イベント、およびWebTxでUTF-8エンコーディングを有効にしてください。この機能はデフォルトでは無効になっています。
Log Shipperモジュールを有効にするには、まずSettings > Generalに移動し、Exact Data MatchまたはCustom File Classification（有効になっている場合）を無効にする必要があります。CLS, CTO, CTE and CREモジュールは、Exact Data MatchまたはCustom File Classificationとsimultaneouslyではサポートされていません。
ログシッパーのマッピングファイルを管理するには、「マッピング」タブを使用します。 
デフォルト設定の代わりに、設定済みのプラグインによって呼び出される新しいマッピングファイルを作成することもできます。ウィザードビューでは、マッピングファイルを変更して、新しいフィールドをデフォルト値に追加、削除、または変更することができます。
注記
WebTxログ用のAWS S3、Microsoft Azure Cloud Storage（Azure Blob）、およびGoogle Cloud SCC（Google GCS）プラグインは編集できません。これらのプラグインは元の.gzipファイルをプッシュしますNetskopeから取得したファイルを、解凍や内容の変更を行わずにクラウドサービスプロバイダーに送信する。
- いずれかのデフォルトマッピングファイルから Add Mapping File （またはコピーアイコン）をクリックします。
- 名前を入力してください。
- Wizard Select ラジオボタンを選択します。
- 「アラート/イベント」タブから、「アラート/イベント」の行を展開します。ターゲットフィールドは、データがマッピングまたは送信される宛先フィールド名を指定します。変換とは、Netskopeフィールドがターゲットフィールドに送信される前に適用されるデータ変換または変形の種類を定義するものです。Netskopeフィールドは、 Netskopeデータからターゲットフィールドにマッピングされるソースフィールドを示します。 デフォルト値とは、ソース値が空の場合、代わりにこのデフォルト値がターゲットフィールドに送信されることを意味します。
- 「ヘッダー」を展開し、各ターゲットフィールドのNetskopeフィールドを選択して、必要に応じてデフォルト値を編集します。新しいアラート／イベントから生成される新しいフィールドがNetskopeフィールドに追加されます。新たに使用可能になったフィールドは、通知とNetskope CEログにも表示されます。
- ［削除］アイコンをクリックすると、ウィザードからアラート/イベント値の行を削除できます。
- 削除アイコンをクリックすることで、対象フィールドを削除することもできます。
- 拡張機能の展開から、各ターゲットフィールドの変換を選択し、デフォルト値を入力します。
- 「削除」アイコンから、アラート値とターゲットフィールド値の行も削除します。Extension Expand をクリックします。
- Add Alert Fieldをクリックして、新しいアラート/イベントフィールドを追加します。
- フィールド名を入力し、Addをクリックします。
- 新しいアラートフィールドを入力し、ターゲットフィールドとそれぞれのNetskopeフィールドマッピングのデフォルト値を追加して、Addをクリックします。
- 「WebTx」タブをクリックし、ヘッダーと拡張機能のターゲットフィールドをそれぞれのNetskopeフィールドで選択します。DeleteをクリックしてWebTxフィールドを削除できます。
- 「エディター」トグルをクリックして、イベント名とアラート名を追加／編集／削除します。
- Saveをクリックしてください。
- リストのダウンロードアイコンからカスタムまたはデフォルトのマッピングファイルをダウンロードできます。また、「マッピングファイルの作成」ウィンドウの「ファイルから読み込み」オプションから同じファイルをアップロードし、「Save」をクリックできます。
- CLSプラグイン設定に表示されるトグルボタンを有効にすると（この機能はデータをJSON形式でSIEMに送信する機能をサポートしています）、データを変換せずにJSON形式でデータを送信できます。 デフォルトマッピングファイル。 特定のフィールドのみをターゲットSIEMに送信する機能があり、ユーザーは送信したいフィールドの数を選択できます。 CLSマッピングウィザード。
- データ送信にJSONオプションを選択し、Netskopeフィールドを指定しない場合、デフォルトで利用可能なすべてのNetskopeフィールドデータが送信先に送信されます。ただし、Netskopeの特定のフィールドを選択した場合、送信先に送信されるデータには選択したフィールドのみが含まれます。
