Quelle erstellen

Auf der Registerkarte Datenfilter können Sie beim Bearbeiten oder Erstellen einer Quelle IP-Adresse, Benutzer-ID, Hostname und andere sensible Informationen mit Ersetzungszeichenfolgen maskieren, bestimmte Schlüsselwörter und Werte aus einem Logeintrag ausblenden und einen gesamten Logeintrag ausblenden.

Sie können Datenfilter beim Erstellen einer Logquelle oder beim Bearbeiten einer vorhandenen Quelle hinzufügen. Weitere Informationen zum Bearbeiten vorhandener Logquellen finden Sie unter Von Oracle definierte Quelle anpassen.

Wenn die Logdaten mit On-Demand-Upload oder -Erfassung aus dem Objektspeicher an Oracle Log Analytics gesendet werden, erfolgt die Maskierung auf Cloud-Seite, bevor die Daten indiziert werden. Wenn Sie Logs mit dem Management Agent erfassen, werden die Logs maskiert, bevor der Inhalt Ihren Standort verlässt.

Themen:

• Logdaten maskieren

• Logdaten per Hash maskieren

• Bestimmte Schlüsselwörter oder Werte aus Logdatensätzen ausblenden

• Gesamten Logeintrag basierend auf bestimmten Schlüsselwörtern ausblenden

Logdaten maskieren

Bei der Maskierung wird vorhandener Text durch anderen statischen Text ersetzt, um den ursprünglichen Inhalt zu verbergen.

Wenn Sie Informationen wie den Benutzernamen und den Hostnamen aus den Logeinträgen maskieren möchten, gehen Sie wie folgt vor:

1. Öffnen Sie das Navigationsmenü, und klicken Sie auf Observability and Management. Klicken Sie unter Log Analytics auf Administration. Die Seite Administration - Überblick wird geöffnet.

2. Die Administrationsressourcen werden im linken Navigationsbereich unter Ressourcen aufgeführt. Klicken Sie auf Quellen.

3. Klicken Sie auf den Namen der Quelle, die Sie bearbeiten möchten. Die Seite mit den Quellendetails wird geöffnet. Klicken Sie auf Bearbeiten, um die Quelle zu bearbeiten.

4. Klicken Sie auf die Registerkarte Datenfilter und dann auf Hinzufügen.

5. Geben Sie die Maske Name ein, und wählen Sie Maskieren als Typ aus. Geben Sie dann den Wert für Find-Ausdruck und den zugehörigen Wert für Replace-Ausdruck ein.

   Der Wert für "Find-Ausdruck" kann eine Klartext oder ein regulärer Standardausdruck sein. Der Text, der mit dem Find-Ausdruck übereinstimmt, wird im gesamten Logeintrag durch den Replace-Ausdruck ersetzt.

   Name	Find-Ausdruck	Replace-Ausdruck
   Benutzername maskieren	User=\S	User=confidential
   Host maskieren	Host=\S+	Host=mask_host

   Hinweis
   
   

   Die Syntax der Ersetzungszeichenfolge muss mit der Syntax der zu ersetzenden Zeichenfolge übereinstimmen. Beispiel: Eine Zahl darf nicht durch eine Zeichenfolge ersetzt werden. Eine IP-Adresse im Format 123.45.67.89 muss durch 000.000.000.000 und nicht durch 000.000 ersetzt werden. Wenn die Syntaxen nicht übereinstimmen, funktionieren die Parser möglicherweise nicht.

6. Klicken Sie auf Speichern.

Wenn Sie die maskierten Logeinträge für diese Logquelle anzeigen, werden Sie feststellen, dass Oracle Log Analytics die Werte der von Ihnen angegebenen Felder maskiert hat.

• Benutzer = confidential

• Host = mask_host

Logdaten per Hash maskieren

Wenn Sie die Logdaten wie im vorherigen Abschnitt beschrieben mit der Maske maskieren, werden die maskierten Informationen durch eine statische Zeichenfolge ersetzt, die im Replace-Ausdruck angegeben ist. Beispiel: Wenn der Benutzername mit der Zeichenfolge confidential maskiert wird, wird der Benutzername immer durch den Ausdruck confidential in den Logdatensätzen für jedes Vorkommen ersetzt. Mit der Hashmaske können Sie den gefundenen Wert mit einem eindeutigen Wert hashen. Beispiel: Wenn die Logdatensätze mehrere Benutzernamen enthalten, wird jeder Benutzername mit einem eindeutigen Wert gehasht. Wenn also die Zeichenfolge user1 bei jedem Vorkommen durch den Texthash ebdkromluceaqie ersetzt wird, kann immer noch anhand des Hashs identifiziert werden, dass diese Logeinträge für denselben Benutzer gelten. Der tatsächliche Benutzername wird jedoch nicht angezeigt.

Zugehöriges Risiko: Da es sich hierbei um einen Hash handelt, können Sie den tatsächlichen Wert des maskierten Originaltexts nicht wiederherstellen. Wenn Sie jedoch einen Hash einer beliebigen Zeichenfolge erstellen, wird dabei jedes Mal der gleiche Hash erzeugt. Berücksichtigen Sie dieses Risiko bei der Hashmaskierung der Logdaten. Beispiel: Die Zeichenfolge oracle hat den MD5-Hash a189c633d9995e11bf8607170ec9a4b8. Jedes Mal, wenn jemand versucht, einen MD5-Hash der Zeichenfolge oracle zu erstellen, wird immer derselbe Wert erzeugt. Sie können diesen MD5-Hash nicht wieder in die ursprüngliche Zeichenfolge oracle umwandeln. Wenn aber jemand versucht, den Wert oracle zu erraten, und seinen Hash erstellt, stimmt dieser Hash mit dem im Logeintrag überein.

So wenden Sie den Datenfilter der Hashmaske auf Logdaten an:

1. Gehen Sie zur Seite Quelle erstellen. Die Schritte finden Sie unter Quelle erstellen.

2. Sie können auch eine bereits vorhandene Quelle bearbeiten. Die Schritte zum Öffnen der Seite "Quelle bearbeiten" finden Sie unter Quelle bearbeiten.

3. Klicken Sie auf die Registerkarte Datenfilter und dann auf Hinzufügen.

4. Geben Sie die Maske Name ein, und wählen Sie Hashmaske als Typ aus. Geben Sie dann den Wert für Find-Ausdruck und den zugehörigen Wert für Replace-Ausdruck ein.

   Name	Find-Ausdruck	Replace-Ausdruck
   Benutzername maskieren	User=(\S+)s+	Textbasierter Hashwert
   Port maskieren	Port=(\d+)s+	Numerischer Hashwert

5. Klicken Sie auf Speichern.

Wenn Sie "Hashmaske" für ein Feld verwenden möchten, das zeichenfolgenbasiert ist, können Sie einen textbasierten oder numerischen Hashwert als Zeichenfolgenfeld verwenden. Wenn Ihr Datenfeld jedoch numerisch ist, z.B. eine Ganzzahl, ein Long-Wert oder eine Gleitkommazahl, müssen Sie einen numerischen Hashwert verwenden. Wenn Sie keinen numerischen Hashwert verwenden, führt der Ersetzungstext dazu, dass Ihre regulären Ausdrücke, für die dieser Wert eine Zahl sein muss, nicht funktionieren. Der Wert wird auch nicht gespeichert.

Werte werden ersetzt, bevor die Daten geparst werden. Wenn die Daten maskiert werden müssen, ist es normalerweise nicht klar, ob sie immer numerisch sind. Daher müssen Sie beim Erstellen der Maskendefinition den Hashtyp bestimmen.

Als Ergebnis der obigen Hashmaskierung wird jeder Benutzername durch einen eindeutigen Texthash ersetzt und jede Portnummer durch einen eindeutigen numerischen Hashwert.

Sie können die Hashmaske beim Filtern oder Analysieren der Logdaten verwenden. Siehe Logs nach Hashmaske filtern.

Bestimmte Schlüsselwörter oder Werte aus Logdatensätzen ausblenden

Mit Oracle Log Analytics können Sie nach einem bestimmten Schlüsselwort oder Wert in Logdatensätzen suchen und das übereinstimmende Schlüsselwort oder den übereinstimmenden Wert löschen, wenn dieses Schlüsselwort in den Logdatensätzen vorhanden ist.

Beispiellogdatensatz:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Wenn Sie das Schlüsselwort device_id und seinen Wert aus dem Logdatensatz ausblenden möchten:

1. Öffnen Sie das Navigationsmenü, und klicken Sie auf Observability and Management. Klicken Sie unter Log Analytics auf Administration. Die Seite Administration - Überblick wird geöffnet.

2. Die Administrationsressourcen werden im linken Navigationsbereich unter Ressourcen aufgeführt. Klicken Sie auf Quellen.

3. Klicken Sie auf den Namen der Quelle, die Sie bearbeiten möchten. Die Seite mit den Quellendetails wird geöffnet. Klicken Sie auf Bearbeiten, um die Quelle zu bearbeiten.

4. Klicken Sie auf die Registerkarte Datenfilter und dann auf Hinzufügen.

5. Geben Sie den Filter Name ein, wählen Sie Ausblendzeichenfolge als Typ aus, und geben Sie den Wert für Find-Ausdruck ein, z.B. device_id=\S*.

6. Klicken Sie auf Speichern.

Wenn Sie die Logdatensätze für diese Quelle anzeigen, werden Sie feststellen, dass Oracle Log Analytics die von Ihnen angegebenen Schlüsselwörter oder Werte gelöscht hat.

Gesamten Logeintrag basierend auf bestimmten Schlüsselwörtern ausblenden

Mit Oracle Log Analytics können Sie nach einem bestimmten Schlüsselwort oder Wert in Logdatensätzen suchen und einen ganzen Logeintrags in einem Logdatensatz löschen, wenn dieses Schlüsselwort vorhanden ist.

Beispiellogdatensatz:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Angenommen, Sie möchten den gesamten Logeintrag ausblenden, wenn das Schlüsselwort device_id darin vorhanden ist:

1. Öffnen Sie das Navigationsmenü, und klicken Sie auf Observability and Management. Klicken Sie unter Log Analytics auf Administration. Die Seite Administration - Überblick wird geöffnet.

2. Die Administrationsressourcen werden im linken Navigationsbereich unter Ressourcen aufgeführt. Klicken Sie auf Quellen.

3. Klicken Sie auf den Namen der Quelle, die Sie bearbeiten möchten. Die Seite mit den Quellendetails wird geöffnet. Klicken Sie auf Bearbeiten, um die Quelle zu bearbeiten.

4. Klicken Sie auf die Registerkarte Datenfilter und dann auf Hinzufügen.

5. Geben Sie den Filter Name ein, wählen Sie Logeintrag ausblenden als Typ aus, und geben Sie den Wert für Find-Ausdruck ein, z.B. .*device_id=.*.

   Der reguläre Ausdruck muss unbedingt mit dem gesamten Logeintrag übereinstimmen. Wenn Sie .* vor und am Ende des regulären Ausdrucks verwenden, wird sichergestellt, dass er mit jedem weiteren Text im Logeintrag übereinstimmt.

6. Klicken Sie auf Speichern.

Wenn Sie die Logeinträge für diese Logquelle anzeigen, werden Sie feststellen, dass Oracle Log Analytics alle Logeinträge gelöscht hat, in denen die Zeichenfolge device_id enthalten ist.

Wenn Sie die Option Nur automatische Parsezeit in der Quelldefinition verwenden, anstatt einen Parser zu erstellen, ist nur das Feld Ursprünglicher Loginhalt zum Erstellen von erweiterten Felddefinitionen verfügbar, da keine anderen Felder vom Parser aufgefüllt werden. Siehe Automatischen Zeitparser verwenden.

Mit Oracle Log Analytics können Sie nach erweiterten Feldern suchen, nach denen Sie suchen. Sie können Felder nach der Art der Erstellung, dem Typ des Basisfeldes oder anhand von Beispielinhalt des Feldes suchen. Geben Sie den Beispielinhalt in das Feld Suchen ein, oder klicken Sie auf den Abwärtspfeil für das Suchdialogfeld. Wählen Sie im Suchdialogfeld unter Erstellungstyp aus, ob die erweiterten Felder, nach denen Sie suchen, von Oracle definiert oder benutzerdefiniert sind. Unter Basisfeld können Sie eine der verfügbaren Optionen auswählen. Sie können auch den Beispielinhalt oder den Extraktionsfeldausdruck angeben, der für die Suche verwendet werden kann. Klicken Sie auf Filter anwenden.

Themen:

• Erfassungszeit-Lookups in der Quelle

• Geolocation-Feld zum Gruppieren von Logs verwenden

• Fügen Sie zur Verarbeitungszeit weitere Daten zu Ihren Logeinträgen hinzu

• Mit der Substitutionsfunktion einen Ausdruck in einem Feld ersetzen

Wenn ein Logeintrag mit der von Ihnen definierten Bedingung übereinstimmt, wird ein Label mit diesem Logeintrag aufgefüllt. Dieses Label ist in den Log Explorer-Visualisierungen sowie zum Suchen und Filtern von Logeinträgen verfügbar.

Sie können von Oracle definierte oder benutzerdefinierte Labels in den Quellen verwenden. Informationen zum Erstellen eines benutzerdefinierten Labels zum Taggen eines bestimmten Logeintrags finden Sie unter Label erstellen.

1. Um Labels in einer vorhandenen Quelle zu verwenden, bearbeiten Sie diese Quelle. Die Schritte zum Öffnen der Seite Quelle bearbeiten finden Sie unter Quelle bearbeiten.

2. Klicken Sie auf die Registerkarte Labels.

3. Um ein bedingtes Label hinzuzufügen, klicken Sie auf Bedingtes Label hinzufügen.

   Gehen Sie im Abschnitt Bedingungen wie folgt vor:

   1. Wählen Sie in der Liste Eingabefeld das Logfeld aus, auf dem die Bedingung angewendet werden soll.

   2. Select the operator from the Operator list Contains, Contains Ignore Case, Contains Regex, Contains one of Regexes, Ends With, Equal, Equal Ignore Case, In, In Ignore Case, Is Null, Not Contains, Not Equal, Not In, Not Null, and Starts With.

   3. Geben Sie im Feld Bedingungswert den Wert der Bedingung an, die zum Anwenden des Labels übereinstimmen muss.

      Hinweis
      
      

      Um die Loggruppe als Eingabefeld hinzuzufügen, geben Sie die zugehörige OCID für den Wert anstelle des Namens an.

   4. Um weitere Bedingungen hinzuzufügen, klicken Sie auf das Symbol "Bedingung hinzufügen" , und wiederholen Sie die Schritte 3a bis 3c. Wählen Sie den logischen Vorgang, der auf mehrere Bedingungen angewendet werden soll. Wählen Sie unter UND, ODER, NOT AND oder NOT OR aus.

      Um eine Gruppe von Bedingungen hinzuzufügen, klicken Sie auf das Symbol "Gruppenbedingung" , und wiederholen Sie die Schritte 3a bis 3c, um jede Bedingung hinzuzufügen. Eine Gruppe von Bedingungen muss mehr als eine Bedingung haben. Wählen Sie den logischen Vorgang, der für die Bedingungsgruppe angewendet werden soll. Wählen Sie unter UND, ODER, NOT AND oder NOT OR aus.

      Um eine Bedingung zu entfernen, klicken Sie auf das Symbol "Bedingung entfernen" .

      Um die Liste der Bedingungen in Form einer Anweisung anzuzeigen, klicken Sie auf Bedingungsübersicht anzeigen.

4. Wählen Sie unter Aktionen eine der bereits verfügbaren, von Oracle definierten oder benutzerdefinierten Labels aus. Bei Bedarf können Sie ein neues Label erstellen, indem Sie auf Label erstellen klicken.

   Aktivieren Sie das Kontrollkästchen Aktiviert.

5. Klicken Sie auf Hinzufügen.

Mit Oracle Log Analytics können Sie nach Labels suchen, die Sie im Log Explorer suchen. Sie können anhand eines der für die Labels definierten Parameter suchen. Geben Sie die Suchzeichenfolge in das Feld Suchen ein. Sie können die Suchkriterien im Suchdialogfeld angeben. Legen Sie unter Erstellungstyp fest, ob die Labels, nach denen Sie suchen, von Oracle definiert oder benutzerdefiniert sind. Unter den Feldern Eingabefeld, Operator und Ausgabefeld können Sie eine der verfügbaren Optionen auswählen. Sie können auch den Bedingungswert oder den Ausgabewert angeben, der für die Suche verwendet werden kann. Klicken Sie auf Filter anwenden.

Jetzt können Sie Logdaten basierend auf den von Ihnen erstellten Labels durchsuchen. Siehe Logs nach Labels filtern.

Dataset mit bedingten Feldern anreichern

Wenn Sie optional ein beliebiges Feld auswählen und einen Wert darin schreiben möchten, können Sie optional die bedingten Felder verwenden. Das Auffüllen eines Wertes in einem beliebigen Feld mit der Funktion "Bedingte Felder" ähnelt dem Verwenden von Lookups. Die Verwendung der bedingten Felder bietet jedoch mehr Flexibilität für den Abgleichsbedingungen und eignet sich ideal bei einer kleinen Anzahl von Bedingungen - Feldauffüllungsdefinitionen. Beispiel: Wenn Sie wenige Bedingungen zum Auffüllen eines Feldes verwenden, können Sie durch Verwendung von bedingten Feldern das Erstellen und Verwalten eines Lookups vermeiden.

Die Schritte zum Hinzufügen der bedingten Felder ähneln denen im obigen Workflow zum Hinzufügen bedingter Labels.

• Klicken Sie im 3. Schritt auf Bedingtes Label hinzufügen, anstatt auf Bedingtes Feld hinzufügen zu klicken. Der Rest des 3. Schrittes zur Auswahl der Bedingungen bleibt derselbe wie der oben genannte Workflow.

• In Schritt 4 oben,

  1. Wählen Sie für das Ausgabefeld aus den bereits verfügbaren von Oracle definierten oder benutzerdefinierten Feldern im Menü aus. Falls erforderlich, können Sie ein neues Feld erstellen, indem Sie auf Neues Feld erstellen klicken.

  2. Geben Sie einen Ausgabewert ein, der für das Ausgabefeld geschrieben werden soll, wenn die Eingabebedingung wahr ist.

     Beispiel: Die Quelle kann so konfiguriert werden, dass der Ausgabewert authentication.login für das Ausgabefeld Security Category angehängt wird, wenn der Logdatensatz das Eingabefeld Method enthält, das auf den Wert CONNECT gesetzt ist.

     Aktivieren Sie das Kontrollkästchen Aktiviert.

Das ist besonders hilfreich, wenn Sie nicht sicher sind, wie Sie Logs parsen oder reguläre Ausdrücke zum Parsen der Logs schreiben, und Sie nur die Raw-Logdaten übergeben möchten, um eine Analyse durchzuführen. In der Regel definiert ein Parser, wie die Felder aus einem Logeintrag für einen bestimmten Logdateityp extrahiert werden. Der generische Parser in Oracle Log Analytics kann jedoch:

• Zeitstempel und Zeitzone aus Logeinträgen erkennen

• Einen Zeitstempel mit der aktuellen Uhrzeit erstellen, wenn die Logeinträge keinen Zeitstempel aufweisen

• Erkennen, ob die Logeinträge mehrzeilig oder einzeilig sind

• Zeitstempel:

  • Wenn ein Logeintrag keinen Zeitstempel aufweist, erstellt der generische Parser den Zeitstempel basierend auf dem Zeitpunkt, zu dem die Logdaten erfasst wurden, und zeigt diesen an.

  • Wenn ein Logdatensatz einen Zeitstempel enthält, die Zeitzone jedoch nicht definiert ist, verwendet der generische Parser die Zeitzone des Management Agent.

    Wenn Sie Management Agent verwenden und die Zeitzone nicht richtig erkannt wird, können Sie die Zeitzone manuell in den Agent-Konfigurationsdateien festlegen. Siehe Zeitzone und Zeichencodierung für Dateien manuell angeben.

    Wenn Sie Logs mit On-Demand-Upload hochladen, können Sie die Zeitzone zusammen mit dem Upload angeben, um die Zeitzone zu erzwingen, wenn sie nicht richtig erkannt werden kann. Wenn Sie die CLI verwenden, finden Sie Informationen unter Befehlszeilenreferenz: Log Analytics- Upload. Wenn Sie die REST-API verwenden, finden Sie Informationen unter Log Analytics-API - Upload.

  • Wenn eine Logdatei Logdatensätze mit mehreren Zeitzonen enthält, kann der generische Parser bis zu 11 Zeitzonen unterstützen.

  • Wenn eine Logdatei einige Logeinträge mit einer Zeitzone und einige ohne anzeigt, verwendet der generische Parser die zuvor gefundene Zeitzone für die Einträge, die keine Zeitzone aufweisen.

  • Wenn Sie Logs mit Management Agent erfassen und nicht in den Logdatensätzen die Zeitzone oder der Zeitzonenoffset angegeben ist, vergleicht Oracle Log Analytics die letzte Änderungszeit des Betriebssystems mit dem Zeitstempel des letzten Logeintrags, um die richtige Zeitzone zu bestimmen.

• Mehrere Zeilen: Wenn ein Logeintrag mehrere Zeilen umfasst, kann der generische Parser den mehrzeiligen Inhalt korrekt erfassen.