Créer une source

À l'aide de l'onglet Filtres de données, lors de la modification ou de la création d'une source, vous pouvez masquer les adresses IP, l'ID utilisateur, le nom d'hôte et d'autres informations sensibles à l'aide de chaînes de remplacement, supprimer des mots clés et des valeurs spécifiques d'une entrée de journal et masquer également une entrée de journal entière.

Vous pouvez ajouter des filtres de données lors de la création d'une source de journaux ou lors de la modification d'une source existante. Voir Personnaliser une source définie par Oracle pour en savoir plus sur la modification des sources de journaux existantes.

Si les données de journal sont envoyées à Oracle Log Analytics à l'aide du chargement sur demande ou de la collecte à partir du magasin d'objets, le masquage sera effectué du côté du nuage avant l'indexation des données. Si vous collectez des journaux à l'aide de l'agent de gestion, les journaux sont masqués avant que le contenu ne quitte vos locaux.

Rubriques :

• Masquage des données de journal

• Masquage des données de journal par hachage

• Suppression de mots clés ou de valeurs spécifiques de vos enregistrements de journal

• Suppression d'une entrée de journal complète en fonction de mots clés spécifiques

Masquage des données de journal

Le processus de masquage consiste à prendre un ensemble de texte existant et à le remplacer par un autre texte statique pour cacher le contenu d'origine.

Pour masquer des informations telles que le nom d'utilisateur et le nom d'hôte à partir des entrées du journal :

1. Ouvrez le menu de navigation et cliquez sur Observabilité et gestion. Sous Log Analytics, cliquez sur Administration. La page Aperçu de l'administration s'ouvre.

2. Les ressources d'administration sont répertoriées dans le volet de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source s'affiche. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données et cliquez sur Ajouter.

5. Entrez le nom du masque, sélectionnez Masque comme Type, entrez la valeur Expression Find et la valeur Expression Replace qui lui est associée.

   La valeur Expression Find peut être une recherche en texte brut ou une expression rationnelle standard. Le texte correspondant à l'expression Find est remplacé par l'expression Replace tout au long de l'entrée de journal.

   Nom	Expression Find	Expression Replace
   nom d'utilisateur du masque	User=\S	User=confidential
   hôte du masque	Host=\S+	Host=mask_host

   Note
   
   

   La syntaxe de la chaîne de remplacement doit correspondre à la syntaxe de la chaîne en cours de remplacement. Par exemple, un nombre ne doit pas être remplacé par une chaîne. Une adresse IP dont le format est 123.45.67.89 doit être remplacée par 000.000.000.000 et non par 000.000. Si les syntaxes ne correspondent pas, les analyseurs peuvent s'interrompre.

6. Cliquez sur Enregistrer.

Lorsque vous consultez les entrées de journal masquées pour cette source de journaux, vous constatez qu'Oracle Log Analytics a masqué les valeurs des champs que vous avez spécifiés.

• Utilisateur = confidential

• Hôte = mask_host

Masquage des données de journal par hachage

Lorsque vous masquez les données de journal à l'aide du masque décrit dans la section précédente, les informations masquées sont remplacées par une chaîne statique fournie dans l'expression Replace. Par exemple, lorsque le nom d'utilisateur est masqué par la chaîne confidential, le nom d'utilisateur est toujours remplacé par l'expression confidential dans les enregistrements de journal pour chaque occurrence. En utilisant un masque de hachage, vous pouvez hacher la valeur trouvée avec un hachage unique. Par exemple, si les enregistrements de journal contiennent plusieurs noms d'utilisateur, chaque nom d'utilisateur est haché par une valeur unique. Ainsi, si la chaîne user1 est remplacée par le texte haché ebdkromluceaqie pour chaque occurrence, le hachage peut toujours être utilisé pour identifier que ces entrées de journal sont pour le même utilisateur. Toutefois, le nom d'utilisateur réel ne sera pas visible.

Risque associé : Comme il s'agit d'un hachage, il n'y a aucun moyen de récupérer la valeur réelle du texte original masqué. Cependant, en prenant un hachage de n'importe quelle chaîne, vous arrivez au même hachage à chaque fois. Veillez à prendre en compte ce risque lors du masquage des données de journal. Par exemple, la chaîne oracle contient le hachage md5 de a189c633d9995e11bf8607170ec9a4b8. Chaque fois qu'une personne tente de créer un hachage md5 de la chaîne oracle, il s'agit toujours de la même valeur. Bien que vous ne puissiez pas partir de ce hachage md5 et revenir à la chaîne oracle initiale, si une personne tente de deviner la valeur oracle, et de la hacher à nouveau, elle verra que le hachage correspond à celui de l'entrée de journal.

Pour appliquer le filtre de données de masque de hachage sur les données de journal :

1. Allez à la page Créer une source. Pour les étapes, voir Créer une source.

2. Vous pouvez également modifier une source qui existe déjà. Pour savoir comment ouvrir une page Modifier la source, voir Modifier la source.

3. Cliquez sur l'onglet Filtres de données et cliquez sur Ajouter.

4. Entrez le nom du masque, sélectionnez Masque de hachage comme Type, entrez la valeur Expression Find et la valeur Expression Replace qui lui est associée.

   Nom	Expression Find	Expression Replace
   Nom d'utilisateur du masquage	User=(\S+)s+	Hachage de texte
   Port de masquage	Port=(\d+)s+	Hachage numérique

5. Cliquez sur Enregistrer.

Si vous voulez utiliser un masque de hachage sur un champ basé sur une chaîne, vous pouvez utiliser le hachage de texte ou le hachage numérique en tant que champ de chaîne. Toutefois, si votre champ de données contient une valeur numérique, telle qu'un nombre entier, long ou à virgule flottante, vous devez utiliser le hachage numérique. Si vous n'utilisez pas de hachage numérique, le texte de remplacement entraînera la rupture de vos expressions rationnelles qui dépendent du fait que cette valeur soit un nombre. La valeur ne sera pas non plus stockée.

Ce remplacement se produit avant l'analyse des données. En général, lorsque les données doivent être masquées, il n'est pas évident qu'elles soient toujours numériques. Vous devez donc choisir le type de hachage lors de la création de la définition du masque.

À la suite de l'exemple de masquage de hachage ci-dessus, chaque nom d'utilisateur est remplacé par un hachage de texte unique, et chaque numéro de port est remplacé par un hachage numérique unique.

Vous pouvez utiliser le masque de hachage lors du filtrage ou de l'analyse des données de journal. Voir Filtrer les journaux par masque de hachage.

Suppression de mots clés ou de valeurs spécifiques de vos enregistrements de journal

Oracle Log Analytics vous permet de rechercher un mot clé ou une valeur spécifique dans les enregistrements de journal et de supprimer le mot clé ou la valeur correspondant si ce mot clé existe dans les enregistrements de journal.

Prenons l'enregistrement de journal suivant :

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Si vous voulez masquer le mot clé device_id et sa valeur dans l'enregistrement de journal :

1. Ouvrez le menu de navigation et cliquez sur Observabilité et gestion. Sous Log Analytics, cliquez sur Administration. La page Aperçu de l'administration s'ouvre.

2. Les ressources d'administration sont répertoriées dans le volet de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source s'affiche. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données et cliquez sur Ajouter.

5. Entrez le nom du filtre, sélectionnez Supprimer la chaîne comme Type et entrez device_id=\S* pour la valeur Expression Find.

6. Cliquez sur Enregistrer.

Lorsque vous consultez les enregistrements de journal pour cette source, vous pouvez voir qu'Oracle Log Analytics a supprimé les mots clés ou les valeurs que vous avez spécifiés.

Suppression d'une entrée de journal complète en fonction de mots clés spécifiques

Oracle Log Analytics vous permet de rechercher un mot clé ou une valeur spécifique dans les enregistrements de journal et de supprimer une entrée de journal entière dans un enregistrement de journal si ce mot clé existe.

Prenons l'enregistrement de journal suivant :

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Supposons que vous souhaitiez supprimer toute l'entrée de journal si le mot clé device_id y figure :

1. Ouvrez le menu de navigation et cliquez sur Observabilité et gestion. Sous Log Analytics, cliquez sur Administration. La page Aperçu de l'administration s'ouvre.

2. Les ressources d'administration sont répertoriées dans le volet de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source s'affiche. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données et cliquez sur Ajouter.

5. Entrez le nom du filtre, sélectionnez Supprimer l'entrée de journal comme Type et entrez .*device_id=.* pour la valeur Expression Find.

   Il est important que l'expression rationnelle corresponde à l'intégralité de l'entrée de journal. L'utilisation de .* devant et à la fin de l'expression rationnelle garantit qu'elle correspond à tout autre texte de l'entrée de journal.

6. Cliquez sur Enregistrer.

Lorsque vous consultez les entrées de journal pour cette source de journaux, vous pouvez voir qu'Oracle Log Analytics a supprimé toutes les entrées de journal qui contiennent la chaîne device_id.

Si vous utilisez l'option Analyser automatiquement seulement le temps dans votre définition de source au lieu de créer un analyseur, le seul champ disponible pour la création de définitions de champ étendu sera le champ Contenu de journal initial, car aucun autre champ ne sera alimenté par l'analyseur. Voir Utiliser l'analyseur automatique de temps.

Oracle Log Analytics vous permet de rechercher les champs étendus voulus. Vous pouvez effectuer une recherche en fonction de la façon dont elle a été créée, du type de champ de base ou d'un exemple de contenu du champ. Entrez l'exemple de contenu dans le champ Rechercher ou cliquez sur la flèche vers le bas pour accéder à la boîte de dialogue de recherche. Dans la boîte de dialogue de recherche, sous Type de création, sélectionnez si les champs étendus que vous recherchez sont définis par Oracle ou définis par l'utilisateur. Sous Champ de base, vous pouvez effectuer une sélection parmi les options disponibles. Vous pouvez également indiquer l'exemple de contenu ou l'expression de champs d'extraction qui peut être utilisée pour la recherche. Cliquez sur Appliquer les filtres.

Rubriques :

• Utiliser les consultations lors de l'ingestion dans la source

• Utiliser le champ de géolocalisation pour regrouper les journaux

• Ajouter d'autres données à vos entrées de journal lors du traitement

• Utiliser la fonction de substitution pour remplacer une expression dans un champ

Lorsqu'une entrée de journal correspond à la condition que vous avez définie, une étiquette est alimentée avec cette entrée de journal. Cette étiquette est disponible dans les visualisations de l'explorateur de journaux, ainsi que pour la recherche et le filtrage des entrées de journal.

Vous pouvez utiliser les étiquettes définies par Oracle ou les étiquettes créés par l'utilisateur dans les sources. Pour créer une étiquette personnalisée pour marquer une entrée de journal spécifique, voir Créer une étiquette.

1. Pour utiliser des étiquettes dans une source existante, modifiez cette source. Pour savoir comment ouvrir une page Modifier la source, voir Modifier la source.

2. Cliquez sur l'onglet Labels (Étiquettes).

3. Pour ajouter une étiquette conditionnelle, cliquez sur Ajouter une étiquette conditionnelle.

   Dans la section Conditions :

   1. Sélectionnez le champ de journal auquel appliquer la condition dans la liste Champ d'entrée.

   2. Select the operator from the Operator list Contains, Contains Ignore Case, Contains Regex, Contains one of Regexes, Ends With, Equal, Equal Ignore Case, In, In Ignore Case, Is Null, Not Contains, Not Equal, Not In, Not Null, and Starts With.

   3. Dans le champ Valeur de condition, spécifiez la valeur de la condition à mettre en correspondance pour appliquer l'étiquette.

      Note
      
      

      Pour ajouter le groupe de journaux comme champ d'entrée, indiquez son OCID pour la valeur au lieu du nom.

   4. Pour ajouter d'autres conditions, cliquez sur l'icône Ajouter une condition et répétez les étapes 3a à 3c. Sélectionnez l'opération logique à appliquer aux conditions multiples. Sélectionnez l'une des valeurs suivantes : AND, OR, NOT AND ou NOT OR.

      Pour ajouter un groupe de conditions, cliquez sur l'icône Condition de groupe et répétez les étapes 3a à 3c pour ajouter chaque condition. Un groupe de conditions doit comporter plusieurs conditions. Sélectionnez l'opération logique à appliquer au groupe de conditions. Sélectionnez l'une des valeurs suivantes : AND, OR, NOT AND ou NOT OR.

      Pour supprimer une condition, cliquez sur l'icône Supprimer la condition .

      Pour voir la liste des conditions sous forme d'énoncé, cliquez sur Afficher le sommaire des conditions.

4. Sous Actions, sélectionnez une des étiquettes déjà disponibles définies par Oracle ou des étiquettes créées par l'utilisateur. Si nécessaire, vous pouvez créer une étiquette en cliquant sur Create Label (Créer une étiquette).

   Cochez la case Activé.

5. Cliquez sur Ajouter.

Oracle Log Analytics vous permet de rechercher les étiquettes voulues dans l'explorateur de journaux. Vous pouvez effectuer une recherche en fonction de n'importe lequel des paramètres définis pour les étiquettes. Entrez la chaîne de recherche dans le champ Recherche. Vous pouvez spécifier les critères de recherche dans la boîte de dialogue de recherche. Sous Type de création, sélectionnez si les étiquettes que vous recherchez sont définies par Oracle ou définies par l'utilisateur. Sous les champs Champ d'entrée, Opérateur et Champ de sortie, vous pouvez effectuer une sélection parmi les options disponibles. Vous pouvez également spécifier la valeur de condition ou la valeur de sortie qui peut être utilisée pour la recherche. Cliquez sur Appliquer les filtres.

Vous pouvez maintenant rechercher des données de journal en fonction des étiquettes que vous avez créées. Voir Filtrer les journaux par étiquette.

Utiliser les champs conditionnels pour enrichir le jeu de données

Si vous souhaitez sélectionner un champ arbitraire et y écrire une valeur, vous pouvez éventuellement utiliser les champs conditionnels. L'alimentation d'une valeur dans un champ arbitraire à l'aide de la fonctionnalité de champs conditionnels est très similaire à l'utilisation de consultations. Toutefois, l'utilisation des champs conditionnels offre plus de flexibilité dans vos conditions de correspondance et est idéale pour traiter un petit nombre de conditions - définitions d'alimentation de champs. Par exemple, si vous avez quelques conditions pour alimenter un champ, vous pouvez éviter de créer et de gérer une consultation à l'aide de champs conditionnels.

Les étapes d'ajout des champs conditionnels sont similaires à celles du flux de travail ci-dessus pour l'ajout d'étiquettes conditionnelles.

• À l'étape 3, au lieu de cliquer sur Add conditional label (Ajouter une étiquette conditionnelle), cliquez sur Add conditional field (Ajouter un champ conditionnel). Le reste de l'étape 3 pour sélectionner les conditions reste le même que le flux de travail ci-dessus.

• à l'étape 4 ci-dessus,

  1. Pour le champ de sortie, sélectionnez dans le menu des champs déjà disponibles définis par Oracle ou créés par l'utilisateur. Si nécessaire, vous pouvez créer un champ en cliquant sur Créer un champ.

  2. Entrez une valeur de sortie à écrire pour le champ de sortie lorsque la condition d'entrée est Vrai.

     Par exemple, la source peut être configurée pour associer la valeur de sortie authentication.login au champ de sortie Security Category lorsque l'enregistrement de journal contient le champ d'entrée Method réglé à la valeur CONNECT.

     Cochez la case Activé.

Ceci est particulièrement utile lorsque vous ne savez pas comment analyser vos journaux ou comment écrire des expressions rationnelles pour analyser vos journaux, et que vous souhaitez simplement transmettre les données brutes des journaux pour effectuer une analyse. En général, un analyseur définit comment les champs sont extraits d'une entrée de journal pour un type de fichier journal indiqué. Toutefois, l'analyseur générique dans Oracle Log Analytics peut :

• Détecter l'horodatage et le fuseau horaire à partir des entrées de journal.

• Créer un horodatage à l'aide de l'heure courante si les entrées de journal n'ont pas d'horodatage.

• Détecter si les entrées de journal comportent une seule ligne ou plusieurs lignes.

• Horodatage :

  • Lorsqu'une entrée de journal n'a pas d'horodatage, l'analyseur générique crée et affiche l'horodatage en fonction de l'heure à laquelle les données de journal ont été collectées.

  • Lorsqu'un enregistrement de journal contient un horodatage, mais que le fuseau horaire n'est pas défini, l'analyseur générique utilise le fuseau horaire de l'agent de gestion.

    Lorsque vous utilisez l'agent de gestion, si le fuseau horaire n'est pas détecté correctement, vous pouvez définir manuellement le fuseau horaire dans les fichiers de configuration de l'agent. Voir Spécifier manuellement le fuseau horaire et l'encodage des caractères pour les fichiers

    Lors du chargement des journaux à l'aide du chargement sur demande, vous pouvez spécifier le fuseau horaire ainsi que le chargement pour forcer le fuseau horaire si nous ne pouvons pas le détecter correctement. Si vous utilisez l'interface de ligne de commande, voir Informations de référence sur la ligne de commande : Log Analytics- Chargement. Si vous utilisez une API REST, voir API Log Analytics - Chargement.

  • Lorsqu'un fichier journal contient des enregistrements avec plusieurs fuseaux horaires, l'analyseur générique peut prendre en charge jusqu'à 11 fuseaux horaires.

  • Lorsqu'un fichier journal affiche certaines entrées de journal avec un fuseau horaire et d'autres sans, l'analyseur générique utilise le fuseau horaire trouvé précédemment pour les entrées manquantes.

  • Lorsque vous ingétez des journaux à l'aide d'un agent de gestion, si le fuseau horaire ou le décalage de fuseau horaire n'est pas indiqué dans les enregistrements de journal, Oracle Log Analytics compare l'heure de la dernière modification du système d'exploitation avec l'horodatage de la dernière entrée de journal pour déterminer le fuseau horaire approprié.

• Lignes multiples : Lorsqu'une entrée de journal couvre plusieurs lignes, l'analyseur générique peut saisir correctement le contenu multiligne.