Créer une source

Lorsque vous modifiez ou créez une source à l'aide de l'onglet Filtres de données, vous pouvez masquer les adresses IP, l'ID utilisateur, le nom d'hôte et d'autres informations sensibles grâce à des chaînes de remplacement, supprimer des mots-clés et des valeurs spécifiques d'une entrée de journal, et masquer une entrée de journal entière.

Vous pouvez ajouter des filtres de données lors de la création d'une source de journal ou lors de la modification d'une source existante. Pour en savoir plus sur la modification de sources de journal existantes, reportez-vous à Personnalisation d'une source définie par Oracle.

Si les données de journal sont envoyées à Oracle Log Analytics à l'aide du téléchargement à La demande ou de l'ensemble à partir de la banque d'objets, le masquage est effectué côté cloud avant l'indexation des données. Si vous collectez les journaux à l'aide de l'agent de gestion, les journaux sont masqués avant que le contenu ne quitte vos locaux.

Rubriques :

• Masquage des données de journal

• Masquage des données de journal par hachage

• Suppression de mots-clés ou de valeurs spécifiques dans les enregistrements de journal

• Suppression d'une entrée de journal complète en fonction de mots-clés spécifiques

Masquage des données de journal

Le processus de masquage consiste à prendre un ensemble de texte existant et à le remplacer par un autre texte statique pour cacher le contenu d'origine.

Pour masquer des informations telles que le nom utilisateur et le nom d'hôte dans les entrées de journal, procédez comme suit :

1. Ouvrez le menu de navigation et cliquez sur Observation et gestion. Sous Log Analytics, cliquez sur Administration. La page Présentation de l'administration apparaît.

2. Les ressources d'administration sont répertoriées dans le panneau de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source apparaît. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données, puis sur Ajouter.

5. Entrez le nom du masque, sélectionnez Masque comme type, et entrez la valeur Expression de recherche et la valeur Expression de remplacement associée.

   La valeur Expression de recherche peut être une recherche en texte brut ou une expression régulière standard. Le texte correspondant à l'expression de recherche est remplacé par l'expression de remplacement tout au long de l'entrée de journal.

   Nom	Expression de recherche	Expression de remplacement
   masquer le nom utilisateur	User=\S	User=confidential
   masquer l'hôte	Host=\S+	Host=mask_host

   Remarque
   
   

   La syntaxe de la chaîne de remplacement doit correspondre à la syntaxe de la chaîne à remplacer. Par exemple, un nombre ne doit pas être remplacé par une chaîne. Une adresse IP au format 123.45.67.89 doit être remplacée par 000.000.000.000 et non par 000.000. Si les syntaxes ne correspondent pas, les analyseurs peuvent rencontrer des problèmes.

6. Cliquez sur Enregistrer.

Lorsque vous visualisez les entrées de journal masquées pour cette origine de journal, vous constatez qu'Oracle Log Analytics a masqué les valeurs des champs que vous avez spécifiés.

• User = confidentiel

• Host = masque_hôte

Masquage des données de journal par hachage

Lorsque vous masquez les données de journal à l'aide du masque comme le décrit la section précédente, les informations masquées sont remplacées par une chaîne statique fournie dans l'expression de remplacement. Par exemple, lorsque le nom utilisateur est masqué avec la chaîne confidentiel, le nom utilisateur est toujours remplacé par l'expression confidentiel dans les enregistrements de journal, à chaque occurrence. En utilisant un masque de hachage, vous pouvez hacher la valeur trouvée avec un hachage unique. Par exemple, si les enregistrements de journal contiennent plusieurs noms utilisateur, chaque nom utilisateur est haché en valeur unique. Par conséquent, si la chaîne user1 est remplacée par le hachage de texte ebdkromluceaqie à chaque occurrence, le hachage peut toujours être utilisé pour déterminer que ces entrées de journal concernent le même utilisateur. Cependant, le nom utilisateur réel n'est pas visible.

Risque associé : comme il s'agit d'un hachage, il n'est pas possible de récupérer la valeur réelle du texte d'origine masqué. Cependant, en prenant le hachage de n'importe quelle chaîne, vous aboutissez au même hachage à chaque fois. Tenez compte de ce risque lors du masquage des données de journal par hachage. Par exemple, pour la chaîne oracle, le hachage MD5 est a189c633d9995e11bf8607170ec9a4b8. Chaque fois que quelqu'un tente de créer un hachage MD5 de la chaîne oracle, la valeur est toujours la même. Bien que vous ne puissiez pas partir de ce hachage MD5 et revenir à la chaîne d'origine oracle, si une personne tente de deviner la valeur oracle et de la hacher à nouveau, elle constate que le hachage correspond à celui de l'entrée de journal.

Pour appliquer le filtre de données de masque de hachage aux données de journal, procédez comme suit :

1. Accédez à la page Créer une source. Pour connaître les étapes à suivre, reportez-vous à Création d'une source.

2. Vous pouvez également modifier une source qui existe déjà. Pour connaître les étapes d'ouverture de la page Modifier une source, reportez-vous à Modification de la source.

3. Cliquez sur l'onglet Filtres de données, puis sur Ajouter.

4. Entrez le nom du masque, sélectionnez Masque de hachage comme type, et entrez la valeur Expression de recherche et la valeur Expression de remplacement associée.

   Nom	Expression de recherche	Expression de remplacement
   Masquer le nom utilisateur	User=(\S+)s+	Hachage de texte
   Masquer le port	Port=(\d+)s+	Hachage numérique

5. Cliquez sur Enregistrer.

Pour utiliser un masque de hachage sur un champ basé sur une chaîne, vous pouvez employer un hachage de texte ou numérique comme champ de chaîne. Toutefois, si le champ de données est numérique (entier, long ou à virgule flottante, par exemple), vous devez utiliser un hachage numérique. Si vous n'appliquez pas un hachage numérique, le texte de remplacement entraîne la rupture de vos expressions régulières qui dépendent du caractère numérique de cette valeur. La valeur n'est pas non plus stockée.

Le remplacement a lieu avant l'analyse des données. En règle générale, lorsque les données doivent être masquées, le remplacement numérique n'est pas toujours implicite. Vous devez donc choisir le type de hachage lors de la création de la définition du masque.

Dans l'exemple de masquage par hachage ci-dessus, chaque nom utilisateur est remplacé par un hachage de texte unique, et chaque numéro de port est remplacé par un hachage numérique unique.

Vous pouvez utiliser le masque de hachage lors du filtrage ou de l'analyse des données de journal. Reportez-vous à Filtre des journaux par masque de hachage.

Suppression de mots-clés ou de valeurs spécifiques dans les enregistrements de journal

Oracle Log Analytics permet la recherche d'un mot-clé ou d'une valeur spécifique dans les enregistrements de journal, et la suppression du mot-clé ou de la valeur qui correspond s'il existe dans les enregistrements de journal.

Prenons l'enregistrement de journal suivant :

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Pour masquer le mot-clé device_id et sa valeur dans l'enregistrement de journal, procédez comme suit :

1. Ouvrez le menu de navigation et cliquez sur Observation et gestion. Sous Log Analytics, cliquez sur Administration. La page Présentation de l'administration apparaît.

2. Les ressources d'administration sont répertoriées dans le panneau de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source apparaît. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données, puis sur Ajouter.

5. Entrez le filtre Nom, sélectionnez Supprimer la chaîne comme type et entrez la valeur Expression de recherche device_id=\S*.

6. Cliquez sur Enregistrer.

Lorsque vous visualisez les enregistrements de journal pour cette source, vous constatez qu'Oracle Log Analytics a supprimé les mots-clés et les valeurs que vous avez indiqués.

Suppression d'une entrée de journal complète en fonction de mots-clés spécifiques

Oracle Log Analytics permet la recherche d'un mot-clé ou d'une valeur spécifique dans les enregistrements de journal, et la suppression d'une entrée complète dans un enregistrement de journal si ce mot-clé existe.

Prenons l'enregistrement de journal suivant :

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Supposons que vous vouliez supprimer l'entrée de journal complète si le mot-clé device_id y figure :

1. Ouvrez le menu de navigation et cliquez sur Observation et gestion. Sous Log Analytics, cliquez sur Administration. La page Présentation de l'administration apparaît.

2. Les ressources d'administration sont répertoriées dans le panneau de navigation de gauche sous Ressources. Cliquez sur Sources.

3. Cliquez sur le nom de la source à modifier. La page des détails de la source apparaît. Cliquez sur Modifier pour modifier la source.

4. Cliquez sur l'onglet Filtres de données, puis sur Ajouter.

5. Entrez le filtre Nom, sélectionnez Supprimer l'entrée de journal comme type et entrez la valeur Expression de recherche .*device_id=.*.

   Il est important que l'expression régulière corresponde à l'intégralité de l'entrée de journal. L'utilisation de .* au début et à la fin de l'expression régulière fait en sorte qu'elle corresponde à tout autre texte de l'entrée de journal.

6. Cliquez sur Enregistrer.

Lorsque vous visualisez les entrées d'un journal pour cette source, vous constatez qu'Oracle Log Analytics a supprimé toutes les entrées d'un journal contenant la chaîne device_id.

Si vous utilisez l'option N'analyser automatiquement que l'heure dans la définition de source au lieu de créer un analyseur, le seul champ disponible pour la création de définitions de champ étendu est le champ Contenu du journal d'origine car aucun autre champ n'est rempli par l'analyseur. Reportez-vous à Utilisation de l'analyseur d'heure automatique.

Oracle Log Analytics vous permet de rechercher les champs étendus qui vous intéressent. Vous pouvez effectuer le recherche en fonction du mode de création ou du type de champ de base, ou avec un exemple de contenu du champ. Entrez l'exemple de contenu dans le champ Rechercher ou cliquez sur la flèche vers le bas de la boîte de dialogue de recherche. Dans la boîte de dialogue de recherche, sous Type de création, déterminez si les champs étendus que vous recherchez sont définis par Oracle ou définis par l'utilisateur. Sous Champ de base, vous pouvez sélectionner l'une des options disponibles. Vous pouvez également indiquer l'exemple de contenu ou l'expression de champ d'extraction à utiliser pour la recherche. Cliquez sur Appliquer des filtres.

Rubriques :

• Utilisation des recherches au moment de l'ingestion dans la source

• Utiliser le champ de géolocalisation pour regrouper les journaux

• Ajouter des données supplémentaires à vos entrées de journal au moment du traitement

• Utiliser la fonction de substitution pour remplacer une expression dans un champ

Lorsqu'une entrée de journal correspond à la condition que vous avez définie, un libellé est rempli avec cette entrée de journal. Ce libellé est disponible dans les visualisations de l'explorateur de journaux, ainsi que pour la recherche et le filtrage des entrées de journal.

Vous pouvez employer des libellés définis par Oracle ou créés par l'utilisateur dans les sources. Pour créer un libellé personnalisé afin de baliser une entrée de journal spécifique, reportez-vous à Création d'un libellé.

1. Pour utiliser des libellés dans une source existante, modifiez cette source. Pour connaître les étapes d'ouverture de la page Modifier une source, reportez-vous à Modification de la source.

2. Cliquez sur l'onglet Libellés.

3. Pour ajouter un libellé conditionnel, cliquez sur Ajouter un libellé conditionnel.

   Dans la section Conditions, procédez comme suit :

   1. Sélectionnez le champ de journal sur lequel appliquer la condition dans la liste Champ d'entrée.

   2. Select the operator from the Operator list Contains, Contains Ignore Case, Contains Regex, Contains one of Regexes, Ends With, Equal, Equal Ignore Case, In, In Ignore Case, Is Null, Not Contains, Not Equal, Not In, Not Null, and Starts With.

   3. Dans le champ Valeur de condition, indiquez la valeur de la condition à mettre en correspondance pour appliquer le libellé.

      Remarque
      
      

      Pour ajouter le groupe de journaux en tant que champ d'entrée, indiquez son OCID pour la valeur au lieu du nom.

   4. Pour ajouter d'autres conditions, cliquez sur l'icône Ajouter une condition et répétez les étapes 3a à 3c. Sélectionnez l'opération logique à appliquer aux conditions multiples. Sélectionnez ET, OU, PAS ET ou PAS OU.

      Pour ajouter un groupe de conditions, cliquez sur l'icône Condition de groupe , puis répétez les étapes 3a à 3c pour ajouter chaque condition. Un groupe de conditions doit avoir plusieurs conditions. Sélectionnez l'opération logique à appliquer au groupe de conditions. Sélectionnez ET, OU, PAS ET ou PAS OU.

      Pour enlever une condition, cliquez sur l'icône Enlever une condition .

      Pour afficher la liste des conditions sous forme d'instruction, cliquez sur Afficher le récapitulatif des conditions.

4. Sous Actions, sélectionnez des libellés déjà disponibles définis par l'utilisateur ou par Oracle. Si nécessaire, vous pouvez créer un libellé en cliquant sur Créer un libellé.

   Cochez la case Activé.

5. Cliquez sur Ajouter.

Oracle Log Analytics vous permet de rechercher les libellés qui vous intéressent dans l'explorateur de journaux. Vous pouvez effectuer la recherche en fonction de l'un des paramètres définis pour les libellés. Entrez la chaîne de recherche dans le champ Rechercher. Vous pouvez indiquer les critères de recherche dans la boîte de dialogue de recherche. Sous Type de création, déterminez si les libellés que vous recherchez sont définis par Oracle ou définis par l'utilisateur. Sous les champs Champ d'entrée, Opérateur et Champ de sortie, vous pouvez sélectionner l'une des options disponibles. Vous pouvez également fournir la valeur de condition ou la valeur de sortie à utiliser pour la recherche. Cliquez sur Appliquer des filtres.

Vous pouvez maintenant effectuer des recherches sur les données de journal en fonction des libellés que vous avez créés. Reportez-vous à Filtrage des journaux par libellé.

Utiliser les champs conditionnels pour enrichir le jeu de données

Si vous voulez sélectionner une valeur arbitraire et y écrire une valeur, vous pouvez éventuellement utiliser les champs conditionnels. L'ajout d'une valeur dans un champ arbitraire à l'aide de la fonctionnalité des champs conditionnels est très semblable à l'utilisation des recherches. Toutefois, l'utilisation des champs conditionnels offre plus de flexibilité dans vos conditions de correspondance et sont idéaux pour traiter un petit nombre de conditions, ou définitions de remplissage des champs. Par exemple, si vous appliquez quelques conditions pour remplir un champ, vous pouvez éviter de créer et de gérer une recherche à l'aide de champs conditionnels.

Les étapes d'ajout des champs conditionnels sont similaires à celles du workflow ci-dessus pour l'ajout de libellés conditionnels.

• A l'étape 3, au lieu de cliquer sur Ajouter un libellé conditionnel, cliquez sur Ajouter un champ conditionnel. Le reste de l'étape 3 de sélection des conditions reste le même que le flux de travail ci-dessus.

• à l'étape 4 ci-dessus,

  1. Dans le menu Champ de sortie, sélectionnez l'un des champs déjà disponibles définis par Oracle ou créés par l'utilisateur. Si nécessaire, vous pouvez créer un champ en cliquant sur Créer un champ.

  2. Entrez une valeur de sortie à écrire pour le champ de sortie lorsque la condition d'entrée est vraie.

     Par exemple, la source peut être configurée afin d'attacher la valeur de sortie authentication.login pour le champ de sortie Security Category lorsque l'enregistrement de journal contient le champ d'entrée Method défini sur la valeur CONNECT.

     Cochez la case Activé.

Cela est particulièrement utile lorsque vous hésitez sur le mode d'analyse des journaux ou d'écriture des expressions régulières pour analyser les journaux, et que vous voulez simplement transmettre les données de journal brutes à des fins d'analyse. En règle générale, un analyseur définit la manière dont les champs sont extraits d'une entrée de journal pour un type donné de fichier journal. Toutefois, l'analyseur générique d'Oracle Log Analytics peut :

• Détecter l'horodatage et le fuseau horaire des entrées de journal

• Créer un horodatage en utilisant l'heure actuelle en cas d'absence d'horodatage sur les entrées de journal

• Déterminer si les entrées de journal sont composées de plusieurs lignes ou d'une seule ligne

• Horodatage :

  • Si aucun horodatage n'est indiqué pour une entrée de journal, l'analyseur générique crée et affiche l'horodatage en fonction de l'heure de collecte des données de journal.

  • Lorsqu'un enregistrement de journal contient un horodatage mais que le fuseau horaire n'est pas défini, l'analyseur générique utilise le fuseau horaire de l'agent de gestion.

    Avec l'agent de gestion, si le fuseau horaire n'est pas détecté correctement, vous pouvez le définir manuellement dans les fichiers de configuration d'agent. Reportez-vous à Indication manuelle du fuseau horaire et de l'encodage de caractères pour les fichiers.

    Lorsque vous téléchargez des journaux à la demande, vous pouvez spécifier le fuseau horaire avec votre téléchargement pour imposer le fuseau horaire si nous ne parvenons pas à le détecter correctement. Si vous utilisez l'interface de ligne de commandes, reportez-vous à la section Référence de ligne de commandes : Log Analytics- Téléchargement. Si vous utilisez l'API REST, reportez-vous à l'API Log Analytics - Téléchargement.

  • Lorsqu'un fichier journal comporte des enregistrements de journal avec plusieurs fuseaux horaires, l'analyseur générique peut prendre en charge jusqu'à 11 fuseaux horaires.

  • Lorsqu'un fichier journal affiche des entrées de journal avec fuseau horaire et d'autres sans, l'analyseur générique utilise le fuseau horaire précédemment trouvé pour celles qui n'en indiquent pas.

  • Lors de l'inclusion de journaux à l'aide de l'agent de gestion, si le fuseau horaire ou le décalage du fuseau horaire n'est pas indiqué dans les enregistrements de journal, Oracle Log Analytics compare l'heure de dernière modification du système d'exploitation avec l'horodatage de la dernière entrée du journal pour déterminer le fuseau horaire correct.

• Plusieurs lignes : lorsqu'une entrée de journal couvre plusieurs lignes, l'analyseur générique peut capturer ce contenu multilignes correctement.