Creare un'origine

Utilizzando la scheda Filtri dati quando si modifica o si crea un'origine, è possibile mascherare indirizzi IP, ID utente, nome host e altre informazioni riservate con stringhe di sostituzione, eliminare parole chiave e valori specifici da una voce di log e nascondere anche un'intera voce di log.

È possibile aggiungere filtri dati quando si crea un'origine log o quando si modifica un'origine esistente. Per ulteriori informazioni sulla modifica delle origini log esistenti, vedere Personalizzare un'origine definita da Oracle.

Se i dati di log vengono inviati a Oracle Log Analytics utilizzando il caricamento o la raccolta su richiesta dall'area di memorizzazione degli oggetti, il mascheramento verrà eseguito sul lato cloud prima dell'indicizzazione dei dati. Se si raccolgono i log utilizzando il Management Agent, i log vengono mascherati prima che il contenuto lasci le sedi.

Argomenti:

• Dati di log di mascheramento

• Mascheramento hash dei dati di log

• Eliminazione di parole chiave o valori specifici dai record di log

• Eliminazione di un'intera voce di log basata su parole chiave specifiche

Dati di log di mascheramento

Mascheramento è il processo di prendere un insieme di testo esistente e sostituirlo con altro testo statico per nascondere il contenuto originale.

Se si desidera mascherare qualsiasi informazione, ad esempio il nome utente e il nome host, dalle voci di log:

1. Aprire il menu di navigazione e fare clic su Observability & Management. In Log Analytics, fare clic su Amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Amministrazione. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Fare clic su Personalizza per modificare l'origine.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il nome della maschera, selezionare maschera come tipo, immettere il valore Trova espressione e il valore Sostituisci espressione associato.

   Il valore di Trova espressione può essere una ricerca in testo semplice o un'espressione regolare standard. Il testo che corrisponde all'espressione Trova viene sostituito con l'espressione Sostituisci in tutta la voce di log.

   Nome	Espressione Find	Espressione Replace
   nome utente maschera	User=\S	User=confidential
   host maschera	Host=\S+	Host=mask_host

   Nota
   
   

   La sintassi della stringa di sostituzione deve corrispondere alla sintassi della stringa da sostituire. Ad esempio, un numero non deve essere sostituito con una stringa. Un indirizzo IP del modulo 123.45.67.89 deve essere sostituito con 000.000.000.000 e non con 000.000. Se le sintassi non corrispondono, i parser potrebbero rompersi.

6. Fare clic su Salva.

Quando si visualizzano le voci di log mascherate per questa origine log, si scopre che Oracle Log Analytics ha mascherato i valori dei campi specificati.

• Utente = riservato

• Host = mask_host

Mascheramento hash dei dati di log

Quando si mascherano i dati di log utilizzando la maschera come descritto nella sezione precedente, le informazioni mascherate vengono sostituite da una stringa statica fornita nell'espressione di sostituzione. Ad esempio, quando il nome utente è mascherato con la stringa confidential, il nome utente viene sempre sostituito con l'espressione confidential nei record di log per ogni occorrenza. Utilizzando la maschera hash, è possibile eseguire l'hash del valore trovato con un hash univoco. Ad esempio, se i record di log contengono più nomi utente, viene eseguito l'hashing di ogni nome utente su un valore univoco. Quindi, se la stringa user1 viene sostituita con l'hash di testo ebdkromluceaqie per ogni occorrenza, l'hash può comunque essere utilizzato per identificare che queste voci di log sono per lo stesso utente. Tuttavia, il nome utente effettivo non sarà visibile.

Rischio associato: poiché si tratta di un hash, non è possibile recuperare il valore effettivo del testo originale mascherato. Tuttavia, prendendo un hash di qualsiasi stringa, si arriva allo stesso hash ogni volta. Assicurarsi di considerare questo rischio durante il mascheramento hash dei dati di log. Ad esempio, la stringa oracle ha l'hash md5 di a189c633d9995e11bf8607170ec9a4b8. Ogni volta che qualcuno tenta di creare un hash md5 della stringa oracle, sarà sempre lo stesso valore. Anche se non è possibile prendere questo hash md5 e invertire di nuovo per ottenere la stringa originale oracle, se qualcuno cerca di indovinare e inoltrare hash il valore oracle, vedrà che l'hash corrisponde a quello nella voce di log.

Per applicare il filtro dei dati della maschera hash ai dati di log:

1. Andare alla pagina Crea origine. Per i passi, vedere Creare un'origine.

2. È inoltre possibile modificare un'origine già esistente. Per la procedura di apertura di una pagina Modifica origine, vedere Modifica origine.

3. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

4. Immettere il nome della maschera, selezionare maschera hash come tipo, immettere il valore Trova espressione e il valore Sostituisci espressione associato.

   Nome	Espressione Find	Espressione Replace
   Nome utente maschera	User=(\S+)s+	Hash testo
   Porta maschera	Port=(\d+)s+	Hash numerico

5. Fare clic su Salva.

Se si desidera utilizzare la maschera hash in un campo basato su stringhe, è possibile utilizzare l'hash Testo o Numerico come campo stringa. Tuttavia, se il campo dati è numerico, ad esempio un numero intero, lungo o a virgola mobile, è necessario utilizzare l'hash numerico. Se non si utilizza l'hash numerico, il testo di sostituzione causerà l'interruzione delle espressioni regolari che dipendono da questo valore. Anche il valore non verrà memorizzato.

Questa sostituzione viene eseguita prima dell'analisi dei dati. In genere, quando i dati devono essere mascherati, non è chiaro se siano sempre numerici. Pertanto, è necessario decidere il tipo di hash durante la creazione della definizione della maschera.

Come risultato del mascheramento hash di esempio sopra, ogni nome utente viene sostituito da un hash di testo univoco e ogni numero di porta viene sostituito da un hash numerico univoco.

È possibile utilizzare la maschera hash quando si filtrano o si analizzano i dati di log. Vedere Filtra log per maschera hash.

Eliminazione di parole chiave o valori specifici dai record di log

Oracle Log Analytics consente di cercare una parola chiave o un valore specifico nei record di log e di eliminare la parola chiave o il valore corrispondente se presente nei record di log.

Prendere in considerazione il record di log seguente:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Se si desidera nascondere la parola chiave device_id e il relativo valore dal record di log:

1. Aprire il menu di navigazione e fare clic su Observability & Management. In Log Analytics, fare clic su Amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Amministrazione. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Fare clic su Personalizza per modificare l'origine.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il Nome del filtro, selezionare Stringa di spostamento come Tipo e immettere il valore Trova espressione, ad esempio device_id=\S*

6. Fare clic su Salva.

Quando si visualizzano i record di log per questa origine, si scopre che Oracle Log Analytics ha eliminato le parole chiave o i valori specificati.

Eliminazione di un'intera voce di log basata su parole chiave specifiche

Oracle Log Analytics consente di cercare una parola chiave o un valore specifico nei record di log ed eliminare un'intera voce di log in un record di log, se tale parola chiave esiste.

Prendere in considerazione il record di log seguente:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Si supponga di voler eliminare l'intera voce di log se in essa è presente la parola chiave device_id:

1. Aprire il menu di navigazione e fare clic su Observability & Management. In Log Analytics, fare clic su Amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Amministrazione. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Fare clic su Personalizza per modificare l'origine.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il filtro Nome, selezionare Elimina voce di log come Tipo e immettere il valore Trova espressione, ad esempio .*device_id=.*

   È importante che l'espressione regolare corrisponda all'intera voce di log. L'uso di .* davanti e alla fine dell'espressione regolare garantisce che corrisponda a tutto il resto del testo nella voce di log.

6. Fare clic su Salva.

Quando si visualizzano le voci di log per questa origine log, si scopre che Oracle Log Analytics ha eliminato tutte le voci di log che contengono la stringa device_id.

Se si utilizza l'opzione Solo tempo di analisi automatico nella definizione di origine anziché creare un parser, l'unico campo disponibile per la creazione di definizioni di campo estese sarà il campo Contenuto log originale poiché nessun altro campo verrà popolato dal parser. Vedere Usa parser orario automatico.

Oracle Log Analytics consente di cercare i campi estesi che si stanno cercando. È possibile eseguire ricerche in base alla modalità di creazione, al tipo di campo di base o con un contenuto di esempio del campo. Immettere il contenuto di esempio nel campo Cerca oppure fare clic sulla freccia verso il basso per la finestra di dialogo di ricerca. Nella finestra di dialogo di ricerca, in Tipo di creazione, selezionare se i campi estesi che si sta cercando sono definiti da Oracle o definiti dall'utente. In Campo base è possibile effettuare una selezione tra le opzioni disponibili. È inoltre possibile specificare il contenuto di esempio o l'espressione del campo di estrazione che può essere utilizzata per la ricerca. Fare clic su Applica filtri.

Argomenti:

• Usa lookup tempo di inclusione nell'origine

• Utilizzare il campo di georilevazione per i log di raggruppamento

• Aggiungi altri dati alle voci di log in fase di elaborazione

• Utilizzare la funzione di sostituzione per sostituire un'espressione in un campo

Quando una voce di log corrisponde alla condizione definita, un'etichetta viene popolata con tale voce di log. Tale etichetta è disponibile nelle visualizzazioni di Log Explorer, nonché per la ricerca e il filtro delle voci di log.

È possibile utilizzare le etichette definite da Oracle o create dall'utente nelle origini. Per creare un'etichetta personalizzata per contrassegnare una voce di log specifica, vedere Creare un'etichetta.

1. Per utilizzare le etichette in un'origine esistente, modificare l'origine. Per la procedura di apertura di una pagina Personalizza origine, vedere Modifica origine.

2. Fare clic sulla scheda Etichette.

3. Per aggiungere un'etichetta condizionale, fare clic su Aggiungi etichetta condizionale.

   Nella sezione Condizioni effettuare le operazioni riportate di seguito.

   1. Selezionare il campo di log in cui si desidera applicare la condizione dall'elenco Campo di input.

   2. Select the operator from the Operator list Contains, Contains Ignore Case, Contains Regex, Contains one of Regexes, Ends With, Equal, Equal Ignore Case, In, In Ignore Case, Is Null, Not Contains, Not Equal, Not In, Not Null, and Starts With.

   3. Nel campo Valore condizione specificare il valore della condizione da abbinare per l'applicazione dell'etichetta.

      Nota
      
      

      Per aggiungere il gruppo di log come campo di input, fornire il relativo OCID per il valore anziché il nome.

   4. Per aggiungere altre condizioni, fare clic sull'icona Aggiungi condizione e ripetere i passi da 3a a 3c. Selezionare l'operazione logica da applicare alle condizioni multiple. Selezionare da AND, OR, NOT AND o NOT OR.

      Per aggiungere un gruppo di condizioni, fare clic sull'icona Condizione gruppo e ripetere i passi da 3a a 3c per aggiungere ogni condizione. Un gruppo di condizioni deve avere più condizioni. Selezionare l'operazione logica da applicare al gruppo di condizioni. Selezionare da AND, OR, NOT AND o NOT OR.

      Per rimuovere una condizione, fare clic sull'icona Rimuovi condizione .

      Per visualizzare l'elenco delle condizioni sotto forma di istruzione, fare clic su Mostra riepilogo condizione.

4. In Azioni, selezionare una delle etichette già disponibili definite da Oracle o create dall'utente. Se necessario, è possibile creare una nuova etichetta facendo clic su Crea etichetta.

   Selezionare la casella di controlloAbilitato.

5. Fare clic su Aggiungi.

Oracle Log Analytics consente di cercare le etichette che si stanno cercando in Log Explorer. È possibile eseguire la ricerca in base a uno qualsiasi dei parametri definiti per le etichette. Immettere la stringa di ricerca nel campo Cerca. Nella finestra di dialogo di ricerca è possibile specificare i criteri di ricerca. In Tipo di creazione, selezionare se le etichette desiderate sono definite da Oracle o definite dall'utente. Nei campi Campo di input, Operatore e Campo di output è possibile effettuare una selezione tra le opzioni disponibili. È inoltre possibile specificare il valore della condizione o il valore di output che può essere utilizzato per la ricerca. Fare clic su Applica filtri.

È ora possibile cercare i dati di log in base alle etichette create. Vedere Filtrare i log in base alle etichette.

Utilizzare i campi condizionali per arricchire il data set

Facoltativamente, se si desidera selezionare un campo arbitrario e scrivervi un valore, è possibile utilizzare i campi condizionali. L'inserimento di un valore in un campo arbitrario mediante la funzionalità dei campi condizionali è molto simile all'utilizzo delle ricerche. Tuttavia, l'utilizzo dei campi condizionali offre una maggiore flessibilità nelle condizioni di corrispondenza ed è ideale per la gestione di un numero limitato di condizioni - definizioni della popolazione dei campi. Ad esempio, se si dispone di alcune condizioni per popolare un campo, è possibile evitare di creare e gestire una ricerca utilizzando campi condizionali.

I passi per aggiungere i campi condizionali sono simili a quelli del workflow precedente per l'aggiunta di etichette condizionali.

• Nel passo 3, invece di fare clic su Aggiungi etichetta condizionale, fare clic su Aggiungi campo condizionale. Il resto del passo 3 per selezionare le condizioni rimane lo stesso del flusso di lavoro precedente.

• Nel passaggio 4 sopra,

  1. Per Campo di output, selezionare dal menu uno dei campi già disponibili definiti da Oracle o creati dall'utente. Se necessario, è possibile creare un nuovo campo facendo clic su Crea nuovo campo.

  2. Immettere un valore in Valore di output da scrivere per il campo di output quando la condizione di input è vera.

     Ad esempio, è possibile configurare l'origine per allegare il valore di output authentication.login per il campo di output Security Category quando il record di log contiene il campo di input Method impostato sul valore CONNECT.

     Selezionare la casella di controlloAbilitato.

Ciò è particolarmente utile quando non si è sicuri di come analizzare i log o come scrivere espressioni regolari per analizzare i log e si desidera semplicemente passare i dati di log raw per eseguire l'analisi. In genere, un parser definisce il modo in cui i campi vengono estratti da una voce log per un tipo di file di log specifico. Tuttavia, il parser generico di Oracle Log Analytics può:

• Rileva l'indicatore orario e il fuso orario dalle voci del log.

• Creare un indicatore orario utilizzando l'ora corrente se le voci del log non dispongono di alcun indicatore orario.

• Rileva se le voci di log sono più allineate o più allineate.

• Indicatore orario: vedere Gestione dell'ora di inserimento del log nel parser.

• Più righe: quando una voce di log si estende su più righe, il parser generico può acquisire correttamente il contenuto multiriga.