Utilizzando la scheda Filtri dati quando si modifica o si crea un'origine, è possibile mascherare gli indirizzi IP, l'ID utente, il nome host e altre informazioni riservate con stringhe di sostituzione, eliminare parole chiave e valori specifici da una voce di log e nascondere anche un'intera voce di log.

È possibile aggiungere filtri dati quando si crea un'origine log o quando si modifica un'origine esistente. Per ulteriori informazioni sulla modifica delle origini log esistenti, vedere Personalizzare un'origine definita da Oracle.

Se i dati di log vengono inviati a Oracle Logging Analytics utilizzando il caricamento su richiesta o la raccolta dall'area di memorizzazione degli oggetti, il mascheramento verrà eseguito sul lato cloud prima che i dati vengano indicizzati. Se si raccolgono i log mediante Management Agent, i log vengono mascherati prima che il contenuto lasci la sede.

Argomenti:

• Mascheramento dei dati di log

• Hash che maschera i dati di log

• Eliminazione di parole chiave o valori specifici dai record di log

• Eliminazione di un'intera voce di log in base a parole chiave specifiche

Dati log di mascheramento

Il mascheramento è il processo che consiste nel prendere un insieme di testo esistente e sostituirlo con altro testo statico per nascondere il contenuto originale.

Per mascherare qualsiasi informazione, ad esempio il nome utente e il nome host, dalle voci del log:

1. Aprire il menu di navigazione e fare clic su Osservabilità e gestione. In Logging Analytics, fare clic su Amministrazione. Viene visualizzata la pagina Panoramica dell'amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Risorse. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Per modificare l'origine fare clic su Modifica.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il nome della maschera, selezionare maschera come tipo, immettere il valore Trova espressione e il valore Sostituisci espressione associato.

   Il valore dell'espressione Find può essere una ricerca in testo semplice o un'espressione regolare standard. Il testo che corrisponde all'espressione Find viene sostituito dall'espressione Replace nell'intera voce di log.

   Nome	Espressione Find	Espressione Replace
   nome utente maschera	User=\S	User=confidential
   host maschera	Host=\S+	Host=mask_host

   Nota
   
   

   La sintassi della stringa di sostituzione deve corrispondere alla sintassi della stringa che viene sostituita. Ad esempio, un numero non deve essere sostituito con una stringa. Un indirizzo IP nel formato 123.45.67.89 deve essere sostituito da 000.000.000.000 e non da 000.000. Se le sintassi non corrispondono, i parser potrebbero interrompersi.

6. Fare clic suSalva.

Quando si visualizzano le voci di log mascherate per questa origine log, si scopre che Oracle Logging Analytics ha mascherato i valori dei campi specificati.

• Utente = confidenziale

• Host = mask_host

Hash che maschera i dati di log

Quando si mascherano i dati di log utilizzando la maschera come descritto nella sezione precedente, le informazioni mascherate vengono sostituite da una stringa statica fornita nell'espressione Sostituisci. Ad esempio, quando il nome utente viene mascherato con la stringa confidential, il nome utente viene sempre sostituito con l'espressione confidential nei record di log per ogni occorrenza. Utilizzando la maschera hash, è possibile eseguire l'hash del valore trovato con un hash univoco. Ad esempio, se i record di log contengono più nomi utente, viene eseguito l'hashing di ogni nome utente su un valore univoco. Pertanto, se la stringa user1 viene sostituita con l'hash di testo ebdkromluceaqie per ogni occorrenza, è comunque possibile utilizzare l'hash per identificare che queste voci di log sono per lo stesso utente. Tuttavia, il nome utente effettivo non sarà visibile.

Rischio associato: poiché si tratta di un hash, non è possibile recuperare il valore effettivo del testo originale mascherato. Tuttavia, prendendo un hash di qualsiasi stringa, si arriva allo stesso hash ogni volta. Assicurarsi di prendere in considerazione questo rischio durante il mascheramento hash dei dati di log. Ad esempio, la stringa oracle ha l'hash md5 di a189c633d9995e11bf8607170ec9a4b8. Ogni volta che qualcuno tenta di creare un hash md5 della stringa oracle, sarà sempre lo stesso valore. Sebbene non sia possibile prendere questo hash md5 e invertirlo per ottenere la stringa originale oracle, se qualcuno cerca di indovinare e inoltrare l'hash del valore oracle, vedrà che l'hash corrisponde a quello nella voce di log.

Per applicare il filtro dei dati della maschera hash ai dati di log:

1. Andare alla pagina Crea origine. Per i passi, vedere Creare un'origine.

2. È inoltre possibile modificare un'origine già esistente. Per i passi per aprire una pagina Modifica origine, vedere Modifica origine.

3. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

4. Immettere il Nome della maschera, selezionare Maschera hash come Tipo, immettere il valore Trova espressione e il valore Espressione di sostituzione associato.

   Nome	Espressione Find	Espressione Replace
   Maschera nome utente	User=(\S+)s+	Hash testo
   Porta maschera	Port=(\d+)s+	Hash numerico

5. Fare clic suSalva.

Se si desidera utilizzare la maschera hash in un campo basato su stringhe, è possibile utilizzare l'hash Testo o Numerico come campo stringa. Tuttavia, se il campo dati è numerico, ad esempio un numero intero, lungo o a virgola mobile, è necessario utilizzare l'hash Numerico. Se non si utilizza l'hash numerico, il testo di sostituzione causerà l'interruzione delle espressioni regolari che dipendono da questo valore. Il valore non verrà memorizzato.

Questa sostituzione viene eseguita prima dell'analisi dei dati. In genere, quando i dati devono essere mascherati, non è chiaro se sono sempre numerici. Pertanto, è necessario decidere il tipo di hash durante la creazione della definizione della maschera.

Come risultato del mascheramento hash di esempio precedente, ogni nome utente viene sostituito da un hash di testo univoco e ogni numero di porta viene sostituito da un hash numerico univoco.

È possibile utilizzare la maschera hash quando si filtrano o si analizzano i dati di log. Vedere Filtra log per maschera hash.

Eliminazione di parole chiave o valori specifici dai record di log

Oracle Logging Analytics consente di cercare una parola chiave o un valore specifico nei record di log e di eliminare la parola chiave o il valore corrispondente se tale parola chiave esiste nei record di log.

Considerare il seguente record di log:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Se si desidera nascondere la parola chiave device_id e il relativo valore dal record di log:

1. Aprire il menu di navigazione e fare clic su Osservabilità e gestione. In Logging Analytics, fare clic su Amministrazione. Viene visualizzata la pagina Panoramica dell'amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Risorse. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Per modificare l'origine fare clic su Modifica.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il nome del filtro, selezionare stringa di eliminazione come tipo e immettere il valore Espressione di ricerca, ad esempio device_id=\S*

6. Fare clic suSalva.

Quando si visualizzano i record di log per questa origine, si noterà che Oracle Logging Analytics ha eliminato le parole chiave o i valori specificati.

Eliminazione di un'intera voce di log in base a parole chiave specifiche

Oracle Logging Analytics consente di cercare una parola chiave o un valore specifico nei record di log e di eliminare un'intera voce di log in un record di log se tale parola chiave esiste.

Considerare il seguente record di log:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Si supponga di voler eliminare l'intera voce di log se la parola chiave device_id è presente in esse:

1. Aprire il menu di navigazione e fare clic su Osservabilità e gestione. In Logging Analytics, fare clic su Amministrazione. Viene visualizzata la pagina Panoramica dell'amministrazione.

2. Le risorse di amministrazione sono elencate nel riquadro di navigazione a sinistra in Risorse. Fare clic su Origini.

3. Fare clic sul nome dell'origine che si desidera modificare. Viene visualizzata la pagina dei dettagli di origine. Per modificare l'origine fare clic su Modifica.

4. Fare clic sulla scheda Filtri dati e fare clic su Aggiungi.

5. Immettere il nome del filtro, selezionare Elimina voce log come Tipo e immettere il valore Trova espressione, ad esempio .*device_id=.*

   È importante che l'espressione regolare corrisponda all'intera voce di log. L'uso di .* davanti e alla fine dell'espressione regolare garantisce che corrisponda a tutto il testo nella voce del log.

6. Fare clic suSalva.

Quando si visualizzano le voci di log per questa origine log, si noterà che Oracle Logging Analytics ha eliminato tutte le voci di log che contengono la stringa device_id.

Se si utilizza l'opzione Solo tempo di analisi automatico nella definizione di origine anziché creare un parser, l'unico campo disponibile per la creazione di definizioni di campi estesi sarà il campo Contenuto log originale, poiché nessun altro campo verrà popolato dal parser. Vedere Usa parser orario automatico.

Oracle Logging Analytics consente di cercare i campi estesi desiderati. È possibile eseguire la ricerca in base alla modalità di creazione, al tipo di campo di base o a un contenuto di esempio del campo. Immettere il contenuto di esempio nel campo Cerca oppure fare clic sulla freccia rivolta verso il basso per la finestra di dialogo di ricerca. Nella finestra di dialogo di ricerca, in Tipo di creazione, selezionare se i campi estesi che si stanno cercando sono definiti da Oracle o definiti dall'utente. In Campo base è possibile selezionare una delle opzioni disponibili. È inoltre possibile specificare il contenuto di esempio o l'espressione del campo di estrazione da utilizzare per la ricerca. Fare clic su Applica filtri.

argomenti:

• Usa ricerche tempo di inclusione nell'origine

• Utilizza il campo di geolocalizzazione per i log di raggruppamento

• Aggiungi altri dati alle voci di log in fase di elaborazione

• Utilizzare la funzione di sostituzione per sostituire un'espressione in un campo

Quando una voce di log corrisponde alla condizione definita, viene popolata con tale voce di log. Tale etichetta è disponibile nelle visualizzazioni di Log Explorer, nonché per la ricerca e il filtro delle voci di log.

È possibile utilizzare le etichette definite da Oracle o create dall'utente nelle origini. Per creare un'etichetta personalizzata per contrassegnare una voce di log specifica, vedere Creare un'etichetta.

1. Per utilizzare le etichette in un'origine esistente, modificare tale origine. Per i passi per aprire una pagina Modifica origine, vedere Modifica origine.

2. Fare clic sulla scheda Etichette.

3. Per aggiungere un'etichetta condizionale, fare clic su Aggiungi etichetta condizionale.

   Nella sezione Condizioni:

   1. Selezionare il campo di log in cui si desidera applicare la condizione dall'elenco Campo di input.

   2. Selezionare l'operatore dalla lista Operatore.

   3. Nel campo Valore condizione specificare il valore della condizione da soddisfare per l'applicazione dell'etichetta.

      Nota
      
      

      Per aggiungere il gruppo di log come campo di input, fornire l'OCID del valore anziché il nome.

   4. Per aggiungere altre condizioni, fare clic sull'icona Aggiungi condizione e ripetere i passi da 3a a 3c. Selezionare l'operazione logica da applicare alle condizioni multiple. Selezionare tra AND, OR, NOT AND o NOT OR.

      Per aggiungere un gruppo di condizioni, fare clic sull'icona Condizione gruppo e ripetere i passi da 3a a 3c per aggiungere ogni condizione. Un gruppo di condizioni deve avere più di una condizione. Selezionare l'operazione logica da applicare al gruppo di condizioni. Selezionare tra AND, OR, NOT AND o NOT OR.

      Per rimuovere una condizione, fare clic sull'icona Rimuovi condizione .

      Per visualizzare l'elenco delle condizioni sotto forma di istruzione, fare clic su Mostra sintetico condizione.

4. In Azioni selezionare una delle etichette già disponibili definite da Oracle o create dall'utente. Se necessario, è possibile creare una nuova etichetta facendo clic su Crea etichetta.

   Selezionare la casella di controllo Abilitato .

5. Fare clic su Aggiungi.

Oracle Logging Analytics consente di cercare le etichette che si stanno cercando in Log Explorer. È possibile eseguire la ricerca in base a uno qualsiasi dei parametri definiti per le etichette. Immettere la stringa di ricerca nel campo Cerca. È possibile specificare i criteri di ricerca nella finestra di dialogo di ricerca. In Tipo di creazione selezionare se le etichette che si stanno cercando sono definite da Oracle o definite dall'utente. Nei campi Campo di input, Operatore e Campo di output è possibile effettuare una selezione tra le opzioni disponibili. È inoltre possibile specificare il valore della condizione o il valore di output che può essere utilizzato per la ricerca. Fare clic su Applica filtri.

È ora possibile cercare i dati di log in base alle etichette create. Vedere Filtrare i log per etichette.

Utilizzare i campi condizionali per integrare il data set

Facoltativamente, se si desidera selezionare un campo arbitrario e scrivervi un valore, è possibile utilizzare i campi condizionali. L'inserimento di un valore in un campo arbitrario mediante la funzionalità dei campi condizionali è molto simile all'uso delle ricerche. Tuttavia, l'utilizzo dei campi condizionali offre una maggiore flessibilità nelle condizioni di corrispondenza ed è ideale per l'utilizzo in un numero limitato di condizioni - definizioni di popolazione di campi. Ad esempio, se si dispone di alcune condizioni per popolare un campo, è possibile evitare di creare e gestire una ricerca utilizzando i campi condizionali.

I passi per aggiungere i campi condizionali sono simili a quelli del workflow precedente per l'aggiunta di etichette condizionali.

• Nel passo 3, invece di fare clic su Aggiungi etichetta condizionale, fare clic su Aggiungi campo condizionale. Il resto del passo 3 per selezionare le condizioni rimane lo stesso del flusso di lavoro precedente.

• Al punto 4,

  1. Per il campo di output, selezionare dal menu uno dei campi già disponibili definiti da Oracle o creati dall'utente. Se necessario, è possibile creare un nuovo campo facendo clic su Crea nuovo campo.

  2. Immettere un Valore di output da scrivere per il campo di output quando la condizione di input è vera.

     Ad esempio, l'origine può essere configurata per allegare il valore di output authentication.login per il campo di output Security Category quando il record di log contiene il campo di input Method impostato sul valore CONNECT.

     Selezionare la casella di controllo Abilitato .

Ciò è particolarmente utile quando non si è sicuri di come analizzare i log o di come scrivere espressioni regolari per analizzare i log e si desidera solo passare i dati di log raw per eseguire l'analisi. In genere, un parser definisce le modalità di estrazione dei campi da una voce di log per un tipo di file di log specificato. Tuttavia, il parser generico in Oracle Logging Analytics può:

• Rilevare la data e il fuso orario dalle voci del log.

• Creare un indicatore orario utilizzando l'ora corrente se le voci del log non hanno alcun indicatore orario.

• Rileva se le voci del log sono costituite da più filettature o da un solo filetto.

• Indicatore orario:

  • Quando una voce di log non dispone di un indicatore orario, il parser generico crea e visualizza l'indicatore orario in base all'ora in cui sono stati raccolti i dati di log.

  • Quando un record di log contiene un indicatore orario ma il fuso orario non è definito, il parser generico utilizza il fuso orario del Management Agent.

    Quando si utilizza Management Agent, se il fuso orario non viene rilevato correttamente, è possibile impostare manualmente il fuso orario nei file di configurazione dell'agente. Vedere Specifica manuale del fuso orario e della codifica dei caratteri per i file.

    Quando carichi i log utilizzando il caricamento su richiesta, puoi specificare il fuso orario insieme al caricamento per forzare il fuso orario se non riusciamo a rilevarlo correttamente. Se si utilizza l'interfaccia CLI, vedere Riferimento riga di comando: Logging Analytics - Caricamento. Se si utilizza l'API REST, vedere API di Log Analytics - Caricamento.

  • Quando un file di log contiene record di log con più fusi orari, il parser generico può supportare fino a 11 fusi orari.

  • Quando un file di log visualizza alcune voci di log con un fuso orario e alcune senza, il parser generico utilizza il fuso orario trovato in precedenza per quelle a cui manca un fuso orario.

  • Quando si incorporano i log mediante Management Agent, se il fuso orario o l'offset del fuso orario non è indicato nei record di log, Oracle Logging Analytics confronta l'ora dell'ultima modifica del sistema operativo con l'indicatore orario dell'ultima voce di log per determinare il fuso orario appropriato.

• Più righe: quando una voce di log si estende su più righe, il parser generico può acquisire correttamente il contenuto su più righe.