Настройка дополнительной нормализации событий

В одном Syslog-источнике могут одновременно поступать события разных форматов, которые различаются по значению поля PROCID в заголовке Syslog.

В зависимости от значения PROCID содержимое поля message может иметь разную структуру.

Пример:

• PROCID = application-A – событие содержит сообщение в формате CEF.
• PROCID = application-B – событие содержит сообщение в формате JSON.

Так как структура поля message различается, необходимо настроить дополнительную нормализацию, которая позволит автоматически определять формат события и применять соответствующий метод парсинга.

Настройка дополнительной нормализации событий состоит из следующих этапов:

Создание основного нормализатора

Основной нормализатор принимает все входящие Syslog-события и выполняет базовую нормализацию полей.

Чтобы создать основной нормализатор:

1. В веб-интерфейсе перейдите в раздел Ресурсы → Нормализаторы и нажмите кнопку Создать.
2. В поле Название введите уникальное имя нормализатора. Максимальная длина имени: до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Тенант, которому принадлежит нормализатор.
4. В раскрывающемся списке Метод парсинга выберите syslog.
5. В раскрывающемся списке Сохранить исходное событие выберите Не сохранять.
6. В блоке параметров Сопоставление нажмите на кнопку Применить сопоставление по умолчанию.
7. Нажмите на кнопку ОК.

Создание экстранормализатора CEF

1. В окне с созданным нормализатором наведите курсор мыши на темный кружок и нажмите на отобразившийся значок плюса.
2. На вкладке Условия дополнительной нормализации в раскрывающемся списке Использовать сырое событие выберите Нет.
3. В блоке параметров Параметры фильтра нажмите на кнопку Добавить условие и настройте параметры фильтрации:
   1. В левом операнде введите:

      PROCID

   2. В качестве оператора выберите =.
   3. В правом операнде введите:

      application-A

4. Перейдите на вкладку Схема нормализации.
5. В поле Название введите:

   cef

6. В раскрывающемся списке Метод парсинга выберите cef.
7. В блоке параметров Сопоставление нажмите на кнопку Применить сопоставление по умолчанию.
8. Нажмите на кнопку ОК.

События с PROCID = application-A направляются в CEF-парсер и нормализуются в модель KUMA.

Создание экстранормализатора JSON

1. В окне с созданным нормализатором наведите курсор мыши на темный кружок и нажмите на отобразившийся значок плюса.
2. На вкладке Условия дополнительной нормализации в раскрывающемся списке Использовать сырое событие выберите Нет.
3. В блоке параметров Параметры фильтра нажмите на кнопку Добавить условие и настройте параметры фильтрации:
   1. В левом операнде введите:

      PROCID

   2. В качестве оператора выберите =.
   3. В правом операнде введите:

      application-B

4. Перейдите на вкладку Схема нормализации.
5. В поле Название введите:

   json

6. В раскрывающемся списке Метод парсинга выберите json.
7. В блоке параметров Сопоставление нажмите на кнопку Применить сопоставление по умолчанию.
8. Нажмите на кнопку ОК.

События с PROCID = application-B направляются в JSON-парсер и нормализуются в модель KUMA.

Проверка работы дополнительной нормализации

После настройки экстранормализаторов рекомендуется проверить, правильно ли вы настроили маршрутизацию и обработку событий.

Проверьте следующее:

• События с PROCID = application-A передаются в экстранормализатор CEF.
• События с PROCID = application-B передаются в экстранормализатор JSON.
• После обработки оба типа событий приводятся к модели данных KUMA.

Для проверки отправьте в KUMA тестовые события, соответствующие каждому из настроенных условий, и убедитесь, что они успешно нормализуются.

Ожидаемый результат:

• CEF-события обрабатываются парсером cef.
• JSON-события обрабатываются парсером json.
• Нормализованные события отображаются в разделе События и содержат поля, сопоставленные со схемой KUMA.