Переиспользование нормализаторов

Некоторые предустановленные нормализаторы KUMA, например [OOTB] Apache Access file, [OOTB] Nginx regexp, [OOTB] BIND file и [OOTB] Squid access.log file, предназначены для обработки событий, поступающих из файлов журналов. Если те же события поступают по протоколу Syslog, сообщение дополнительно содержит заголовок Syslog, который необходимо обработать перед разбором содержимого сообщения.

Чтобы не создавать отдельные нормализаторы для каждого варианта получения событий, можно настроить каскадную нормализацию. В этом случае сначала выполняется обработка заголовка с помощью предустановленного нормализатора [OOTB] Syslog header, после чего событие передается соответствующему OOTB-нормализатору для разбора содержимого сообщения. Таким образом можно использовать один и тот же нормализатор независимо от способа получения событий.

Чтобы настроить каскадную нормализацию:

1. В веб-интерфейсе KUMA откройте раздел Ресурсы → Коллекторы.
2. В списке доступных коллекторов найдите и выберите предустановленный коллектор [OOTB] Apache Access file.
3. В открывшемся окне перейдите в раздел Парсинг событий и на вкладке Схемы парсинга нажмите на кнопку Добавить парсинг событий.
4. На вкладке Схема нормализации в раскрывающемся списке Нормализатор выберите [OOTB] Syslog header.
5. Нажмите на кнопку ОК,
6. В окне с добавленным нормализатором наведите курсор мыши на темный кружок и нажмите на отобразившийся значок плюса, чтобы добавить экстранормализатор.
7. В открывшемся окне перейдите на вкладку Схема нормализации.
8. В раскрывающемся списке Метод парсинга выберите normalizer.
9. В раскрывающемся списке Нормализатор выберите [OOTB] Apache Access file.
10. Нажмите на кнопку ОК.
11. Сохраните настроенные параметры коллектора.
12. Повторите шаги 2–11, чтобы настроить коллекторы [OOTB] Nginx regexp, [OOTB] BIND file и [OOTB] Squid access.log file, добавляя в качестве экстранормализатора соответствующий OOTB-нормализатор.

После настройки убедитесь, что события, поступающие по протоколу Syslog, последовательно проходят оба этапа нормализации:

• Нормализатор [OOTB] Syslog header извлекает поля заголовка Syslog.
• OOTB-нормализатор соответствующего типа журнала выполняет разбор содержимого сообщения и приводит событие к модели данных KUMA.

Результат обработки можно проверить в веб-интерфейсе KUMA в разделе События.