Настройка получения событий CommuniGate Pro
Вы можете настроить получение событий системы CommuniGate Pro версий 6.1 и 6.5.1 в LogAnalyzer. Интеграция возможна только при отправке событий по syslog с использованием протокола TCP. Ресурсы, описанные в этой статье, доступны для LogAnalyzer 3.0 и более новых версий. Поддерживается обработка части событий модуля SIP (события содержат последовательность символов "SIPDATA").
Настройка получения событий состоит из следующих этапов:
- Настройка CommuniGate Pro для отправки событий.
- Настройка коллектора LogAnalyzer для получения событий CommuniGate Pro.
- Проверка поступления событий CommuniGate Pro в коллектор LogAnalyzer.
Вы можете проверить, что настройка сервера источника событий CommuniGate Pro выполнена правильно в разделе веб-интерфейса LogAnalyzer Поиск связанных событий.
Система CommuniGate Pro формирует событие аудита в виде нескольких отдельных записей, которые выглядят следующим образом:
<код события> временная отметка идентификатор направление: информация из базового события 1
<код события> временная отметка идентификатор направление: информация из базового события 2
<код события> временная отметка идентификатор направление: основная информация n
Для обработки событий системы CommuniGate Pro используется набор ресурсов LogAnalyzer, который необходимо применить при создании коллектора:
- Нормализатор.
- Правило агрегации.
- Фильтры для точек назначения.
В процессе работы коллектора многострочные базовые события будут агрегированы на основе идентификатора событий, нормализованы, и в хранилище будет направлено одно событие.
Агрегированное событие примет следующий вид:
Служебная информация из правила агрегации: идентификатор: информация из базового события 1, информация из базового события 2, информация из базового события n
После агрегации полученное событие будет направлено в этот же коллектор, где будет выполняться нормализация агрегированного события.
Алгоритм обработки события системы CommuniGate Pro
