Configure uma entrada de dados para transmitir mensagens de log para seu ServiceNowinstância que usa um Splunkforwarder pesado.
Antes de Iniciar
Função necessária: evt_mgmt_admin
Por Que e Quando Desempenhar Esta Tarefa
Este procedimento de configuração é para transmitir logs para sua instância usando um Splunkforwarder pesado. Se você não pode usar um forwarder pesado, você pode usar um SplunkEncaminhador universal. Para obter mais informações, consulte Remetente universal Splunk como método de envio [KB0961378] artigo na Base de conhecimento do Now Support.
A partir de Yokohamaversão da família, você pode usar novo Splunkentradas de dados para ingerir dados no formato de encaminhamento de log pré-processado ("preparado") Splunkusos por padrão. No modo Cozido, o. Splunko encaminhador incorpora detalhes de configuração, como host, tipo de origem, origem e outras configurações nos dados de log. Ingerindo os dados em HLAnesse formato, garante que cada linha de log retenha todas as informações contextuais relevantes. Se você estiver usando a opção de dados preparados em HLA, não há necessidade de editar o. props.conf e. transforms.conf arquivos durante Splunkconfiguração de entrada de dados.
Nota: Todos os arquivos de configuração do Splunk estão localizados no /SPLUNK_HOME/etc/system/local/ pasta. Se um arquivo de configuração que você precisa modificar não existir, crie-o e salve-o nesta pasta.
Nota: R MID Serverque está inativo pode causar um bloqueio no seu Splunkpipeline. Uma fila de processamento completa não afeta o pipeline.
Procedimento
-
Navegar até .
-
Na página Entradas de dados, selecione Novo .
-
Escolha o. Splunkentrada de dados para logs de streaming por meio de um Splunkforwarder pesado ou universal forwarder .
-
Em Introdução preencha os campos do formulário.
-
Em Outputs.conf , adicione as seguintes estrozas ao outputs.conf arquivo para fazer o expedidor encaminhar dados de log pelo protocolo de transporte selecionado na porta selecionada e, em seguida, selecione Próximo .
Nota: Se você já configurou saídas, mescle essas linhas com a configuração existente.
-
Em Props.conf , edite o. props.conf e selecione Próximo .
Nota: Se você selecionou Use dados preparados opção no Introdução não há necessidade de editar o. props.conf arquivo.
-
Modifique estrofes existentes ou adicione estrofes para marcar tipos de origem, instâncias de serviço e hosts para encaminhamento Análise de logs de integridade.
Nota: Para obter melhores resultados, marque somente os tipos de origem para encaminhamento.
Ao adicionar blocos de parâmetros, use os seguintes formatos de nome:
-
Adicione a seguinte linha ao final de cada estrofe para a qual você deseja encaminhar Análise de logs de integridadePor TCP ou UDP.
-
Adicione a estrofe a seguir para aplicar todas as transformações relevantes necessárias para Análise de logs de integridadeprocessando.
Nota: Splunk permite anonimizar dados confidenciais no tipo de origem clonada para o protocolo selecionado. Para obter mais informações, consulte a seção "Anonimizar dados" no
Documentação do Splunk .
-
Em Transforms.conf , adicione as seguintes estrozas ao transforms.conf e selecione Próximo .
Nota: Se você selecionou Use dados preparados opção no Introdução não há necessidade de editar o. transforms.conf arquivo.
A terceira estrofe clona os logs para manipulação adicional sem afetar sua indexação existente. As estrozas restantes adicionam as informações necessárias para habilitar a correção Análise de logs de integridadeprocessando.
Nota: Você pode ofuscar dados confidenciais adicionando uma transformação aqui e modificando a estrofe do tipo de origem clonada no props.conf arquivo.
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
Em Finish.conf reiniciar Splunkexecutando o.
SPLUNK_HOME/bin/splunk Reinicia o splunk comando.
-
Selecione Salvar.
Análise de logs de integridade Adiciona o registro de entrada de dados à tabela Entradas de dados.
-
Certifique-se de que a entrada de dados esteja configurada corretamente selecionando Conexão de teste .
Análise de logs de integridadetenta conectar o. MID Serverpara o repositório de dados.
Nota: Você pode reverter para a última configuração publicada selecionando Reverter mudanças . Esta opção só está disponível quando você está modificando uma configuração que foi publicada anteriormente.
-
Selecione Publicar para publicar a entrada de dados no MID Server.