Edite os dados brutos de log antes de processar em Análise de logs de integridade

Você pode modificar os dados brutos de log e descartar ou dividir mensagens de log antes que elas sejam tratadas no MID Server e, portanto, antes Análise de logs de integridade mapeia e estrutura-os. Por exemplo, você pode impedir que dados confidenciais cheguem a Análise de logs de integridade substituindo nomes de usuário e senhas por um asterisco (*).

Antes de Iniciar

Função necessária: evt_mgmt_admin

Procedimento

1. Navegar até Tudo > Análise de logs de integridade > Entrada de dados > Pré-processamento da entrada de dados.
2. Abra um registro.
   Nota:

   Na primeira vez que o formulário de pré-processamento é exibido, Análise de logs de integridade busca amostras de log automaticamente. Em sessões subsequentes, obtenha novas amostras manualmente selecionando Atualizar amostras .
3. Opcional: Evite mostrar amostras de log que são obtidas dos logs brutos da sua organização selecionando Desabilitar amostras de log bruto .
   Se você não quiser expor seus logs ao Análise de logs de integridade.
4. Opcional: Exiba como a função JavaScript atual afeta as linhas de log.
   1. Adicione uma mensagem de exemplo no Amostra manual de teste campo.
   2. Selecione Ir .
   3. Observe como a função JavaScript afeta as linhas de log.
5. Em Amostras de entrada bruta Escolha uma amostra de log que mostrará o efeito da sua nova função JavaScript nas linhas de log quando você testá-la.
6. Defina uma função JavaScript que modifique seus dados brutos de log antes Análise de logs de integridade mapeia e estrutura isso.
   Nota:

   (Somente entradas de dados ACC) quando Agent Client Collector alterna para um diferente MID Server Para fornecer proteção de failover, ele deve alternar para uma entrada de dados ACC diferente. Portanto, todas as entradas de dados ACC devem ter a mesma função JavaScript. Análise de logs de integridade Fornece a função JavaScript publicada mais recente para todas as entradas de dados do ACC existentes e futuras, substituindo o script anterior. Este recurso é compatível com Análise de logs de integridade Versão 22.0.12 - dezembro de 2021 e posterior, disponível em ServiceNow Store . Para obter informações sobre proteção de failover em Agent Client Collector Log Analytics (ACC-L), consulte Agent Client Collector Log Analytics.

   1. No console JavaScript, altere a função JavaScript padrão fornecida, modifique uma função JavaScript personalizada existente ou defina uma nova.
      Nota:

      Além da função JavaScript padrão para pré-processamento de dados, Análise de logs de integridade Fornece um modelo de função JavaScript chamado Depuração . Esta função JavaScript remove informações de identificação pessoal, como endereços de e-mail, números de previdência social e senhas, dos dados brutos de log. O modelo pode atuar como um ponto de partida para seu código de script personalizado. Este recurso é compatível com Análise de logs de integridade Versão 20.0.11 - julho de 2021, disponível em ServiceNow Store .

      Nota:

      (Somente entradas de dados do ACC) Certifique-se de que sua função JavaScript possa ser usada para lidar com dados transmitidos por todas as entradas de dados do ACC.

      As funções JavaScript para pré-processamento de dados brutos de log usam os seguintes objetos:

      • Processo de função (amostra, metadados)

        Objeto	Descrição
        amostra	A amostra de log atual.
        metadados	Objeto que contém o fluxo de eventos. Para acessar o fluxo de eventos, ligue para Metadata.eventStream função. Como o fluxo de eventos é um objeto, você pode acessar cada uma de suas propriedades chamando Metadata.eventStream.Origin ou Metadata.eventStream.LocalPort funções. A lista de propriedades de fluxo de eventos disponíveis está disponível em Fluxo de eventos: Acesso por metadados guia.

      • Tipo e estrutura de retorno
        Nota:

        A função JavaScript retorna um mapa de duas entradas. Não mude esta estrutura de retorno.

        Objeto	Descrição
        Entrada modificada	A mensagem de log atual depois que a função JavaScript modificou a mensagem original. Se for nulo, a mensagem de log original será usada.
        SplitEvents	Matriz de mensagens de log após a função JavaScript dividir a mensagem original.

      • Para descartar uma mensagem de log, chame soltar() .
   2. Teste a função JavaScript selecionando Teste e exibindo o resultado em sua amostra de log em listas relacionadas.

      Tab	Descrição
      Resultado	O resultado da execução da função JavaScript em sua amostra de log.
      Fluxo de eventos: Acesso por metadados	Os pares chave-valor que apresentam os metadados do fluxo de eventos.
      Falhas	As amostras de log nas quais a função JavaScript falhou ao ser executada com sucesso.

      Nota:

      Se sua nova função JavaScript não estiver se comportando conforme o esperado, você poderá reverter para a última função publicada selecionando Reverter função JS link relacionado.
   3. Opcional: Faça os ajustes necessários e teste a função JavaScript novamente.
7. Selecione Salvar modelo Opção para salvar a função JavaScript.
   Você pode salvar a função JavaScript como um novo modelo ou substituir o modelo selecionado no momento.

   • Para salvar a função JavaScript como um novo modelo, insira um novo nome em Nome do modelo campo.
   • Para substituir o modelo selecionado no momento em Modelos de função JS saia do Nome do modelo campo vazio.
8. Selecione Publicar Para salvar a função JavaScript no banco de dados.

Resultado

Quando a função JavaScript é publicada, Análise de logs de integridade o usa-o para pré-processar seus dados brutos de log antes de mapeá-los e estruturá-los.

O novo script é adicionado automaticamente à lista de modelos de função JS dos quais você pode escolher. Este recurso é compatível com Análise de logs de integridade Versão 20.0.11 - julho de 2021, disponível em ServiceNow Store .

(Somente entradas de dados do ACC) Análise de logs de integridade Fornece a função JavaScript publicada para todas as entradas de dados ACC existentes e futuras. A nova função JavaScript substitui o script anterior.

O que Fazer Depois

Prossiga para Mapeamento de entrada de dados selecionando Vá para Mapeamento link relacionado. Mapear dados brutos que flui para sua instância para determinar como Análise de logs de integridade processa.