Configure uma entrada de dados para transmitir mensagens de log para sua instância ServiceNow usando um encaminhador pesado Splunk.
Antes de Iniciar
Função necessária: evt_mgmt_admin
Por Que e Quando Desempenhar Esta Tarefa
Este procedimento de configuração é para transmitir logs para sua instância usando um encaminhador pesado Splunk. Se você não puder usar um encaminhador pesado, poderá usar um Encaminhador universal Splunk. Para obter mais informações, consulte o artigo Encaminhador universal do Splunk como método de envio [KB0961378] na Base de conhecimento do Now Support.
A partir da versão da família Yokohama, você pode usar novas entradas de dados Splunk para ingerir dados no formato de encaminhamento de log pré-processado ("cozido") que Splunk usa por padrão. No modo combinado, o encaminhador Splunk incorpora detalhes de configuração, como host, tipo de origem, origem e outras configurações nos dados de log. A ingestão dos dados em HLA neste formato garante que cada linha de log retenha todas as informações contextuais relevantes. Se você estiver usando a opção de dados preparados em HLA, não será necessário editar os arquivos props.conf e transforms.conf durante a configuração de entrada de dados Splunk.
Nota: Todos os arquivos de configuração do Splunk estão localizados na pasta $SPLUNK_HOME/etc/system/local/. Se um arquivo de configuração que você precisa modificar não existir, crie-o e salve-o nesta pasta.
Nota: Um MID Server inativo pode causar um bloqueio no pipeline Splunk. Uma fila de processamento cheia não afeta o pipeline.
Procedimento
-
Navegar até .
-
Na página Entradas de dados, selecione Novo.
-
Escolha a Splunk entrada de dados para logs de streaming por meio de um Splunk encaminhador pesado ou encaminhador universal.
-
Na guia Introdução, preencha os campos do formulário.
-
Na guia Saídas.conf, adicione os seguintes parâmetros ao arquivo saídas.conf para fazer com que o remetente encaminhe os dados de log sobre o protocolo de transporte selecionado na porta selecionada e selecione Avançar.
Nota: Se você já configurou as saídas, mescle essas linhas com a configuração existente.
-
Na guia Props.conf, edite o arquivo props.conf e selecione Avançar.
Nota: Se você selecionou a opção Usar dados preparados na guia Introdução, não há necessidade de editar o arquivo props.conf.
-
Modifique os parâmetros existentes ou adicione parâmetros para marcar tipos de origem, instâncias de serviço e hosts para encaminhamento para Análise de logs de integridade.
Nota: Para obter melhores resultados, marque somente tipos de origem para encaminhamento.
Ao adicionar estrofes, use os seguintes formatos de nome:
-
Adicione a seguinte linha ao final de cada parâmetro que você deseja encaminhar para Análise de logs de integridade em TCP ou UDP.
-
Adicione o seguinte parâmetro para aplicar todas as transformações relevantes necessárias para o processamento de Análise de logs de integridade.
Nota: Splunk O permite anonimizar dados confidenciais no tipo de origem clonado para o protocolo selecionado. Para obter mais informações, consulte a seção "Dados anônimos" na
documentação do Splunk.
-
Na guia Transforms.conf, adicione os seguintes parâmetros ao arquivo transforms.conf e selecione Avançar.
Nota: Se você selecionou a opção Usar dados preparados na guia Introdução, não há necessidade de editar o arquivo transforms.conf.
O terceiro parâmetro clona os logs para manipulação adicional sem afetar a indexação existente. Os enunciados restantes adicionam as informações necessárias para habilitar o processamento Análise de logs de integridade correto.
Nota: Você pode ofuscar dados confidenciais adicionando uma transformação aqui e modificando o parâmetro do tipo de origem clonado no arquivo props.conf.
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
Na guia Concluir.conf, reinicie Splunk executando o comando
$SPLUNK_HOME/bin/splunk restart splunkd.
-
Selecione Save (Salvar).
Análise de logs de integridade adiciona o registro de entrada de dados à tabela Entradas de dados.
-
Certifique-se de que a entrada de dados esteja configurada corretamente selecionando Testar conexão.
Análise de logs de integridade tenta conectar o MID Server ao repositório de dados.
Nota: Você pode reverter para a última configuração publicada selecionando Reverter mudanças. Esta opção está disponível somente quando você está modificando uma configuração que foi publicada anteriormente.
-
Selecione Publicar para publicar a entrada de dados no MID Server.