Con el separador Filtros de datos al editar o crear un origen, puede enmascarar direcciones IP, el ID de usuario, el nombre de host y otro tipo de información confidencial con cadenas de sustitución, borrar valores y palabras clave específicos de una entrada de log, así como ocultar toda una entrada de log.

Puede agregar filtros de datos al crear un origen de log o al editar un origen existente. Consulte Personalización de un origen definido por Oracle para obtener más información sobre la edición de orígenes de log existentes.

Si los datos de log se envían a Oracle Logging Analytics mediante la carga o recopilación a petición desde el almacén de objetos, el enmascaramiento se producirá en la nube antes de indexar los datos. Si está recopilando logs mediante el agente de gestión, los logs se enmascaran antes de que el contenido salga de las instalaciones.

Topics:

• Enmascaramiento de datos de log

• Enmascaramiento mediante hash de los datos de log

• Borrado de palabras clave o valores específicos de los registros de log

• Borrado de una entrada de log completa en función de palabras clave específicas

Enmascaramiento de datos de log

El enmascaramiento es el proceso de toma de un juego de texto existente y su sustitución por otro texto estático para ocultar el contenido original.

Si desea enmascarar cualquier tipo de información como el nombre de usuario y el nombre de host de las entradas de log:

1. Abra el menú de navegación y haga clic en Observación y gestión. En Logging Analytics, haga clic en Administración. Se abre la página Visión general de administración.

2. Los recursos de administración se muestran en el panel de navegación de la izquierda en Recursos. Haga clic en Orígenes.

3. Haga clic en el nombre del origen que desea editar. Se abre la página de detalles del origen. Haga clic en Editar para editar el origen.

4. Haga clic en el separador Filtros de datos y en Agregar.

5. Introduzca la máscara Nombre, seleccione Máscara como Tipo, introduzca el valor de Expresión Find y su valor de la expresión de sustitución asociado.

   El valor Expresión Find puede ser una búsqueda de texto sin formato o expresión regular estándar. El texto que coincide con Find Expression se sustituye por Replace Expression a lo largo de la entrada de log.

   Nombre	Expresión Find	Expresión de sustitución
   nombre de usuario de máscara	User=\S	User=confidential
   host de máscara	Host=\S+	Host=mask_host

   Nota
   
   

   La sintaxis de la cadena de sustitución debe coincidir con la sintaxis de la cadena que se está sustituyendo. Por ejemplo, un número no se debe sustituir por una cadena. Una dirección IP con el formato 123.45.67.89 se debe sustituir por 000.000.000.000 y no por 000.000. Si las sintaxis no coinciden, los analizadores se podrían romper.

6. Haga clic en Guardar.

Cuando vea las entradas de log enmascaradas para este origen de log, encontrará que Oracle Logging Analytics ha enmascarado los valores de los campos que ha especificado.

• Usuario = confidential

• Host = mask_host

Enmascaramiento mediante hash de los datos de log

Al enmascarar los datos de log con la máscara como se describe en la sección anterior, la información enmascarada se sustituye por una cadena estática proporcionada en la expresión de sustitución. Por ejemplo, cuando el nombre de usuario está enmascarado con la cadena confidential, el nombre de usuario siempre se sustituye por la expresión confidential en los registros de log de cada incidencia. Mediante la máscara de hash, puede aplicar hash al valor encontrado con un hash único. Por ejemplo, si los registros de log contienen varios nombres de usuario, cada nombre de usuario tiene un hash a un valor único. Por lo tanto, si la cadena user1 se sustituye por el hash de texto ebdkromluceaqie para cada incidencia, el hash aún se puede utilizar para identificar que estas entradas de log son para el mismo usuario. Sin embargo, el nombre de usuario real no estará visible.

Riego asociado: dado que se trata de un hash, no hay forma de recuperar el valor real del texto original enmascarado. Sin embargo, tomando un hash de cualquier cadena, llega al mismo hash cada vez. No olvide tener en cuenta este riesgo al enmascarar hash los datos de log. Por ejemplo, la cadena oracle tiene el hash md5 a189c633d9995e11bf8607170ec9a4b8. Cada vez que alguien intente crear un hash md5 de la cadena oracle, siempre será el mismo valor. Aunque no puede tomar este hash md5 y revertirlo para obtener la cadena original oracle, si alguien intenta adivinar y reenviar el hash del valor oracle, verá que el hash coincide con el de la entrada de log.

Para aplicar el filtro de datos de máscara de hash en los datos de log:

1. Vaya a la página Crear origen. Para conocer los pasos, consulte Creación de un origen.

2. También puede editar un origen que ya existe. Para conocer los pasos para abrir una página Editar origen, consulte Edición de un origen.

3. Haga clic en el separador Filtros de datos y en Agregar.

4. Introduzca la máscara Nombre, seleccione Máscara de hash como Tipo, introduzca el valor de Expresión Find y su valor de expresión de sustitución asociado.

   Nombre	Expresión Find	Expresión de sustitución
   Nombre de usuario de máscara	User=(\S+)s+	Hash de texto
   Puerto de máscara	Port=(\d+)s+	Hash numérico

5. Haga clic en Guardar.

Si desea utilizar la máscara de hash en un campo basado en cadena, puede utilizar el hash Texto o Numérico como campo de cadena. Sin embargo, si el campo de datos es numérico, como un entero, largo o punto flotante, debe utilizar el hash Numérico. Si no utiliza un hash numérico, el texto de sustitución hará que se rompan las expresiones regulares que dependan de este valor. El valor tampoco se almacenará.

Esta sustitución se produce antes de analizar los datos. Normalmente, cuando los datos se deben enmascarar, normalmente no está claro si siempre son numéricos. Por lo tanto, debe decidir el tipo de hash al crear la definición de la máscara.

Como resultado del enmascaramiento de hash de ejemplo anterior, cada nombre de usuario se sustituye por un hash de texto único y cada número de puerto se sustituye por un hash numérico único.

Puede utilizar la máscara hash al filtrar o analizar los datos de log. Consulte Filtrado de logs por máscara de hash.

Borrado de palabras clave o valores específicos de los registros de log

Oracle Logging Analytics permite buscar una palabra clave o un valor específicos en los registros de log y borrar la palabra clave o el valor coincidentes si esa palabra clave existe en los registros de log.

Tenga en cuenta el siguiente registro de log:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=192.0.2.1 dst=203.0.113.1 src_port=44796 dst_port=25 src-xlated ip=192.0.2.1 port=44796 dst-xlated ip=203.0.113.1 port=25 session_id=18738

Si desea ocultar la palabra clave device_id y su valor del registro de log:

1. Abra el menú de navegación y haga clic en Observación y gestión. En Logging Analytics, haga clic en Administración. Se abre la página Visión general de administración.

2. Los recursos de administración se muestran en el panel de navegación de la izquierda en Recursos. Haga clic en Orígenes.

3. Haga clic en el nombre del origen que desea editar. Se abre la página de detalles del origen. Haga clic en Editar para editar el origen.

4. Haga clic en el separador Filtros de datos y en Agregar.

5. Introduzca el filtro Nombre, seleccione Borrar cadena como Tipo e introduzca el valor de Expresión Find, como device_id=\S*

6. Haga clic en Guardar.

Cuando vea los registros de log de este origen, descubrirá que Oracle Logging Analytics ha borrado las palabras clave o los valores que ha especificado.

Borrado de una entrada de log completa en función de palabras clave específicas

Oracle Logging Analytics permite buscar una palabra clave o un valor específicos en los registros de log y borrar toda una entrada de log en un registro de log si existe esa palabra clave.

Tenga en cuenta el siguiente registro de log:

ns5xt_119131: NetScreen device_id=ns5xt_119131  [Root]system-notification-00257(traffic): start_time="2017-02-07 05:00:03" duration=4 policy_id=2 service=smtp proto=6 src zone=Untrust dst zone=mail_servers action=Permit sent=756 rcvd=756 src=198.51.100.1 dst=203.0.113.254 src_port=44796 dst_port=25 src-xlated ip=198.51.100.1 port=44796 dst-xlated ip=203.0.113.254 port=25 session_id=18738

Supongamos que desea borrar toda la entrada del log si incluye la palabra clave device_id:

1. Abra el menú de navegación y haga clic en Observación y gestión. En Logging Analytics, haga clic en Administración. Se abre la página Visión general de administración.

2. Los recursos de administración se muestran en el panel de navegación de la izquierda en Recursos. Haga clic en Orígenes.

3. Haga clic en el nombre del origen que desea editar. Se abre la página de detalles del origen. Haga clic en Editar para editar el origen.

4. Haga clic en el separador Filtros de datos y en Agregar.

5. Introduzca el filtro Nombre, seleccione Borrar entrada de log como Tipo e introduzca el valor Expresión Find, como .*device_id=.*

   Es importante que la expresión regular coincida con toda la entrada del log. El uso de .* delante y al final de la expresión regular garantiza que coincida con el resto de texto de la entrada de log.

6. Haga clic en Guardar.

Cuando vea las entradas de log para este origen de log, encontrará que Oracle Logging Analytics ha borrado todas las entradas de log que contengan la cadena device_id.

Si utiliza la opción Solo tiempo de análisis automático en la definición de origen en lugar de crear un analizador, el único campo que estará disponible para crear definiciones de campos ampliados será el campo Contenido de log original, ya que el analizador no rellenará ningún otro campo. Consulte Uso del analizador de tiempo automático.

Oracle Logging Analytics permite buscar los campos ampliados que está buscando. Puede buscar en función de cómo se ha creado, el tipo de campo base o con algún ejemplo de contenido del campo. Introduzca el contenido de ejemplo en el campo Buscar o haga clic en la flecha hacia abajo del cuadro de diálogo de búsqueda. En el cuadro de diálogo de búsqueda, en Tipo de creación, seleccione si los campos ampliados que está buscando están definidos por Oracle o definidos por el usuario. En Campo base, puede seleccionar una de las opciones disponibles. También puede especificar el contenido de ejemplo o la expresión del campo de extracción que se puede utilizar para la búsqueda. Haga clic en Aplicar filtros.

Temas:

• Uso de consultas de tiempo de ingesta en el origen

• Uso del campo de geolocalización para agrupar logs

• Adición de más datos a las entradas de log en el momento del procesamiento

• Uso de la función de sustitución para sustituir una expresión en un campo

Cuando una entrada de log coincide con la condición que haya definido, se rellena una etiqueta con esa entrada de log. Esa etiqueta está disponible en las visualizaciones del explorador de logs, así como para buscar y filtrar las entradas del log.

Puede utilizar etiquetas definidas por Oracle o creadas por el usuario en los orígenes. Para crear una etiqueta personalizada para etiquetar una entrada de log específica, consulte Creación de una etiqueta.

1. Para utilizar etiquetas en un origen existente, edite ese origen. Para conocer los pasos para abrir una página Editar origen, consulte Edición de un origen.

2. Haga clic en el separador Etiquetas.

3. Para agregar una etiqueta condicional, haga clic en Agregar etiqueta condicional.

   En la sección Condiciones:

   1. Seleccione el campo de log en el que desea aplicar la condición en la lista Campo de entrada.

   2. Seleccione el operador en la lista Operador.

   3. En el campo Valor de condición, especifique el valor de la condición que debe coincidir para aplicar la etiqueta.

      Nota
      
      

      Para agregar el grupo de logs como campo de entrada, proporcione su OCID para el valor en lugar del nombre.

   4. Para agregar más condiciones, haga clic en el icono Agregar condición y repita los pasos de 3a a 3c. Seleccione la operación lógica que se va a aplicar en varias condiciones. Seleccione entre Y, O, NO Y o NO O.

      Para agregar un grupo de condiciones, haga clic en el icono Condición de grupo y repita los pasos de 3a a 3c para agregar cada condición. Un grupo de condiciones debe tener más de una condición. Seleccione la operación lógica que se va a aplicar en el grupo de condiciones. Seleccione entre Y, O, NO Y o NO O.

      Para eliminar una condición, haga clic en el icono Eliminar condición .

      Para ver la lista de condiciones en forma de sentencia, haga clic en Mostrar resumen de condiciones.

4. En Acciones, seleccione una de las etiquetas ya disponibles definidas por Oracle o creadas por el usuario. Si es necesario, puede crear una nueva etiqueta haciendo clic en Crear etiqueta.

   Active la casilla de control Activado.

5. Haga clic en Agregar.

Oracle Logging Analytics permite buscar las etiquetas que desea buscar en el explorador de logs. Puede buscar en función de cualquiera de los parámetros definidos para las etiquetas. Introduzca la cadena de búsqueda en el campo Buscar. Puede especificar los criterios de búsqueda en el cuadro de diálogo de búsqueda. En Tipo de creación, seleccione si las etiquetas que está buscando están definidas por Oracle o definidas por el usuario. En los campos Campo de entrada, Operador y Campo de salida, puede seleccionar entre las opciones disponibles. También puede especificar el valor de condición o el valor de salida que se puede utilizar para la búsqueda. Haga clic en Aplicar filtros.

Ahora puede buscar datos de log en función de las etiquetas que ha creado. Consulte Filtrado de logs por etiquetas.

Uso de campos condicionales para enriquecer el juego de datos

Opcionalmente, si desea seleccionar cualquier campo arbitrario y escribir un valor en él, puede utilizar los campos condicionales. El relleno de un valor en un campo arbitrario con la funcionalidad de campos condicionales es muy similar al uso de consultas. Sin embargo, el uso de los campos condicionales proporciona más flexibilidad en las condiciones de coincidencia y es ideal para su uso cuando se trata con un pequeño número de condiciones - definiciones de relleno de campos. Por ejemplo, si tiene algunas condiciones para rellenar un campo, puede evitar crear y gestionar una consulta mediante campos condicionales.

Los pasos para agregar los campos condicionales son similares a los del flujo de trabajo anterior para agregar etiquetas condicionales.

• En el paso 3, en lugar de hacer clic en Agregar etiqueta condicional, haga clic en Agregar campo condicional. El resto del paso 3 para seleccionar las condiciones sigue siendo el mismo que el flujo de trabajo anterior.

• En el paso 4 anterior,

  1. En Campo de salida, seleccione en el menú los campos ya disponibles definidos por Oracle o creados por el usuario. Si es necesario, puede crear un nuevo campo haciendo clic en Crear nuevo campo.

  2. Introduzca un valor de salida para escribir en el campo de salida cuando la condición de entrada sea verdadera.

     Por ejemplo, el origen se puede configurar para asociar el valor de salida authentication.login para el campo de salida Security Category cuando el registro de log contiene el campo de entrada Method definido en el valor CONNECT.

     Active la casilla de control Activado.

Esto resulta especialmente útil cuando no esté seguro de cómo analizar los logs o de cómo escribir expresiones regulares para analizar los logs y solo desee transferir los datos de log no procesados para realizar análisis. Normalmente, un analizador define cómo se extraen los campos de una entrada de log para un determinado tipo de archivo log. Sin embargo, el analizador genérico de Oracle Logging Analytics puede:

• Detectar el registro de hora y la zona horaria de las entradas del log.

• Crear un registro de hora con la hora actual si las entradas del log no tienen ningún registro de hora.

• Detectar si las entradas de log son de varias líneas o de una sola línea.

• Registro de Hora:

  • Cuando una entrada de log no tiene un registro de hora, el analizador genérico crea y muestra el registro de hora en función de la hora en que se recopilaron los datos de log.

  • Cuando un registro de log contiene un registro de hora, pero la zona horaria no está definida, el analizador genérico utiliza la zona horaria del agente de gestión.

    Al utilizar Management Agent, si la zona horaria no se detecta correctamente, puede definir manualmente la zona horaria en los archivos de configuración del agente. Consulte Especificación manual de la zona horaria y la codificación de caracteres para archivos.

    Al cargar logs mediante la carga bajo demanda, puede especificar la zona horaria junto con la carga para forzar la zona horaria si no se puede detectar correctamente. Si está utilizando la CLI, consulte Referencia de línea de comandos: Logging Analytics - Upload. Si está utilizando la API de REST, consulte API de Logging Analytics - Upload.

  • Cuando un archivo log tiene registros de log con varias zonas horarias, el analizador genérico puede soportar hasta 11 zonas horarias.

  • Cuando un archivo log muestra algunas entradas de log con una zona horaria y algunas sin ella, el analizador genérico utiliza la zona horaria encontrada anteriormente para las que faltan zonas horarias.

  • Al realizar la ingesta de logs mediante el agente de gestión, si la zona horaria o el desplazamiento de zona horaria no se indican en los registros de log, Oracle Logging Analytics compara la hora de la última modificación del sistema operativo con el registro de hora de la última entrada de log para determinar la zona horaria adecuada.

• Varias líneas: cuando una entrada de log abarca varias líneas, el analizador genérico puede capturar el contenido de varias líneas correctamente.