Использование ЕдиногоАгента для загрузки логов

Использование ЕдиногоАгента для загрузки логов

Этот сценарий описывает настройку мониторинга логов с помощью ЕдиногоАгента для автоматического обнаружения и загрузки логов с ваших хостов. Вы узнаете, как настраивать источники логов, создавать правила загрузки и применять фильтрацию и маскирование данных, чтобы собирать только нужные логи и защищать конфиденциальную информацию. ЕдиныйАгент обеспечивает автоматическое обнаружение логов для многих распространённых источников, а также позволяет добавлять пользовательские источники и точно настраивать правила сбора под ваши задачи мониторинга.

Целевая аудитория

Эта статья предназначена для администраторов Ключ-АСТРОМ, настраивающих мониторинг логов с помощью ЕдиногоАгента.

Сценарий

Вы администратор Ключ-АСТРОМ и хотите отслеживать, возникают ли системные ошибки на хостах, которые вы мониторите.

Перед началом работы

Убедитесь, что на вашем хосте установлен ЕдиныйАгент.

Проверьте статус функции Аналитика логов. Мониторинг логов включён по умолчанию. Если конфигурация была изменена, убедитесь в следующем:

• В вашей среде Ключ-АСТРОМ: настройки ЕдиногоАгента. Это не конфигурация загрузки логов, а параметр включения функции. Он включён по умолчанию, поэтому в большинстве случаев его не нужно менять.

Ниже приведены лучшие практики загрузки и настройки источников логов в масштабе:

• Учитывайте область действия, иерархию и переопределение. Подробнее см. в разделе Среда настройки Ключ-АСТРОМ.
• Используйте встроенный дашборд Обзор загрузки логов для мониторинга объёмов логов.
• Ознакомьтесь с разделом Готовые дашборды, чтобы узнать о дашборде Обзор загрузки логов.

Шаги

1. Просмотрите автоматически обнаруженные источники логов для вашего хоста

Обязательно

• Перейдите в раздел Хосты Classic.
• Выберите запись вашего хоста.
• В меню справа выберите Источники логов.
• Просмотрите автоматически обнаруженные источники логов, чтобы убедиться, что ЕдиныйАгент обнаруживает логи, и определить дополнительные источники, которые, возможно, потребуется настроить вручную на следующем шаге.

2. Добавьте пользовательские источники логов

Необязательно

Выполните следующие шаги, чтобы добавить пользовательский источник логов:

• Перейдите в Настройки > Сбор и захват > Мониторинг логов > Пользовательские источники логов.
• Выберите Добавить пользовательский источник логов.
• Укажите Имя правила.
• Необязательно: выберите Группы процессов, которые нужно связать с выбранными источниками логов. Если оставить это поле пустым, ваши логи будут привязаны к хосту.
• Выберите тип источника логов: Путь к логу или Журнал событий Windows. Для логов, импортируемых из пути, выберите переключатель Разрешить бинарное содержимое (для бинарных логов) или используйте раскрывающееся меню Кодировка, чтобы выбрать подходящую кодировку символов (для небинарных логов).
• Выберите Добавить путь к пользовательскому источнику логов.
• В поле Путь введите путь для выбранного типа источника логов и выберите Добавить путь.
• Выберите Сохранить изменения.

См. раздел Настройка пользовательского источника логов, чтобы добавить источники, которые не были обнаружены автоматически. Рекомендуется добавлять пользовательские источники логов, если настройка автоматического обнаружения невозможна.

3. Настройте правила загрузки логов

Обязательно

Определите правила загрузки логов с помощью сопоставлений, чтобы контролировать, какие логи собираются и отправляются в хранилище Ключ-АСТРОМ. Подробнее см. в разделе Правила загрузки логов. Выполните следующие шаги, чтобы настроить правило загрузки логов:

• Перейдите в Настройки > Сбор и захват > Мониторинг логов > Правила загрузки логов.
• Выберите Добавить правило и укажите имя для вашей конфигурации. По умолчанию кнопка Включить в хранилище включена, что означает, что источники логов, настроенные этим правилом, будут перенаправлены в Ключ-АСТРОМ. Либо можно выбрать тип правила Исключить из хранилища.
• Выберите Добавить условие, выберите Атрибут сопоставления и введите соответствующее Значение. Каждое сопоставление может иметь несколько значений, и каждое правило может иметь несколько сопоставлений. Несколько сопоставлений можно включить в одно правило.
• Выберите Добавить сопоставление.
• Выберите Сохранить изменения. Все логи, загруженные правилами загрузки, потребляют лицензию на загрузку.

4. Фильтрация логов на периферии

Необязательно

Создайте правила загрузки с сопоставлениями по атрибутам log.level или content, как описано в разделе Правила загрузки логов. Это помогает сократить объём данных и сосредоточиться на релевантных логах. Например, можно:

• Фильтровать по уровню записи лога, чтобы собирать только логи предупреждений и ошибок.
• Фильтровать по содержимому лога, чтобы включать или исключать логи, содержащие определённые фразы.

5. Маскирование конфиденциальных данных до их попадания в Ключ-АСТРОМ

Необязательно

Настройте правила маскирования конфиденциальных данных логов, таких как имена пользователей, адреса электронной почты или параметры URL. Дополнительную информацию о том, как выбрать данные, которые нужно защитить, и как применять правила маскирования, см. в разделе Маскирование конфиденциальных данных в ЕдиномАгенте.

6. Маскирование данных при загрузке

Необязательно

Настройте правила маскирования конфиденциальных данных во время загрузки. Это обеспечивает усиленную защиту данных, поскольку маскированные данные не сохраняются. Дополнительную информацию см. в разделе Обработка логов или ознакомьтесь со всеми доступными методами маскирования конфиденциальных данных.

7. Расширенные настройки

Необязательно

Перейдите в Настройки > Сбор и захват > Мониторинг логов > Расширенные настройки логов. Подробные рекомендации по конфигурации см. в разделе Расширенное руководство по настройкам логов. Эти настройки обычно требуются, когда:

• У вас среды с большим объёмом логирования, требующие настройки производительности.
• Ваши файлы логов используют нестандартные форматы или шаблоны ротации.
• Вам нужно устранить неполадки сбора логов ЕдинымАгентом.