プロキシウォッチプロキシパーサーサービスのデバッグログの設定

はじめに

このドキュメントでは、Secure Network Analytics(SNA)フローコレクタのプロキシウォッチ/プロキシ取り込みサービスのデバッグログを切り替える方法について説明します。

バックグラウンド情報

SNA Flow Collector Proxy Ingest機能のプロキシパーサーからデバッグログを有効にすることが必要になる場合があります。

プロキシ取り込み機能はSNA Flow Collectorに固有の機能で、Cisco Web Security Appliance(WSA)、McAfee、Bluecoat、およびSquidからのプロキシログ取り込みをサポートします。

このサービスを設定するには、ご使用のSecure Network Analyticsのバージョンに該当する『Proxy Servers』のガイドを参照してください。

設定に関するドキュメントは、次の製品サポートページで参照できます。https://www.cisco.com/c/en/us/support/security/stealthwatch/series.html

プロキシパーサーデバッグを有効にする

rootユーザとしてFlow Collectorコンソールにアクセスするか、ログイン後にsysadminがアクセスできる「System Configuration」メニューからルートシェルを開きます。

touch /lancope/var/sw-flow-proxyparser/config/a.xmlコマンドを使用して、空のコンフィギュレーションファイルを作成します。

741fc:~# touch /lancope/var/sw-flow-proxyparser/config/a.xml
741fc:~# 

注：コンフィギュレーションファイルには任意の名前を付けることができます。コンフィギュレーションファイルはアルファベット順にロードされるため、b.xmlで定義された設定は、a.xmlからロードされた同じ設定を上書きします。

vi /lancope/var/sw-flow-proxyparser/config/a.xmlコマンドを使用してa.xmlファイルを編集し、設定例を入力します。

ヒント:viで挿入モードに入るには「i」キーを押します。viで挿入モードを終了するには、[Esc]キーを押します。viで保存して終了するには「:wq」と入力します。終了してviの変更を破棄するには「:q!」と入力します。

<command-line>
<param>--loglevel</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

コンフィギュレーションファイルを保存したら、systemctl restart sw-flow-proxyparserコマンドを使用してプロキシパーサーサービスを再起動します

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

tail -f /lancope/var/sw-flow-proxyparser/logs/syslogprocessor.logコマンドを使用して、プロキシログ解析エラーがないかログファイルを監視します。

syslogprocessor.logログファイルに、受信したプロキシメッセージデータのエラーの原因を示すより詳細な情報が追加されています。

デバッグメッセージが表示されない場合は、古いバージョンに必要なこの代替設定を使用します。

<command-line>
<param>--loglevels</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

プロキシパーサーデバッグを無効にする

rm -i /lancope/var/sw-flow-proxyparser/config/a.xmlコマンドを実行し、コンフィギュレーションファイルを削除するように求められたら、yと入力します。

741fc:~# rm -i /lancope/var/sw-flow-proxyparser/config/a.xml 
rm: remove regular file '/lancope/var/sw-flow-proxyparser/config/a.xml'? y
741fc:~# 

systemctl restart sw-flow-proxyparserコマンドを使用してプロキシパーサーサービスを再起動します。

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

デバッグ設定が削除されました。