プロキシウォッチプロキシパーサーサービスのデバッグログの設定

概要

このドキュメントでは、Secure Network Analytics(SNA)フローコレクタのプロキシウォッチ/プロキシ取り込みサービスのデバッグログを切り替える方法について説明します。

背景説明

SNAフローコレクタのプロキシ取り込み機能のプロキシパーサからデバッグログを有効にする必要がある場合があります。

プロキシ取り込み機能はSNA Flow Collectorにネイティブで、Cisco Webセキュリティアプライアンス(WSA)、McAfee、Bluecoat、およびSquidからのプロキシログ取り込みをサポートします。

このサービスを構成するには、ご使用のSecure Network Analyticsのバージョンに該当する『Proxy Servers』ガイドを参照してください。

設定に関するドキュメントは、製品サポートページ(https://www.cisco.com/c/en/us/support/security/stealthwatch/series.html)にあります。

プロキシパーサーデバッグを有効にする

ルートユーザとしてFlow Collectorコンソールにアクセスするか、ログイン後にsysadminがアクセスできるSystem Configurationメニューからルートシェルを開きます。

空の設定ファイルを touch /lancope/var/sw-flow-proxyparser/config/a.xml  コマンドを使用して、アップグレードを実行します。

741fc:~# touch /lancope/var/sw-flow-proxyparser/config/a.xml
741fc:~# 

注：コンフィギュレーションファイルには任意の名前を付けることができます。コンフィギュレーションファイルはアルファベット順にロードされるため、b.xmlで定義された設定は、a.xmlからロードされた設定と同じ設定を上書きします。

vi /lancope/var/sw-flow-proxyparser/config/a.xmlコマンドを使用してa.xmlファイルを編集し、設定例を入力します。

ヒント:viで挿入モードに入るには、「i」キーを押します。viで挿入モードを終了するには、'Esc'キーを押します。viで保存して終了するには「:wq」と入力します。終了してviの変更を破棄するには「:q!」と入力します。

<command-line>
<param>--loglevel</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

コンフィギュレーションファイルを保存したら、systemctl restart sw-flow-proxyparserコマンドを使用してプロキシパーサーサービスを再起動します

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

tail -f /lancope/var/sw-flow-proxyparser/logs/syslogprocessor.logコマンドを使用して、プロキシログ解析エラーがないかログファイルを監視します。

syslogprocessor.logログファイルに、受信したプロキシメッセージデータのエラーの原因を示す詳細な情報が追加されます。

デバッグメッセージが表示されない場合は、古いバージョンに必要なこの代替設定を使用します。

<command-line>
<param>--loglevels</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

プロキシパーサーデバッグを無効にする

rm -i /lancope/var/sw-flow-proxyparser/config/a.xmlコマンドを実行し、コンフィギュレーションファイルを削除するように求められたらyと入力します。

741fc:~# rm -i /lancope/var/sw-flow-proxyparser/config/a.xml 
rm: remove regular file '/lancope/var/sw-flow-proxyparser/config/a.xml'? y
741fc:~# 

systemctl restart sw-flow-proxyparserコマンドを使用して、プロキシパーサーサービスを再起動します。

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

デバッグ設定が削除されました。