Debuglogboeken configureren voor Proxy Watch Proxy Parser Service

Inleiding

In dit document wordt beschreven hoe u foutopsporingslogboeken kunt schakelen voor de Proxy Watch / Proxy Ingest Service in Secure Network Analytics (SNA) Flow Collector.

Achtergrondinformatie

Het is soms nodig om foutopsporingslogboeken in te schakelen vanuit de proxy-parser van de functie Proxy-invoer van de SNA Flow Collector.

De proxy Ingest-functie is afkomstig van SNA Flow Collector en ondersteunt het inslikken van proxylogbestanden van Cisco Web Security Appliance (WSA), McAfee, Bluecoat en Squid.

Als u deze service wilt configureren, raadpleegt u de juiste handleiding voor proxyservers voor uw versie van Secure Network Analytics.

Configuratiedocumenten vindt u op de pagina voor productondersteuning: https://www.cisco.com/c/en/us/support/security/stealthwatch/series.html

Proxyparser-foutopsporing inschakelen

Open de Flow Collector-console als rootgebruiker of open een rootshell in het menu Systeemconfiguratie dat toegankelijk is voor de sysadmin zodra deze is ingelogd.

Maak het lege configuratiebestand met de opdracht touch /lancope/var/sw-flow-proxyparser/config/a.xml.

741fc:~# touch /lancope/var/sw-flow-proxyparser/config/a.xml
741fc:~# 

Opmerking: het configuratiebestand kan elke naam hebben. Configuratiebestanden worden in alfabetische volgorde geladen, dus een instelling die is gedefinieerd in b.xml overschrijft dezelfde instellingen die zijn geladen vanuit a.xml.

Bewerk het a.xml-bestand met de opdracht vi /lancope/var/sw-flow-proxyparser/config/a.xml en voer het configuratievoorbeeld in.

Tip: Druk op de 'i'-toets om de invoegmodus in te voeren in vi. Druk op de toets 'Esc' om de invoegmodus in vi af te sluiten. Typ ":wq" om op te slaan en af te sluiten in vi. Typ ":q!" om wijzigingen in vi te stoppen en weg te gooien.

<command-line>
<param>--loglevel</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

Zodra het configuratiebestand is opgeslagen, start u de proxy-parserservice opnieuw op met de opdracht systemctl restart sw-flow-proxyparser

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

Controleer het logbestand op fouten in proxy-logparse met de opdracht tail -f /lancope/var/sw-flow-proxyparser/logs/syslogprocessor.log.

Meer beschrijvende informatie wordt toegevoegd aan het logbestand syslogprocessor.log dat de bron van de fout in de ontvangen proxy-berichtgegevens kan aangeven.

Als er geen foutopsporingsberichten worden weergegeven, gebruikt u deze alternatieve configuratie die vereist is voor oudere versies.

<command-line>
<param>--loglevels</param>
<param>com.lancope.sws.syslogprocess.handlers=DEBUG</param>
</command-line>

Proxyparser-foutopsporing uitschakelen

Voer de opdracht rm -i /lancope/var/sw-flow-proxyparser/config/a.xml uit en voer y in wanneer u wordt gevraagd het configuratiebestand te verwijderen.

741fc:~# rm -i /lancope/var/sw-flow-proxyparser/config/a.xml 
rm: remove regular file '/lancope/var/sw-flow-proxyparser/config/a.xml'? y
741fc:~# 

Start de proxy-parserservice opnieuw op met de opdracht systemctl restart sw-flow-proxyparser.

741fc:~# systemctl restart sw-flow-proxyparser.service 
741fc:~# 

De foutopsporingsconfiguratie is verwijderd.