7.7.5.1 概述
多源日志接入模块，可收集、解析、转发多种安全设备日志。您可以在“多源日志接入”模块创建日志采集探针、配置日志采集方式，并可对接入的设备进行管理，包括增删改查厂商、设备等；您还可以对接入的日志表进行查询、新建、下发、删除等操作。
7.7.5.2 准备工作
如果您想正常使用多源日志接入功能，需确保：
已开通企业版CSOC实例且实例正常（即实例不存在欠费、到期等状态）。
至少为1项资产分配了日志审计授权，具体操作可参见切换服务规格。
已创建或已存在可用VPC。
创建日志采集探针时，需绑定VPC，所以您需要确保存在可用的VPC，否则请到“专有网络 VPC”开通，开通操作参见《专有网络VPC用户指南》。
7.7.5.3 配置流程说明
(1)创建探针。
在“日志审计 > 多源日志接入 > 接入探针”页面创建日志采集探针，绑定VPC。
(2)（可选）新建日志表。
如果您想创建专家模式的日志接入模板，可事先创建日志存储表。
(3)新建接入模板（基础模式）、新建接入模版（专家模式）。
在“日志审计 > 多源日志接入 > 接入模板”页面为设备创建日志接入模板。
(4)新建设备。
在“日志审计 > 多源日志接入 > 接入设备”页面创建日志接入的设备信息，在接入设备中绑定日志采集探针、配置日志接入方式等。
(5)启动设备。
设备启动成功后，CSOC 便可正常采集到设备发送到探针的日志信息了。
(6)查看日志审计信息。
在启动设备后，探针开始采集设备上的日志信息，并根据接入模板中的解析规则解析日志。您可以在“日志审计”的“审计概览”页面查看该设备的日志审计信息，在“日志检索”页面查询改设备的原始日志解析结果，在“审计策略”页面配置针对此设备的规则策略。
7.7.5.4 接入探针
1.创建探针
简介
您需要通过“创建探针”创建日志采集探针，该探针在与设备绑定后，将用于采集该设备上的日志信息。
前提条件
已创建专属网络VPC或存在可用的VPC。
限制与指导
同一VPC只可创建一个探针。
操作步骤
(1)登录CSOC控制台。
(2)进入“日志审计 > 多源日志接入 > 接入探针”页面。
(3)单击“创建探针”，弹出“新建探针”对话框。
(4)配置参数。
(5)单击“确定”，返回“接入探针”页面。
请等待一会，探针状态从“创建中”变为“可用”时表示探针创建成功。您可以单击刷新图标
刷新探针的状态。
2.编辑探针
您可以编辑探针的名称和描述信息，但不可更改绑定的VPC和子网信息。
(1)登录CSOC控制台。
(2)进入“日志审计 > 多源日志接入 > 接入探针”页面。
(3)找到要修改的探针，单击操作列的“编辑”，弹出“编辑探针”对话框。
(4)修改探针名称和描述信息。
探针名称唯一，不允许重复。
(5)单击“确定”，弹出“探针编辑成功”的提示信息，修改成功。
3.删除探针
已绑定设备的探针不允许删除，请您先删除该设备，删除操作可参见编辑 / 删除设备。
(1)登录CSOC控制台。
(2)进入“日志审计 > 多源日志接入 > 接入探针”页面。
(3)找到要删除的探针，单击操作列的“删除”，弹出“删除探针”对话框。
(4)单击“确定”，删除成功。
探针删除成功后，绑定的VPC被释放，您可创建新的探针绑定VPC。
7.7.5.5 表管理
1.简介
“表管理”中包含2种类型的日志表：
在配置日志接入模板-基础模式时，系统根据勾选的字段后台自动生成的日志表，此类型日志表不允许编辑和删除；在删除相应的接入模板后，系统自动删除对应的日志表。
用户自定义的日志表，在下发成功后可在配置日志接入模板-专家模式中被设置为日志的存储表；此类型日志表允许编辑和删除。自定义的日志表可灵活设置字段、字段类型等信息。
2.新建日志表
简介
您可以自定义日志表，在下发成功后可在配置日志接入模板-专家模式中被设置为日志的存储表。自定义的日志表可灵活设置字段、字段类型等信息。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，进入多源日志接入页面。
(3)单击“表管理”页签，进入“表管理”页面。
(4)单击“新建日志表”，弹出“新建日志表”对话框。
(5)配置参数后，单击“确定”，日志表创建成功。
“表管理”页面新增创建成功的日志表信息，“状态”显示为“待下发”。
后续操作
下发日志表
3.下发日志表
简介
日志表在创建成功后，您必须执行下发操作，后台才能创建出指定的数据库表。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，进入多源日志接入页面。
(3)单击“表管理”页签，进入“表管理”页面。
(4)找到目标表，单击操作列的“下发”，弹出“下发成功”提示信息，“状态”列显示“下发中”。
下发成功后，后台创建对应的日志表，“状态”列显示“已下发”。
4.编辑 / 删除日志表
(1)登录CSOC控制台。
(2)进入“日志审计 > 多源日志接入 > 表管理”页面。
(3)编辑或删除日志表。
编辑日志表信息：单击目标表操作列的“编辑”，编辑该日志表信息。
删除日志：单击目标表操作列的“删除”，删除该日志表。
5.查看日志表
简介
所有下发成功、在后台已创建出指定的数据库表的日志表都支持查看日志表基本信息和字段内容。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，进入多源日志接入页面。
(3)单击“表管理”页签，进入“表管理”页面。
(4)找到目标表，单击操作列的“查看”，弹出“查看”对话框，您可以在对话框中查看日志表名、存储天数、字段等信息。
7.7.5.6 接入模板
1.简介
您可以通过“新建接入模板”或复制已有的模板为设备配置日志接入、解析的模板。系统支持两种日志解析模式：基础模式和专家模式。
2.新建接入模板（基础模式）
简介
“基础模式”支持少量的解析方式，建议对logstash了解较少的用户使用此模式，或针对简单的日志格式接入时使用此模式。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)单击“接入模板”页签，进入“接入模板”页面。
(4)单击“新建”，弹出“请选择模板类型”对话框。
(5)选择基础模式，进入新建模板页面。
(6)配置解析参数。
a.在解析页面，可根据需要自定义模板名称，设置日志解析方式、日志样例和解析规则。
解析方式支持3种：grok格式解析、json格式解析、mutate解析。
不同解析方式的解析规则有所不同，配置完解析方式、日志样例、解析规则后，可以单击“测试”查看解析结果。
b.（可选）单击“继续添加解析”，添加新的解析方式和规则等。
c.完成后单击“下一步”。
(7)设置日志的建表字段。
a.勾选建表字段。
勾选后，系统将以这些字段去创建数据库表，用来存储该类型的日志，您可以在“多源日志接入 > 表管理”查看生成的对应的日志表，同时这些字段将在“日志审计 > 日志检索”页面的“可选字段”、“日志详情”区域展示。
b.（可选）添加字段描述。
c.配置完成后单击“下一步”。
(8)配置日志转发策略。
日志转发方式选择clickhouse（存为审计），单击“添加转发”。
clickhouse（存为审计）适用于外发给第三方安全运营中心、仅存储审计日志，为日志分析做准备的场景。
(9)单击“保存”，接入模板创建成功。
后续操作
日志接入模板创建成功后，你可以新建设备，在设备中绑定日志接入解析模板。
3.新建接入模版（专家模式）
简介
“专家模式”支持较多的解析方式，用户可自定义logstash配置文件中的filter模块。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，进入多源日志接入页面。
(3)单击“接入模板”页签，进入“接入模板”页面。
(4)单击“新建”，弹出“请选择模板类型”对话框。
(5)选择专家模式，进入新建模板页面。
(6)配置解析参数。
根据需要自定义模板名称、填写日志解析配置，完成后单击“下一步”。
(7)配置日志转发策略
您可以通过“添加转发规则”添加多条转发规则。
a.配置日志转发目的的参数。
b.单击“添加转发规则”，日志转发规则配置成功。
如果您只添加一条转发规则，在配置完成后可直接跳转至步骤（8）；如果还需添加多个转发规则或修改已有的日志转发规则，可参考步骤c、步骤d。
c.（可选）如果需要配置多个转发规则，可重复步骤a、步骤b中的操作，选择将不同类型的日志存储到不同的表中。
d.（可选）如果您在保存前想重新修改日志转发规则，可在已添加的转发规则右侧单击
，并在参数配置区域修改参数，修改完后单击“确认”，修改成功。
e.（可选）如果您在保存前想删除某条日志转发规则，可在该条规则右侧单击
。
(8)单击“保存”，接入模板创建成功。
后续操作
日志接入模板创建成功后，你可以新建设备，在设备中绑定日志接入解析模板。
4.复制接入模板
简介
您可以通过“复制”的方式快速创建日志接入模板。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，进入多源日志接入页面。
(3)单击“接入模板”页签，进入“接入模板”页面。
(4)找到要复制的模板，单击操作列的“复制”，进入相应的配置界面。
根据源接入模板的类型（基础模式或专家模式），参见新建接入模板（基础模式）、新建接入模版（专家模式）完成配置。
复制的模板名称默认添加“复制_当前时间戳”字样。
5.编辑 / 删除接入模板
简介
您可以编辑、删除不需要的日志接入模板；删除模板后，系统自动删除对应的日志表配置。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)单击“接入模板”页签，进入“接入模板”页面。
(4)编辑或删除模板。
单击目标接入模板操作列的“编辑”，编辑该接入模板信息。
单击目标接入模板操作列的“删除”，删除该接入模板。
7.7.5.7 接入设备
1.新建设备类型
简介
您可以通过创建日志接入设备的类型，将某些属性或用途相同的设备归类管理。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)在左侧“设备类型”区域，单击“新建设备类型”，弹出“新建设备类型”对话框。
(4)根据下表中的参数说明配置参数信息后，单击“确定”，新增设备类型成功。
新增成功的设备类型显示在左侧“设备类型”区域。
后续操作
您可以再添加子设备类型（参见新建设备子类型）；或直接添加新的设备进行管理（参见新建设备）。
2.新建设备子类型
简介
您可以为已有的设备类型添加子类型，以进行更细致的设备管理。
限制与指导
子类型下不允许再创建下一级子类型。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)鼠标悬停在目标设备类型后的上，在下拉选项中选择“增加子类型”，弹出“新建设备类型”对话框。
(4)根据下表中的参数说明配置参数信息后，单击“确定”，新增设备类型成功。
新增成功的设备类型显示在左侧父设备类型下。
后续操作
您可以添加新的设备进行管理（参见新建设备）。
3.编辑 / 删除设备类型
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)编辑或删除设备类型。
鼠标悬停在目标设备类型后的上，在下拉选项中选择“编辑类型”，可编辑该设备类型信息。
鼠标悬停在目标设备类型后的上，在下拉选项中选择“删除类型”，可删除该设备类型。
4.新建设备
简介
您可以通过“新建设备”添加被采集日志的设备信息并绑定日志采集探针、日志接入解析模板，新建成功后可以启动设备，系统将使用该探针采集此设备的日志信息并根据解析规则解析。
前提条件
请确保日志采集探针已创建成功，具体操作见创建探针。
请确保已完成新建接入模板（基础模式）或新建接入模版（专家模式）。
（可选）新建设备前，您可以先为此设备新建设备类型、新建设备子类型。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)（可选）单击设备类型，选择要在哪个设备类型下创建设备。
(4)单击“新建设备”，弹出“新建设备”对话框。
(5)根据下表中的参数说明配置参数信息后，单击“确定”完成新建设备操作。
后续操作
你可以启动设备进行日志采集。
5.编辑 / 删除设备
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)编辑或删除设备。
编辑设备信息：单击目标设备操作列的“编辑”，编辑该设备信息。
删除设备：单击目标设备操作列的“删除”，删除该设备。
6.启动设备
简介
通过启动设备，探针开始采集设备上的日志信息，CSOC 方可正常采集到该租户VPC内的设备发送到探针的日志信息了。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)在目标设备的“操作列”，单击“启动”，设备开始启动。
操作结果
设备启动成功后，探针开始采集设备上的日志信息，并根据接入模板中的解析规则解析日志。您可以在“日志审计”的“审计概览”页面查看该设备的日志审计信息，在“日志检索”页面查询改设备的原始日志解析结果，在“审计策略”页面配置针对此设备的规则策略。
7.停止设备
简介
您可以通过“停止”操作停止设备的日志采集和接入。
前提条件
已启动设备。
操作步骤
(1)登录CSOC控制台。
(2)单击左侧导航栏的“日志审计 > 多源日志接入”，默认进入“接入设备”页面。
(3)在已启动的目标设备的“操作列”，单击“停止”即可。
，在弹出的对话框中可对事件等级（严重、可疑、提醒）进行过滤统计展示。
，在弹出的对话框中可对漏洞等级（紧急、高危、中危）进行过滤统计展示。
，弹出“新建分组”对话框。
上，在下拉选项中选择“删除分组”或“编辑分组”，在弹出的对话框中确认即可。
，可将当前页面的信息导出到本地。
刷新探针的状态。
或
，即可完成修改。
：启用白名单策略规则，白名单创建后即刻生效，系统不再产生告警。
：禁用此策略，白名单规则不生效。
，可将当前状态下的封禁列表信息以.csv格式导出到本地。
趋势图。
或
，可将对应的字段设置为SOL检索语句，同时页面刷新展示。
“=”。：表示
“!=”。
，展开日志详情；再单击字段前的
，可查看字段占比信息。
，展开日志详情；再单击
或
，可将对应的字段设置为SOL检索语句，同时页面刷新展示。
“=”。：表示
“!=”。
，可将当前展示的日志下载到本地。
或
关闭此策略。
刷新探针的状态。
，并在参数配置区域修改参数，修改完后单击“确认”，修改成功。
。
