SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

CEF (Common Event Format) nedir; TR7'de hangi loglar CEF biçiminde gönderilebilir? ​

Kısa cevap

CEF (Common Event Format), ArcSight tarafından geliştirilen ve güvenlik sektöründe yaygın kullanılan log biçimidir (OpenText · Implementing ArcSight CEF): | ile ayrılmış sabit bir başlık (CEF:Version|Device Vendor|Device Product|Device Version|Device Event Class ID|Name|Severity|) ve ardından anahtar=değer alanlarından oluşan bir extension içerir; SIEM'lerin kolayca ayrıştırması için tasarlanmıştır. TR7'de üç yerde seçilir: vService'e atanan Logs profilinin Line Format listesinde CEF Format ve Manual CEF Format (vService erişim logları; HTTP vService'te CEF Format satırı WAF alanlarını da taşır), cihaz loglarının gönderildiği Log Forwarding profilinin Message Format alanında CEF (Common Event Format) ve AGS Log Forwarding profilinin Message Format alanında CEF.

TR7'de Nerede Kullanılır ​

NeredeAlan / etiketNe için
Load Balancer → Profiles → LogsLine Format → CEF FormatvService erişim logları; HTTP'de istek ayrıntıları ve WAF alanları (isWafAttack, wafInfo), L7 TCP'de bağlantı alanları (TCP CEF)
Aynı alanManual CEF FormatExtension alanlarını kendi seçtiği değişkenlerle kurma
Settings → General Settings → Log ForwardingMessage Format → CEF (Common Event Format)User, Notification, GTM ve Health Check logları; profil route table'ın Quarantine Log Forwarding alanında seçildiyse L4 DDoS karantina girişleri
AGS → Integrations → Log ForwardingMessage Format → CEF (Common Event Format)AGS denetim olayları

TR7'deki CEF Başlıkları ​

KaynakBaşlıkSeverity
Logs profili, CEF Format (HTTP)CEF:0|TR7|TR7 ASP|v1.9|<durum kodu>|<yanıt kaynağı>|5|name=<vService adı> …Sabit 5
Log Forwarding, CEFCEF:0|TR7|LogTransport|1.0|<log kaynağı>|<mesaj>|<severity>|sev=… …info 3, warning 5, error 7, critical 10
AGS Log Forwarding, CEFCEF:0|TR7|LogTransport|1.0|agsAuditLogs|<mesaj>|<severity>|…info 3, warning 5, error 7, critical 10

Sık Karıştırılan Noktalar ​

  • "CEF yalnızca WAF logları içindir." CEF vService erişim logları, cihaz logları ve AGS denetim olayları için de seçilebilir.
  • "CEF satırında saldırı varsa ayrı bir log türü gelir." Logs profilinin CEF Format satırı her istekte aynı başlıkla gelir; saldırı bilgisi isWafAttack ve wafInfo alanlarındadır, saldırı yoksa wafInfo boş bir nesnedir.
  • "Log Forwarding ile Logs profilindeki CEF aynı biçimdir." İkisi farklı başlık ve alanlar üretir; Log Forwarding'deki CEF cihaz logları içindir.

Dokümantasyonda nasıl yapılır

İlgili sorular