topic Re: Universal forwarderからのログの受信設定について in Splunk Enterprise

Universal forwarderからのログの受信設定について

dum0785 — Sun, 12 Aug 2018 14:03:06 GMT

現在Universal forwarderからindex&Search用Splunkへファイアウォールのログを転送しています。
受信側（index&Search）にsourcetypeとindexを指定してログを取り込むよう設定したのですが、
どのファイルにどのように設定を記載すればよいでしょうか？

Universal forwarder：172.16.11.11
Splunk indexer：172.16.11.12
受信ポート：9997
指定したいsourcetype名：FW_Traffic
指定したいindex名：firewall

ご教示お願い致します。

Re: Universal forwarderからのログの受信設定について

HiroshiSatoh — Tue, 29 Sep 2020 20:54:16 GMT

Universal forwarder（以下UF）からのログのインデックスやソースタイプの指定はUF側で行います。Splunkサーバ側で設定するケースはサーバに送られてきたログのソースタイプ等を更に分類するような特殊なケースになります。

以下、設定ファイルのサンプルです。設定する場所はUFの(splunk_dir)/etc/system/localになります。ファイルが存在しない場合は追加して下さい。

inputs.conf
[monitor:///data/output_log/NW/_buffer/firewall_syslog/firewall_syslog.log]
disabled = false
index = firewall
sourcetype = FW_Traffic

コードがUTF-8以外の場合はコード変換が必要になります。props.confにソースタイプを設定します。

props.conf
[FW_Traffic]
CHARSET = SHIFT-JIS ※ログがSJISの場合

Re: Universal forwarderからのログの受信設定について

dum0785 — Mon, 13 Aug 2018 07:25:08 GMT

ご回答ありがとうございます！！