13.2.4　定義内容（標準サポート外のWindowsイベントログを収集する場合）

JP1/Audit Management - Managerで標準サポート外となっているWindowsイベントログ（セキュリティに関する情報）を収集する場合に，［LOGTYPE］および［正規化パターン］で記述する内容についてそれぞれ説明します。

〈この項の構成〉

(1)　［LOGTYPE］の設定項目
(2)　［正規化パターン］の設定項目

(1)　［LOGTYPE］の設定項目

［LOGTYPE］で記述する内容について，次の表に示します。

表13‒9　［LOGTYPE］設定項目（標準サポート外のWindowsイベントログを収集する場合）
項番	項目名	説明
1	［LOGTYPE］	定義の始まりを示す［LOGTYPE］を指定します。
2	TYPE	ログの記述形式として，次の値を指定します。 WINEVENT Windowsイベントログ（セキュリティに関する情報）用の正規化ルールファイルでは「WINEVENT」が指定されています。
3	SEPARATE	ログの区切り文字の種別です。次のどちらかを指定します。 CRLF：改行コード（CR+LF） nothing：区切り文字なし
4	SECTION	必ず「1」を指定します。 WindowsイベントIDがセクション名として使用されます。
5	LOGSTART	必ず「0」を指定します。
6	ESCTYPE	ログ中でエスケープに使用する記号を指定します。次のどれかを指定します。 0：なし（エスケープしないログの場合） 1：「"」 2：「"」以外の記号なお，前後の文字が同じ場合は，「2」を指定できません。「0」を指定してください。この場合，エスケープ対象の文字列内に区切り文字が入らないようにしてください。
7	FRONTESC^※	ESCTYPEが「2」の場合，エスケープに使用する開始記号を指定します。開始記号には，1バイトの文字だけ指定できます。
8	REARESC^※	ESCTYPEが「2」の場合，エスケープに使用する終了記号を指定します。終了記号には，1バイトの文字だけ指定できます。
9	SKIPSPACE	連続する複数のスペースを一つのスペースとして処理するかどうかを指定します。SEPARATEが「CRLF」や「nothing」の場合，指定する必要はありません。

注: 項番9以外の各項目名および各項目名の設定値は省略できません。
注※: FRONTESCとREARESCには同一の文字は指定できません。

ページの先頭へ

(2)　［正規化パターン］の設定項目

［正規化パターン］で記述する内容について，次に示します。

(a)　［正規化パターン］の各項目の設定値

［正規化パターン］の各設定項目での設定値を次の表に示します。

表13‒10　［**正規化パターン**］の各項目の設定値（標準サポート外のWindowsイベントログ（セキュリティに関する情報）を収集する場合）
項番	番号	種別	正規化ルール	項目1	項目2	次番号1	次番号2	「正規化ルール」に「*」を指定したときの「項目1」の範囲
1	1〜の通番	AuditLogID^※1	「*」	値や文字列を設定します。	×	次の番号	×	0〜9999の整数
2		MessageID	「W」	次に示すWindowsイベントログの項目名を設定します。 WinEventID：イベントID	×	次の番号	×	−
3		MessageDate	「W」	次に示すWindowsイベントログの項目名を設定します。 WinEventDate：イベント発生日時	×	次の番号	×	−
4		ProgramName	「*」	値や文字列を設定します。	×	次の番号	×	63バイト以内の文字列
5		ComponentName	「*」	値や文字列を設定します。	×	次の番号	×	63バイト以内の文字列
5		ComponentName	「W」	次に示すWindowsイベントログの項目名を設定します。 WinEventSource：イベントソース名	×	次の番号	×	−
6		ProcessID^※1	「*」	値や文字列を設定します。	×	次の番号	×	「-1」
7		PlaceInfo	「W」	次に示すWindowsイベントログの項目名を設定します。 WinEventPlace：コンピュータ名	×	次の番号	×	−
8		EventCategoryName	「*」	次に示す文字列のどれかを設定します。 StartStop Authentication AccessControl ConfigurationAccess Failure LinkStatus ExternalService ContentAccess Maintenance AnomalyEvent ManagementAction	×	次の番号	×	−
9		EventResultName	「*」	次に示す文字列のどれかを設定します。 Success Failure Occurrence	×	次の番号	×	−
9		EventResultName	「W」	次に示すWindowsイベントログの項目名を設定します。 WinEventType：Windowsイベントログの種類	×	次の番号	×	−
10		SubjectInfo	「*」	値や文字列を設定します。	×	次の番号	×	256バイト以内の文字列
10		SubjectInfo	「C」	次に示すカテゴリ名のどれかを設定します。 "subj:euid"：実行ユーザ "subj:uid"：アカウント識別子 "subj:pid"：プロセスID	項目名称	次の番号	×	−
11		PeculiarInfo^※2	「*」	値や文字列を設定します。	×	次の番号	×	1,024バイト以内の文字列
			「A」	付加するタグ値	項目名称			−
			「E」	×	×
			「L」	×	×

（凡例）

×：指定しない。区切りの「:」も指定しない。

−：該当なし

注※1

「項目1」に次の値を指定した場合，監査ログ管理画面上は空白が表示されます。

・AuditLogID：0

・ProcessID：-1

注※2

PeculiarInfoは，「E」を指定する場合，最後に定義する必要があります。

(b)　［正規化パターン］の設定項目

［正規化パターン］の設定項目を次の表に示します。

表13‒11　［**正規化パターン**］設定項目（標準サポート外のWindowsイベントログ（セキュリティに関する情報）を収集する場合）
項番	項目名	説明
1	［正規化パターン］	定義の始まりを示す［正規化パターン］を指定します。 WindowsイベントIDを正規化パターン名として指定します。
2	番号	正規化ルールを適用する順番を1からの整数で指定します。
3	種別	正規化の対象となるデータ種別を指定します。指定値を次に示します。これらの値はすべて必須項目です。 AuditLogID 監査ログの通番を設定する場合に指定します。 MessageID 監査ログのメッセージIDを設定する場合に指定します。 MessageDate 監査ログの発生日時を設定する場合に指定します。 ProgramName^※1 監査ログの発生プログラム名を設定する場合に指定します。 ComponentName^※1 監査ログの発生コンポーネント名を設定する場合に指定します。 ProcessID 監査ログの発生プロセスIDを設定する場合に指定します。 PlaceInfo 監査ログの発生場所を設定する場合に指定します。 EventCategoryName 監査ログのカテゴリ名を設定する場合に指定します。 EventResultName 監査ログの結果を設定する場合に指定します。 SubjectInfo 監査ログを発生させたユーザ名を設定する場合に指定します。 PeculiarInfo^※2 監査ログの詳細情報を設定する場合に指定します。
4	正規化ルール	正規化のルールを指定します。指定できる値を次に示します。「W」項目1で定義するWindowsイベントログの項目名を使用します。「」項目1で定義する値または文字列を使用します。「C」項目1で定義するカテゴリの値を使用します。「A」項目1と項目2の値を使用します。例えば，項目1で「"from：ipv4="」，項目2で指定した項目名称の値が「1.2.3.4」の場合，「from：ipv4=1.2.3.4」の値がデータベースに格納されます。「E」取得したメッセージのうち，利用していない部分をそのまま使用します。正規化ルールで「L」を指定した場合，「E」は指定できません。「L」取得したメッセージのすべてを使用します。正規化ルールで「E」，「」を指定した場合，「L」は指定できません。
5	項目1	項番4の正規化ルールに設定する値によって指定する情報が変わります。正規化ルールに設定した値の説明に記載されている情報を設定します。
6	項目2
7	次番号1	適用する正規化ルールの次のkey値（項番1）を指定します。最後の正規化ルールの場合は「0」を指定します。
8	次番号2	適用する正規化ルールの次のkey値（項番1）を指定します。最後の正規化ルールの場合は「0」を指定します。

注: 各項目は「:」で区切ります。
注※1: 「ProgramName」は「ComponentName」の前に定義してください。
注※2: 「PeculiarInfo」の場合で，かつ正規化ルールでの設定値が「E」の項目は最後に定義してください。

ページの先頭へ

13.2.4 定義内容（標準サポート外のWindowsイベントログを収集する場合）

(1) ［LOGTYPE］の設定項目

(2) ［正規化パターン］の設定項目

(a) ［正規化パターン］の各項目の設定値

(b) ［正規化パターン］の設定項目

13.2.4　定義内容（標準サポート外のWindowsイベントログを収集する場合）

(1)　［LOGTYPE］の設定項目

(2)　［正規化パターン］の設定項目

(a)　［正規化パターン］の各項目の設定値

(b)　［正規化パターン］の設定項目