JSON を使用したソースの設定

例: 除外フィルタ

指定したキーワードを含むメッセージを除外するフィルタの例を以下に示します。

 "filters":[{
      "filterType":"Exclude",
      "name":"filter_auditd",
      "regexp":".*exe=\"\\/usr\\/sbin\\/crond\".*terminal=cron\\sres=success.*"
    }],

*("test")*, など、特殊文字を使用した文字列を含むメッセージを除外する場合は、JSON で正しく解釈されるように、特殊文字を二重エスケープする必要があります。

フィルタするメッセージの例:

*("test")*

標準正規表現 (UI を使用してフィルタを作成する場合の構文):

\*\("test"\)\*

JSON のフィルタ構文:

\\*\\(\"test\"\\)\\*

特殊文字を二重エスケープした JSON のフィルタ例:

{
    "source": {
        "name": "test",
        "filters": [{
            "filterType": "Exclude",
            "name": "Filter keyword",
            "regexp": "\\*\\(\"test\"\\)\\*"
        }]
    }
}

承認トークンを含むメッセージをマスクするフィルタの例を以下に示します。

フィルタするメッセージの例:

auth":"Basic cABC123vZDAwfvDldmlfZ568dWQ6vvhjER4dgyR33lP"

標準正規表現 (UI を使用してフィルタを作成する場合の構文):

auth"\s*:\s*"Basic\s*([^"]+)"

JSON のフィルタ構文:

auth\"\\s*:\\s*\"Basic\\s*([^\"]+)\"

特殊文字を二重エスケープした JSON のフィルタ例:

"filters":[{
      "filterType":"Mask",
      "name":"masktoken",
      "regexp":"auth\"\\s*:\\s*\"Basic\\s*([^\"]+)\"",
      "mask":"##TOKEN##"
    },

例: データ転送ルール

以下の JSON ソース設定では、フィルタ配列によってデータ転送ルールを指定しています。  JSON でデータ転送ルールを設定するためには、データ転送先の sinkId を取得する必要があります。詳細については、下記の「データ転送先の sinkId の取得」を参照してください。

{
     "api.version": "v1",
     "sources": [{
          "sourceType": "Syslog",
          "name": "example",
          "port": 514,
          "protocol": "TCP",
          "encoding": "UTF-8",
          "category": "example",
          "useAutolineMatching": false,
          "multilineProcessingEnabled": false,
          "timeZone": "UTC",
          "automaticDateParsing": true,
          "forceTimeZone": false,
          "defaultDateFormat": "dd/MMM/yyyy HH:mm:ss",
          "filters": [{ 
               "filterType": "Forward",
               "name": "example",
               "regexp": "(?s).*(?s)",
               "sinkId": 22
           }]  
     }]
}