1. No category

Correlog
Server
Vigtig information om Correlog Server
Draware A/S beskriver her der vigtigste elementer du skal være klar over ved installationen og
driften af din Correlog Server. Det er VIGTIGT for en kontinuerlig drift uden problemer at du har
læst og gjort dig bekendt med alle punkterne i dette dokument. Du er altid velkommen til at
kontakte Draware A/S på www.draware.dk, [email protected] eller på telefon +45 45 76 20 21. God
fornøjelse med Correlog!
1-1-2015
Nyttige informationer om brugen af Correlog
Indhold
Hvordan virker min licens til Correlog? ............................................................................................................. 2
Hvad er nyt i den nyeste version af Correlog? .................................................................................................3
Hvilke services kører Correlog under? ............................................................................................................. 4
Hvordan opgraderer jeg Correlog til en nyere version? ..................................................................................5
Hvordan opretter jeg en support sag? ............................................................................................................ 6
Hvor finder jeg dokumentation til Correlog.....................................................................................................7
Hvor meget fylder mine log data? ................................................................................................................... 8
Hvordan opretter jeg en ny log node?............................................................................................................ 10
Hvad er arbejdsgangen i Correlog?.................................................................................................................. 11
Kan jeg flytte Correlog installationen til en anden maskine? ........................................................................ 12
Skal jeg tage backup af Correlog?................................................................................................................... 13
Hvordan konfigurerer jeg Correlog agenten? ................................................................................................ 14
Hvilken gadget skal jeg vælge for at vise mine data? .................................................................................... 15
Hvordan virker søgningen i Correlog? ............................................................................................................ 16
Hvad Correlog professorternings funktionen ”Analyze”? ............................................................................ 18
Hvad er en adaptor? ....................................................................................................................................... 20
Hvad er en Thread? .......................................................................................................................................... 21
Hvordan formaterer jeg mine e-mails fra Correlog? ...................................................................................... 22
Hvordan søger jeg i ældre data? ..................................................................................................................... 23
© 2014 Draware A/S
Side 1 af 24
www.draware.dk
Hvordan virker min Correloglicens?
Din Correlog licens ligger i filen AUTH.TXT som skal kopieres til folderen
Correlog\config. Derefter skal du genstarte Correlog services. Når du ser på web
interfacet står der i nederste linje hvem licensen er udstedt ti log hvornår den
løber ud. Din licens dækker følgende:
1. Et max antal noder som sender logs ind i Correlog
2. Et max antal brugere som kan registreres i Correlog
3. Et max antal bytes som kan arkiveres pr. dag.
Det er udelukkende antallet af noder der betales for men det er gratis at få en ny
licens der dækker et større antal brugere og / eller større mængde af data der kan
arkiveres pr. dag.
Licensbetingelserne kan du se i filen CO-LICENSE.DPF der ligger i S-DOC folderen.
Proceduren for at registrere din licens i din Correlog installation finder du i
dokumentet license-procedure.pdf der leveres med din licens.
Bemærk at din Correlog licens er en ejelicens hvor til der hvert år skal betales et
maintenance fee på 20% som dækker teknisk support og produktopdateringer.
Hvis du gerne vil se hvor belastet din Correlog server er, skal du bruge følgende
gadget kombinationer i dit Dashboard:
1.
2.
3.
4.
5.
Gauge-Loading-Gadget / Device Delay / Summary
Gauge-Loading-Gadget / Correlstion Delay / Summary
Gauge-Loading-Gadget / Qued-Actions / Summary
Gauge-Loading-Gadget / Daily Messages / Summary
Graph-Message-Rate-Gadget / Summary
© 2014 Draware A/S
Side 2 af 24
www.draware.dk
Hvad er nyt i den nyeste version af Correlog?
Hvis du går til http://support.correlog.com og klikker på ” Intermediate Release:
CorreLog Server Version 5.4.4” under announcements, så vil du se en ligge tekst
fil kaldet CHANGES.txt og her står hvad der er nyt i den nyeste version:
VERSION 5.4.4 RELEASE NOTES, Release Nov 1st, 2014
1. This CorreLog Server version is a minor enhancement that includes new features, slightly altered navagation
and adds new background processes. The version is not backward compatible with previous CorreLog versions,
and no earlier CorreLog version or PTF should be retro-installed after installing this update.
2. The "Devices", "Users", "Facilities", and "Severities" tabs have been relocated under a new "Messages >
Catalogs" tab. This permits expansion of "Message" type tabs by new add-ons such as the "WinEvt", and "ZTerminals" plug-ins.
3. This version offers a new "Messages > Catalogs > WinEvts" adapter that will create catalogs of all Windows
Events, useful for sites that are monitoring windows event logs. By default, this new screen works only with the
CorreLog Windows agent program. ContactCorreLog support for assistance. The adapter is available on request.
4. The "Analyze" link now includes a new "Common Fields" link that will parse and list the common fields
associated with a message set. This simplifies the "Analyze > Parse" function (which still exists, with no significant
changes.) Click on the "Analyze" link at the top of any "Catalog" display to see this new field.
5. The "Messages > Search" link now includes a new "Analyze Recent "Messages" link, to permit easy analysis of
current messages. The "Query" function link has been renamed "Forensic Query", and is featured at the leftmost
link towards the top of the screen.
6. The "CO-calert.exe" process has been added to the system. This may affect user startup scripts. The functions
of this program were formerly performed by the CO-action.exe program, now performed by a separate process.
7. This version fixes a long standing issue with encryption that could cause data with control characters
to fault with an authentication error. This mainly affected syslog messages from third-party agents,
now corrected in this version.
© 2014 Draware A/S
Side 3 af 24
www.draware.dk
Hvilke services kører Correlog under?
Der er to Correlog services:
1. Correlog Framework Service
2. Correlog Syslog Service
Begge skal køre når Correlog er i drift og begge skal lukkes når du opgraderer eller installerer nye
adaptors. Den medfølgende ”Correlog Start and Stop Correlog Services” funktion virker normalt kun
når du kører den som administrator.
© 2014 Draware A/S
Side 4 af 24
www.draware.dk
Hvordan opgraderer jeg Correlog til en nyere version?
1. Klik på ” More / Sys info” i toppen af Correlog og se den version du har nu. I
skrivende stund (december 2014) hedder den 5.4.4
2. Brug følgende link til at hente den nyeste version. På denne side kan du se
hvilken version som du kan downloade og som følge deraf er den sidste
version.
https://correlog.com/purchase/free-trial-download-rcpt.html
3. Stop Correlog syslog service og framework service
4. Eksekver download filen (du skal evt. højre klikke på filen og vælge
properties og ”unblock”) ved at højre klikke på filen og vælge ”Run as
Administrator”.
5. Pak filen ud i Correlog folderen (Normalt c:\correlog) og følge
instruktionerne.
6. Hvis du har problemer med at genvælge port 80 så kontakt Draware.
7. Sikr dig at Correlog syslog og framework er startet og start så
programmets web UI. Når du har logget dig ind kan du kontrollere den nye
version som vist under punkt 1.
Bemærk: Kun i meget sjældne tilfælde vil en opgradering betyde at du også skal
opgradere versionerne af alle de agenter de ligger på Windows endpoints og
sender logs til Correlog. Til gengæld skal du opgradere alle de adaptors du har
installeret. Du findes en beskrivelse af disse på forsiden ”Home Page” af Correlog
og på følgende link: https://correlog.com/support-public/CO-ADAPTERS.pdf
© 2014 Draware A/S
Side 5 af 24
www.draware.dk
Hvordan opretter jeg en support sag?
Det nemmeste er at skrive en e-mail direkte til [email protected] men du er
også velkommen til at lade Draware A/S håndtere dette for dig ved at skrive en
mail til [email protected]
Husk at inkludere information om din nuværende Correlog Server version (More /
Sys Info i øverste højre hjørne af skærmen).
Hvis du kan skrive dit spørgsmål på engelsk er det nemmest for os, men skriver
du det på dansk så oversætter vi det bare. No problem!
Svartiden er indenfor 24 timer.
© 2014 Draware A/S
Side 6 af 24
www.draware.dk
Hvor finder jeg dokumentation til Correlog
Når du installerer Correlog laver installeren en folder der hedder ”S-DOC” i
Correlog biblioteket hvor alle dokumenter ligger i .PDF format. Fra Home menuen
i Correlog kan du nå de vigtigste dokumenter der bl.a. tæller ”User Reference
Manual”.
På Draware hjemmeside (www.draware.dk)
http://www.draware.dk/producent/correlog/produkt/correlog-server/ finder du
en mængde information om Correlog og du kan finde alle vores træningsvideoer
på YouTube playlisten
https://www.youtube.com/playlist?list=PL685A0F4257DA5D4F
Beskrivelsen af alle plug-ins til Correlog – kaldet adaptors – finder du enten på
Home menuen i programmet eller under følgende link:
https://correlog.com/support-public/CO-ADAPTERS.pdf
Producentens supportside hedder http://support.correlog.com og finder du
nyttig information om support relaterede emner. Vil du gerne vide hvilke nye
funktioner der er introduceret i den nyeste Correlog version skal du på support
hjemmesiden klikke på linket ”CorrelogServer Update …” og derefter på
CHANGES.txt” i bunden af skærmen.
Det nemmeste er at se i folderen ”S-DOC” i Correlog biblioteket på din Correlog
server. Her ligger alle dokumenterne i PDF format.
Du kan også nå de vigtigste dokumenter direkte fra Home Page i Correlog’s web
interface.
Du kan også finde en masse videoer på youtube.com om Correlog. Fx denne
playliste: https://www.youtube.com/playlist?list=PL685A0F4257DA5D4F
Eller: https://www.youtube.com/user/CorreLog
© 2014 Draware A/S
Side 7 af 24
www.draware.dk
Hvor meget fylder mine log data?
Det kommer naturligvis meget an på hvor mange devices der logger data til din
Correlog server og specielt på hvilke typer af devices. Specielt Firewalls, Domain
Controllere og Layer-3 netværks devices kan logge flere gigabytes pr. dag.
Din Correlog server er licensieret efter antallet af devices der logger data, men
den er også begrænset i mængden af data den kan modtage pr. dag. Hvis du
chekker ”More / Sys info / License Type” kan du se hvor mange data din Correlog
server kan modtage pr. dag. Hvis grænserne (undtaget antallet af devices) er for
små kan du gratis få en større licens ved at henvende dig til Draware. Dette
gælder ”Max bytes” pr. dag og ”Max Users” totalt.
Ønsker du at monitorere hvor mange data du logger pr. dag skal du bruge et
dashboard med den gadget der hedder ”Gauge-Loading-Gadget” og typen ”DailyMessages”. Sørg gerne for at vælge visningen som ”Summary” for der står det
tydeligt hvor mange data du logger under ”Current Value”. Hvis du ønsker at se
hvor mange brugere du har registreret i systemet skal du vælge ”Messages+ /
Catalogs+ / Users”. Scroll ned til bunden af skærmen. Her står total # users.
Correlog gemmer indekserede men ikke komprimerede data i folderen
Correlog\logs mens de arkiverede data gemmes i folderen Correlog\archive. Hvor
mange dage der ligger i disse folderen bestemmer du ved settinges under
”Messages+ / Config+ / Parms”. Det er MEGET vigtigt at du lader din server
overvågning måle på mængden af fri diskplads på din Correlog server så du
undgår at serveren løber fuld. Correlog serveren monitorerer dog selv mængden
af fri diskplads (”More / Sys info / Free Disk Space”) og kommer dette tal under
95% så vises en ”Advisory” om low disk space (”Advisory / Advisory Preferences /
Log Disk Storage Approaching Full eller Archive Disk Storage Approaching Full”).
Men for at få disse på en mail disse skal du have sat alarmer for dem…
Hvis du vil begrænse dine datamængder kan du specificere at dine devices fx ikke
skal sende syslog DEBUG severity messages ind i Correlog eller specificere at
bestemte logs skal pipes uden om Correlogs correlation engine til en bestemt
© 2014 Draware A/S
Side 8 af 24
www.draware.dk
lokation (”Messages+ / Config+ / Filters” & ”Messages+ / Config+ / Parms” og
External data Path”).
Men tilbage til mængden af data. Du kan bruge følgende som vejledende tal, men
husk at det kan variere meget!
Firewall pr. dag: 1-5 GB
Domain Controller pr. dag: 1-2 GB
L3 Netværksenhed pr. dag: op til en 1 GB
Almindelig Windows Server pr. dag: op til 100KB
Du skal også være opmærksom på hvor meget Correlog kan håndtere/ behandle
hvilket måles i Events Per Second (EPS). Tallet her er 2.500 og i bursts op til 5.000.
Du kan se hvor mange EPS Correlog håndterer i et dashboard med en GaugeMessage-Rate gadget. Sæt Display Mode til Summary og se resultatet under ”Avg
Msgs per Sec”. Brug evt regnearket fra dette link til at beregne dit forventede
EPS og log storage krav: http://www.draware.dk/fileadmin/Draware/EPS/EPSDRAWARE.zip
© 2014 Draware A/S
Side 9 af 24
www.draware.dk
Hvordan opretter jeg en ny log node?
Det er normalt ikke nødvendigt at oprette en ny node da Correlog automatisk
opretter noden når de første logs fra den nye node modtages. Derefter prøver
Correlog med en DNS reverse lookup, men at dette ikke muligt optræder noden
med den IP adresse hvorfra syslogs modtages.
Du kan se alle dine noder under ”Messages+ / Catalogs+ / Devices”. Du kan klikke
på ”+” ikonet ud for en node og vælge ”Device Info” og derefter ”Edit Device
Info” for at redigere i indstillinger, navne mm. Device Types kan redigeres under
linket ” Messages+ / Catalogs+ / Devices” og klikke på Advanced knappen og
derefter på Edit Device Types og du kan indstille default SNMP community string
under ”Messages+ / Config+ / Parms”.
Hvis du af en eller anden grund gerne selv vil oprette et device kan dette lade sig
gøre under menupunktet ”Messages+ / Catalogs+ / Devices” og derefter AddNew
Knappen.
Nogle devices er markeret som grønne mens andre er røde som tegn på at det er
for længe siden at Correlog serveren har modtaget logs fra dette device. Hvis du
vil ændre denne timeout setting skal du gøre det under linket ” Messages+ /
Catalogs+ / Devices” og klikke på Advanced knappen. Læk mærke til linket ”Drop
Inactive devices After”. Denne setting er vigtig da inaktive devices ellers
automatisk fjernes efter 30 dage.
Du kan slette et device ved at gå til ”Messages+ / Catalogs+ / Devices” og klikke
på Advanced knappen og derefter på ”Delete Devices By List”.
© 2014 Draware A/S
Side 10 af 24
www.draware.dk
Hvad er arbejdsgangen i Correlog?
1. Søg i dine logs for at finde den kombination, der nemmest viser de logs du
ønsker. Dette gøres v.h.a. AD HOC fritekst søgning fra Messages+ menuen
eller fra Messages+/Advanced eller Search menuerne.
2. Når du har fundet de søgekriterier, der give det relevante logudtræk, skal
du skabe en eller flere threads der matcher disse søgekriterier. Dine
threads ”fyldes” gradvist med logs efterhånden som logs der matcher dine
søgekriterier kommer ind i Correlog.
3. Du kan nu oprette et eller flere dashboards baseret på dine threads og de
gadgets der bedst viser indholdet fra dine logs. Her kan specielt Parse
funktionen være nyttig.
4. Opret en alarm (Alert) baseret på antallet af logs i en thread pr. tidsenhed
eller på en bestemt rækkefølge via triggers. Alarmen fører til oprettelsen af
en ticket som er tildelt en bestemt bruger.
5. Baseret på en ticket kan du udløse fx en e-mail så du får at vide når noget
skal undersøges på basis af de logs der kommer ind i Correlog.
6. Ønsker du det, kan du også lave rapporter baseret på dine threads som fx
”Recent user logons” eller ”Failed Admin logons”.
Husk at fortsætte med oprettelsen af threads da dette er kernen til intelligensen i
Correlog og tilpasnings til dine systemer.
© 2014 Draware A/S
Side 11 af 24
www.draware.dk
Kan jeg flytte Correlog installationen til en anden maskine?
Det er beskrevet i følgende link hvordan du flytter en Correlog installation men
her er de vigtigste punkter:
https://correlog.zendesk.com/entries/53051783-I-need-to-move-the-CorreLogServer-Installation-to-a-New-Location-Possible1. Stop CorreLog Framework Service vær sikker på at alle processer med "CO"
er stoppede.
2. Kopier alle filer fra Correlog folderen ti len ny destination.
3. Skift til den nye lokation og kør "system\CO-install.exe" programmet.
4. Hvis Apache-TLS serveren installeret skal du også køre "apache-tls\bin\COSecure.exe" programmet.
5. Omdøb eller slet den gamle Correlog installation.
6. Der kan også være nogen stier i custom alerts, custom actions, eller lokale
windows agenter som skal justeres efterfølgende.
© 2014 Draware A/S
Side 12 af 24
www.draware.dk
Skal jeg tage backup af Correlog?
Hvis du ønsker at tage backup af dine data skal du tage kopi af folderne Archive
og Logs. I S-DOC folderen ligger dokumentet CO-BACKUP.PDF I dette dokument
beskrives også hvordan du genskaber disse data tilbage i Correlog. Udover
archive og logs folderen er følgende foldere også interessant i backup mæssig
sammenhæng:
1. CorreLog\config Folder
Denne folder og under foldere indeholder kofigurations data fra Correlog
hvad angår templates, standarder og checkpoints
2. CorreLog\actions Folder
Denne folder indeholder scripts til "Correlation > Actions"
3. CorreLog\c-alerts Folder
Denne folder indeholder scripts til "Alerts > Custom"
4. CorreLog\dash Folder
Denne folder og underfoldere indeholder informationer som bruges til
definition af Dashboards i Correlog
5. CorreLog\graph Folder
Denne folder indeholder data til brug sammen med Correlogs Graph viewer
6. CorreLog\t-actions Folder
Denne folder indeholder de actions scripts der bruges i "Correlation >
Ticket Actions"
© 2014 Draware A/S
Side 13 af 24
www.draware.dk
Hvordan konfigurerer jeg Correlog agenten?
Når du har installeret Correlog Serveren kan du fra forsiden af Home page
downloade logagenten der bruges til at omdanne Windows eventlogs til syslogs
og sende dem in i Correlog serveren – kaldet WT Agent. Dertil hører en
dokumentation som du finder i WT-MANUAL.PDF.
Du kan ændre konfigurationen af agenten direkte inde fra Correlog ved at gå til
Messages+/Catalogs+/Devices. Klik på ”+” ikonet ud for et device og derefter på
”Device Info”. Klik så på ”Remote Agent Config” (Dette kræver adgang på UPD
port 55514). Du kan nu redigere direkte i Config filen (Directly Edit Remote Agent
Configuration File) eller bruge wizarden til at tilføje specifikke logs du gerne vil
hente fra den remote server.
Indholdet af Agent config filen og de rettelser / ændringer du kan tilføje er
beskrevet i WT-MANUAL på side 23 og frem. Blandt de mange mulige
kommandoer kan nævnes:
1.
2.
3.
4.
5.
6.
7.
MessagePrefix
MsgDelayMsecs
LogLocal
EncryptData
MarkerMessage
MarkerMinutes
LogFile
Du kan teste om agenten virker ved på den remote windows maskine at gå til
folderen Correlog\WinTools og eksekvere kommandoen:
sendlog [IP PÅ CORRELOG SERVER] “First Test Message.” [SEVERITY] [FACILITY]
Du kan også bruge programmet (der ligger samme sted) wsendlog.exe der er et
mere venligt Windows UI til afsendelse af testlogs.
Der findes også en ”Silent” install version kaldet wt-silent.exe som ligger i
folderen S-DOC og kan bruges til masse udrulning af windows agenter.
© 2014 Draware A/S
Side 14 af 24
www.draware.dk
Hvilken gadget skal jeg vælge for at vise mine data i et
Dashboard?
Gadgets er de individuelle grafiske fremvisninger i et Dashboard. Du kan se en
liste med alle gadgets på følgende link
http://www.draware.dk/fileadmin/CorreLog/Correlog_Gadgets_Explained.pdf ,
men her kommer on oversigt over de vigtigste gadgets. Husk at udgangspunktet
for alle gadgets er Threads som du skal have lavet før du vælger en gadget (med
få undtagelser). Der findes mange andre gadgets så det er en god idé at gå på
opdagelse for at se hvilke muligheder du har.
Hvor mange data kommer der fra en bestemt thread?
 Graph-Thread-Rate-Gadget
Hvor belastet er min Correlog server?
 Gauge-Loading-Gadget
Analyse af bestemt indhold i en thread?
 Parse-Thread-Gadget
 Analyze-Thread-Gadget
Hvordan får jeg vist mine alarmer?
 Custom-Alerting-Gadget
 Gauge-Alert-Gadget
Hvilke Keywords er de mest forekommende?
 Keyword-Gadget
Forekommer der afvigelser i mængden af logs?
 Device-Rate-Gadget
© 2014 Draware A/S
Side 15 af 24
www.draware.dk
Hvordan virker søgningen i Correlog?
Alle logs der sendes ind i Correlog bliver indekseret og gemt i ukomprimeret form
i folderen ”logs” indtil de når datoen for aktivering (se side 2) hvorefter de
komprimeres og gemmes i ”arkiv” folderen. Derfor kan du søge efter bestemte
logs som fritekstsøgning i ”Match” feltet øverst på skærmen under
”Messages+”.
Her kan du bruge tekst i ”” eller logiske operatorer så som AND, OR og NOT. Men
også LT (Less), LE (Less Than or Equal To), GT (Greater), GE (Greater then or
Equal to), EQ (Equal to), NE (Not Equal To), IN (Something in something else),
NOT IN (Something not in something else). Du finder beskrivelse I manualen “COADVANCED.PDF”. Her kommer nogle eksempler:
 ”Successful logon”
 Malware AND Symantec
 Adobe AND (Not Error)
Din søgning i indekserede logs kan gøres mere specifik ved at vælge ”Advanced”
linket under ”Messages+” eller klikke på ”Search” linket i øverste højre hjørne af
skærmen.
Det er vigtigt at vide et du kun søger i indekserede ord og således kan misse
endnu ikke indekserede ord eller misse ord som normalt ikke indekseres så som
tal. Hvis du vil lede efter bestemte keywords så kan du klikke på ”Keyword Index”
linket og finde det keyword du leder efter.
I mere specifikke søgninger kan du også bruge globale variable så som $Address
(IP of the device that sent the log), $Username, $Devname, $Facility, $Facnum
(Facility number), $Severity, $Sevnum (Severity number 0-7 where 0 is Emergency
and 7 is debug), $date, $Wday (weekday some r “mon” til “sun”) og $Time.
Ønsker du en mere specifik søgning, så skal du bruge funktionen ”Forensic
Query”. Her søger du logs igennem efter specifikt de termer du angiver og der
søges i alle logs og ikke kun indekserede ord. Dette tager normalt noget længere
© 2014 Draware A/S
Side 16 af 24
www.draware.dk
tid men det giver også en mere specifik søgning. Når du ser resultatet af en
forensic query har du flere muligheder:
1. Søge i resultatet af den aktuelle søgning (Search These Results)
2. Se resultatet af tidligere Forensic Queries (meget nyttigt så du ikke behøver
at søge igen)
3. Vise en graf over hvor ofte disse logs forekommer (Graph results)
4. Analyse søgningen for Users, Devices, Facilities og Severities. Du kan også
bruge Parse funktionen til at udtrække information fra loggen efter
bestemte kriterier.
Husk at når du har fundet ud af hvordan du søger efter bestemte data og gerne
vil kunne genbruge disse søgninger bør du oprette en thread med denne søgning
således at du altid har resultatet af søgningen klar til brug.
Du kan bruge værktøjet under ”More / Expr Tool” til at evaluere om dine
søgninger giver det forventede resultat.
Søgningen i Correlog er forklaret nærmere i følgende YouTube video:
https://www.youtube.com/watch?v=cId3vyHETrY&list=PL685A0F4257DA5D4F
© 2014 Draware A/S
Side 17 af 24
www.draware.dk
Hvad er Correlog ”professorternings-funktionen” Analyze?
1. I ”Messages+/Search” menuen finder du ”Analyze recent Messages”
2. Under ”Messages+/Catalogs+/Devices og Users og facilities og Severities”
menuer finder du et lille ”+” tegn ud for hver emne under hvilket du finder
Analyze funktionen
3. Det samme gælder under under ”Correlation+/Threads”
Når du bruger Analyze kan du med udgangspunkt i Devices, Users, Facilities og
Severities frit vælge at fokusere på:
1. Devices. Hvor mange logs kommer der pr. periode fra bestemte devices
Fx hvilke Users, Facilities og Severities er associeret med et bestemt device
2. Users. Hvor mange logs kommer der pr. periode fra bestemte Users
Fx hvilke Devices, Facilities og Severities er associeret med en bestemt User
3. Facilities. Hvor mange logs kommer der pr. periode fra bestemte Facilities
Fx hvilke Devices, Users og Severities er associeret med en bestemt Facility
4. Severities. Hvor mange logs kommer der pr. periode fra bestemte
Severities
Fx hvilke Devices, Users og Facilities er associeret med en bestemt Severity
Når du foretager en analyse med Analyze skal du fortælle Correlog hvor mange
entries du vil se og over hvor lang tid. Pas på med at vælge for lang tid ad gangen
men eksperimenter dig lidt frem da en analyse over mange dage kan tage MEGET
lang tid.
© 2014 Draware A/S
Side 18 af 24
www.draware.dk
Hvis du gerne vil specificere fx bestemte brugere eller bestemte device type skal
du enten lave en thread der samler data efter disse kriterier eller brug funktionen
”Parse Spec” som du finder i Analyse menuen. Her kan du angive et søge kriterie
for at få udtrukket data af en bestemt type som fx:
1. ”Login Type: *”
2. Security ID:*
Du kan få hjælp til parsing kommandoerne ved at klikke på linket ”Parse Help” ud
for Parse Spec tekstboksen eller se dokumentet i s-doc folderen ”COPARSE.PDF”.
Du kan også se YouTube videoen som forklarer Parse funktionen på følgende link:
https://www.youtube.com/watch?v=SpQhfyP9LG4&list=PL685A0F4257DA5D4F
© 2014 Draware A/S
Side 19 af 24
www.draware.dk
Hvad er en Adaptor?
Du kan udvide funktionaliteten i Correlog med gratis plug-ins kaldet Adaptors
som gør det endnu lettere og mere spændende at arbejde med Correlog.
 Du HENTER dine adaptors ved at bruge de links som er specficeret i
dokumentet http://www.draware.dk/fileadmin/CorreLog/CO-ADAPTERS.pdf
 Du kan få et adaptors OVERBLIK ved at klikke på det relevante link i
Correlogs web interface på Home page.
 Du skal normalt STOPPE Correlog services når du installerer en ny adaptor
og naturligvis huske at starte den igen når den er installeret.
Vigtige adaptors:
 PING: Lader dig pinge devices og skabe en log entry hvis dette ping fejler
 SNMP: Lader dig overvåge SNMP MIB objekter og skabe logs hvis noget
fejler eller få informationen om bestemte OIDs
 SNMP-TRAP: Lader dig modtage og fortolke traps
 SESSION: Ladr dig tracke hvilke brugere der er logget ind i hvilke systemer
og logon historik
 ASSOCIATION: Lader dig tracke hvilke processer der er startet af hvile
brugere, hvilke computere en bruger logger ind på mm.
 WINDOWS EVENT ID: Lader dig analysere Windows Eventlogs
Husk at dine adaptors og skal opgraderes når du opgraderer Correlog til en ny
version, da alle adaptors også kommer i en ny relateret version.
Der findes en udmærket udokumenteret ”Adaptor” som hedder PDF generator.
Du kan hente den fra følgende link: http://correlog.com/Download/co-5-4-4genpdf.exe. Denne fil tilføjer en Generate PDF funktionalitet til mange
skærmbilleder så det er lettere at få eksportere data til i PDF format.
© 2014 Draware A/S
Side 20 af 24
www.draware.dk
Hvad er en Thread?
En Correlation Thread er et filter som altid fanger et udsnit af de logs som
kommer ind i Correlog efter de søgekriterier som du har sat op. Du kan fx søge på
en kombination af:
1.
2.
3.
4.
5.
Fri tekst i logs
Logs fra bestemte devices
Logs med en bestemt severity eller facility
Logs der parses
Logs der kommer ind på helt specifikke tidspunkter
Du kan begrænse logs baseret på adresse grupper
(”Correlations+/Config+/Address Groups”) eller expressions (), Macroer
(”Correlation+/Config+/Macros”) og lister (”Correlation+/Config+/Lists”). Og
naturligvis også efter Severity og facility.
En correlation er det mest grundlæggende i Correlog og bruges i Dashboards,
Rapporter, Analyser, Pivots, Alerts mm. Men en thread belaster også din Correlog
engine og jo flere du laver af dem jo mere belastet bliver din Correlog server.
Derfor kan du dirigere en del af datastrømmen uden om din correlation engine
ved at bruge funktionen ”Messages+/AUX”.
Det er en god idé at opdele din Threads is Thread groups ved at navngive dine
threads som følger: ”Authentication: Logon Success” – hvor det første er den
overordnede funktion og det der følger efter kolon er delfunktionen som denne
thread løser (”Correlation+/Threads/All Thread Groups”).
Baseret på en thread kan du udløse en række følgefunktioner i Correlog og du
kan læse mere om disse og det naturlige process flow i Correlog på side 17.
Du kan både ekspotere og importere threads så de er nemme at dele med andre
brugere eller du kan eksportere dem for at have en backup af dine threads.
© 2014 Draware A/S
Side 21 af 24
www.draware.dk
Hvordan formaterer jeg mine e-mails fra Correlog?
Dette beskrives på følgende link men herunder finder en outline:
https://correlog.zendesk.com/entries/50955775-How-to-Change-the-Subject-of-EMail-Messages-
1. Kopier "t-actions\SENDMAIL.bat" filen til "t-actions\CUSTMAIL.bat" eller
brug et andet navn hvis du ønsker det
2. Rediger t-actions\CUSTMAIL.bat filen i notepad
3. I CUSTMAIL.bat filen finder du linjen med "Subject:" eller andre keywords
om modificerer dem efter behov. Husl at du kan bruge variable fra Correlog
4. Gem ændringerne.
5. Kopier CUSTMAIL.bat tilbage til SENDMAIL.bat eller modificer ticket
actions til at referere til CUSTMAIL.bat filen
“t-actions" folderen indeholder en README.txt fil der forklarer nærmere om at
oprette ticket actions og du kan se i "t-actions\TEMPLATE.bat for at se alle de
variable du kan bruge. Sidst men ikke mindst kan du se i Correlog manualen
sektion 7 under ticket actions for en mere detaljeret forklaring,
© 2014 Draware A/S
Side 22 af 24
www.draware.dk
Hvordan søger jeg i ældre data?
Der findes en række forskellige steder i Correlog hvor du kan specificere hvad du
søger efter, hvor når søgningen skal starte og hvor langt den skal gå tilbage. Her
er de vigtigste beskrevet:
1. Under Messages+/Search kan du specificere AD HOC søgning i indekserede
ord og i det første felt (normalt markeret med ”Today”) angive en start
data og i det næste felt hvor mange dage tilbage fra denne startdato du vil
søge. Husk også at specificere i det næste felt hvor mange logs du vil
returnere i søgningen.
2. Når du i ovenstående skærmbillede klikker på Forensic Search kan du
foretage en mere specifik søgning i ALLE logs (ikke kun de indekserede ord)
og her yderligere specificere et tidspunkt for søgningen. I feltet ”Query file
type” kan du vælge at søge i LogFile, Thread, Archive, AUXfile, Tickets og
External filer.
© 2014 Draware A/S
Side 23 af 24
www.draware.dk
3. Du kan søge i logs for et bestemt device, en bestemt bruger, en bestemt
severity eller en bestemt facility ved a gå til Messages+/Catalogs+ og klikke
på ”+” ikonet ud for det emne du vil søge på og så vælge ”View All
Messages” eller en af de andre søge metoder.
© 2014 Draware A/S
Side 24 af 24
www.draware.dk