Administrationshandbuch › Zuordnen und analysieren › Erstellen von Dateien zum Analysieren von Nachrichten › Laden von Beispielereignissen

Laden von Beispielereignissen

Zur Angabe von Beispielereignissen, um die neue XMP-Datei zu testen, durchsuchen Sie den Ereignisprotokollspeicher, oder öffnen Sie eine Protokolldatei. Mit Beispielereignissen können Sie die Analysedatei während der Zusammenstellung im Assistenten testen. Zudem lässt sich mit Beispielereignissen die Analyseausgabe im letzten Schritt im Assistenten testen.

So geben Sie Beispielereignisse an:

1. Öffnen Sie den Assistenten für Analysedateien, und fahren Sie mit dem Schritt zum Laden von Ereignissen fort.

   Das Fenster zum Laden von Ereignissen wird geöffnet.

2. Aktivieren Sie im Bereich zum Suchen von Beispielereignissen das Optionsfeld "Protokollspeicher" oder "Protokolldatei".
   • Wenn Sie "Protokollspeicher" auswählen, gehen Sie wie folgt vor:
     1. Wählen Sie im Menü "Analysespalte" den Quelltyp des gewünschten Beispielereignisses aus. Für WMI-Ereignisse wählen Sie "result_string", für Syslog-Ereignisse "raw_event" aus.
     2. Wählen Sie in der Liste für Abfragekennungsfilter und Abfragen die Abfrage aus, mit der die Beispielereignisse abgerufen werden sollen.

     Die Abfrage wird angezeigt und enthält sämtliche Ereignisse, die für Analysetests im Assistenten zur Verfügung stehen.

     Hinweis: Beispielereignisse können mit einer beliebigen verfügbaren oder benutzerdefinierten Abfrage abgerufen werden. Soll eine benutzerdefinierte Abfrage verwendet werden, empfiehlt es sich, diese vor Erstellung der Analysedatei zu erstellen und zu testen. Um die Analyse zu vereinfachen, verwenden Sie eine Datei mit weniger als 1500 Ereignissen.

   • Bei Auswahl von "Protokolldatei" suchen Sie die gewünschte Datei, und klicken Sie auf "Hochladen".

     Die Ereignisse aus der Protokolldatei werden im Bereich mit den Beispielereignissen angezeigt. Testen Sie die Analysefunktion mit Hilfe der Beispiele während Sie den Assistenten ausführen.

     Hinweis: Im Assistenten wird davon ausgegangen, dass jede Zeile in der Datei einem Ereignis entspricht. Mehrzeilige Ereignisse werden nicht unterstützt.

3. Klicken Sie auf den Pfeil, der Sie zu dem Schritt im Assistenten führt, mit dem Sie fortfahren möchten.

   Wenn Sie auf "Speichern und Schließen" klicken, wird die neue Datei im Benutzerordner "Analysedatei" angezeigt. Andernfalls wird der ausgewählte Schritt angezeigt.