Lista de acciones de eventos

Gramática de eventos comunes › Normalización y categorización de eventos › Acciones de eventos › Lista de acciones de eventos

Lista de acciones de eventos

La Gramática de eventos comunes está dividida en seis secciones y cada una de ella está dividida a su vez de la siguiente manera. Para un ejercicio de asignación correcto, es necesario que se proporcione parte de la información de cada subsección especificada según la designación en la parte superior. Los campos designados en negrita son obligatorios para cada sección para recibir la puntuación PASS si se designan como principales. Los campos designados en negrita y cursiva son campos alternativos. Sólo uno de los campos alternativos es necesario para la sección para recibir la puntuación PASS si se designa como principal.

Información	Información de campo
Origen - Información de usuario	source_domainname, source_username, source_uid
Origen - Información de host	source_hostname, source_address, source_mac_address, source_hostdomainname, source_port
Origen - Información de objeto	source_objectname, source_objectid, source_objectattr, source_objectclass, source_objectvalue
Origen - Información de proceso	source_processname
Origen - Información de grupo	source_groupname, source_gid
Destino - Información de usuario	dest_domainname, dest_username, dest_uid
Destino - Información de host	dest_hostname, dest_address, dest_mac_address, dest_hostdomainname, dest_port
Destino - Información de objeto	dest_objectname, dest_objectid, dest_objectattr, dest_objectclass, dest_objectvalue
Destino - Información de proceso	dest_processname
Destino - Información de grupo	dest_groupname, dest_gid
Agente - Información	agent_name, agent_version, agent_id, agent_group, agent_connector_name
Agente - Información de host	agent_hostname, agent_address, agent_hostdomainname
Origen de evento - Información de host	event_source_hostname, event_source_address, event_source_hostdomainname
Origen de evento - Información	event_source_processname
Evento - Información	event_protocol, event_logname, event_euuid, event_count, event_summarized, event_duration, event_time_gmt, event_timezone, event_sequence, event_action, event_id, event_category, event_class, ideal_model, event_severity
Resultado - Información	event_result, result_string, result_signature, result_code, result_version, result_priority, result_scope, result_severity

Las últimas dos secciones de la Gramática de eventos comunes son secciones obligatorias para todas las acciones.

Para cada acción, la información de la Gramática de eventos comunes se describe como principal, secundaria o terciaria. La información principal está disponible a partir de la mayor parte de los orígenes de eventos y es obligatorio que este evento se considere asignado. La información secundaria está disponible a partir de algunos de los orígenes de eventos y es deseable que este evento se considere asignado. Finalmente, la información terciaria debe estar disponible a partir de algunas fuentes de eventos y, si estuviera disponible, debe asignarse.

Por ejemplo, la acción de creación de cuentas busca la respuesta a quién ha creado qué cuenta en qué host y en qué host se ha expresado esta información del evento. La respuesta puede tener la siguiente forma: El Administrador ha creado UsuarioA en el HostA y el HostA ha expresado el evento. Esta información contiene valores para Origen - Información de usuario, Destino - Información de host, Destino - Información de usuario. Además, cada información de evento de la Gramática de eventos comunes debe contener información sobre qué agente ha registrado el evento y a partir de qué host se ha expresado el evento. Si pone esta información en una tabla debe aparecer lo siguiente:

Información	Nivel
Origen - Información de usuario	Primario
Origen - Información de host	Secundario
Origen - Información de objeto	Terciario
Origen - Información de proceso	Terciario
Origen - Información de grupo	Terciario
Destino - Información de usuario	Primario
Destino - Información de host	Primario
Destino - Información de objeto	Secundario
Destino - Información de proceso	Terciario
Destino - Información de grupo	Terciario
Agente - Información	Primario
Agente - Información de host	Primario
Origen de evento - Información de host	Primario
Origen de evento - Información	Terciario
Evento - Información	Primario
Resultado - Información	Primario

Para cada acción se proporciona esta tabla con la información descrita como corresponde. Deben seguirse las siguientes instrucciones cuando se observe la información en eventos.

Para eventos de tipo 1:

El host que ha expresado la información es el mismo que el host en el que se ha creado la cuenta.
Puede que haya información relativa a Origen - Información de host y si la hay, esta información es idéntica a la del host en el que se ha producido la acción.
Debe haber sólo un conjunto de información de host en estos eventos.

Para eventos de tipo 2:

Debe haber dos conjuntos de información de host en estos eventos.
El primer conjunto de información de host hace referencia a la sección Origen - Información de host y esta información de host debe ser distinta de la del host en el que se produjo la acción.
Debe haber información relativa al host en el que se ha instalado el agente SIM pero esta información debe ser la misma que la del host donde se ha producido la acción y el host que ha expresado la información del evento.

Para eventos de tipo 3:

Existen tres conjuntos de información de host en estos eventos.
El primer conjunto de información describe la información source-host.
El segundo conjunto de información describe la información destino-host en la que se ha producido la acción.
El tercer conjunto de información describe Origen de evento - Información de host en donde se ha expresado el evento y se ha instalado el agente SIM.

Para eventos de tipo 4:

Existen cuatro conjuntos de información de host en estos eventos.
El primer conjunto de información describe la información source-host.
El segundo conjunto de información describe la información destino-host en la que se ha producido la acción.
El tercer conjunto de información describe Origen de evento - Información de host en donde se ha expresado el evento.
El cuarto conjunto de información describe la información agente-host en donde se ha instalado el agente SIM.

Enviar correo electrónico a CA Technologies acerca de este tema