Ctrlk
Knowledge BaseRelease NotesRequest Demo

원시 이벤트 필터

로그 스키마로 파싱되기 전에 이벤트를 필터링합니다

개요

원시 이벤트 필터를 사용하면 수집된 이벤트를 필터링하여 제외할 조건을 정의할 수 있습니다. 이는 원시 데이터에 적용되며 이전 로그 스키마에 의해 파싱되기 전에 적용되며, 정규식 표현식이나 부분 문자열 패턴을 사용해 정의할 수 있습니다.

원시 이벤트 필터는 포함 필터 또는 제외 필터로 생성할 수 있습니다. 다음에서 포함 필터와 제외 필터의 차이점에 대해 알아보세요.

원시 이벤트 필터를 활성화한 후에는 다음을 통해 성능을 모니터링하세요. 필터링된 이벤트 메트릭 보기.

여러 개의(포함 또는 제외) 원시 이벤트 필터를 생성하는 경우, 실행 순서는 보장되지 않습니다. 여러 포함 필터를 만들 때는 이 점에 특히 유의하세요. 필터가 무작위 순서로 실행되므로, 먼저 평가된 다른 필터에 의해 포함되지 않으면 포함하려던 이벤트가 삭제될 수 있습니다.

원시 이벤트 필터 유형

현재 두 가지 유형의 필터가 있습니다.

  • 정규식 필터: 정규식 표현식과 일치하는 이벤트는 삭제됩니다.

  • 부분 문자열 필터: 패턴을 최소 한 번 이상 포함하는 이벤트는 삭제됩니다.

In a log event filter, an Exclusion Condition is shown. The filter reads, "Exclude if" and a select box is open, showing two options: "Matches Regex" and "Contains"

원시 이벤트 필터를 만드는 방법

원시 이벤트 필터는 파싱되지 않은 이벤트에 적용됩니다—아니며 데이터 레이크에 표시되는 것과 같은 정규화된 이벤트에는 적용되지 않습니다. 필터를 원시 데이터를 기준으로 구성하고 있는지 확인하세요. 원시 데이터 필터를 정규화된 데이터를 기준으로 하면 오탐이 발생하고 의도치 않게 데이터가 삭제될 수 있습니다.

대신 파싱된 이벤트에 대한 필터를 만들려면 다음을 참조하세요. 정규화된 이벤트 필터.

원시 이벤트 필터를 만들려면:

  1. Panther Console의 왼쪽 탐색 모음에서 구성 > 로그 소스.

  2. 필터를 추가할 로그 소스의 이름을 클릭합니다.

  3. 다음을 클릭합니다. 필터 탭.

  4. 오른쪽의 원시 이벤트 필터 타일에서 다음을 클릭합니다. 필터 추가. The "Filters" tab of an "AY Okta" Log source is shown. There is an arrow drawn to a blue "Add Filter" button.

  5. 확장된 새 필터 양식에서 필터를 구성합니다.

    1. (선택 사항) 연필 아이콘(pencil icon)을 클릭하여 필터 이름을 수정합니다.

    2. 다음 조건 드롭다운에서 항목을 선택합니다.

      • 다음과 같으면 제외: 다음 경우에 이 옵션을 선택하여 제외 필터.

      • 다음과 같으면 포함: 다음 경우에 이 옵션을 선택하여 포함 필터.

        • 포함 필터의 경우, 일치하지 않는 모든 항목은 일치하지 않으면 삭제되며 다시 수집할 방법이 없습니다.

    3. 다음을 클릭하여 + 조건을 추가합니다. An "Exclusion Condition" is shown. There is an "Exclude if" statement, with a plus sign to its right. The plus sign is circled.

    4. 다음을 클릭하여 조건, 그런 다음 아래 옵션 중 하나를 선택합니다. 조건을 구성하는 다양한 방법에 대해 자세히 알아보려면 다음을 참조하세요. 원시 이벤트 필터 유형.

      • 정규식과 일치

      • 포함 In a log event filter, an Exclusion Condition is shown. The filter reads, "Exclude if" and a select box is open, showing two options: "Matches Regex" and "Contains"

    5. 다음을 선택한 경우 정규식과 일치 조건을 선택했다면 정규식을 입력합니다. 다음을 선택한 경우 포함 조건을 선택했다면 문자열 값을 입력합니다.

    6. 다음 빠른 테스트 섹션에, 방금 만든 필터에 대해 테스트할 원시 이벤트를 입력합니다.

      • 다음을 클릭하여 원시 데이터 보기 를 사용해 소스에서 수신한 원시 이벤트를 확인할 수 있습니다. 이벤트 오른쪽에서 다음을 클릭합니다. 이벤트 테스트 를 눌러 다음 항목을 채웁니다. 원시 이벤트 필드에 빠른 테스트 해당 이벤트를 넣습니다. A list of raw events is shown. Each row has a "Test event" button on the right-hand side. The "Test event" button in the first row is circled.

    7. 다음을 클릭하여 테스트 실행.

      • 테스트 이벤트가 패턴과 일치하는지 확인합니다.

    8. 필터는 기본적으로 활성화되어 있습니다. 비활성화하려면 활성화됨 토글을 클릭합니다.

  6. 오른쪽 상단에서 다음을 클릭합니다. 저장.

원시 이벤트 필터 활성화 또는 비활성화

수집 필터를 만든 후에는 활성화하거나 비활성화할 수 있습니다.

  1. Panther Console의 왼쪽 탐색 모음에서 구성 > 로그 소스.

  2. 필터를 활성화하거나 비활성화할 로그 소스의 이름을 클릭합니다.

  3. 다음을 클릭합니다. 필터 탭.

  4. 활성화하거나 비활성화할 필터를 찾은 다음 토글을 다음으로 설정합니다. 활성화됨 또는 비활성화됨. Under a "Dev account" header, an arrow is pointing from a Filters tab to an "Enabled" toggle on a tile called "Event Based Filter cc4e0a."\

필터링된 이벤트 메트릭 보기

이전수집 필터다음정규화된 이벤트 필터

마지막 업데이트

도움이 되었나요?