Die HTTP-Empfängerkomponente des Netzdienstes ist ein leichtgewichtiger Webserver, der eingehende POST-Übermittlungen von entfernten Endpunkten über das HTTPS-Protokoll annimmt. Die von entfernten Endpunkten empfangenen Daten werden in temporären Dateien gespeichert, die vom EventSentry Agenten überwacht und als strukturierte Daten in die EventSentry Datenbank importiert werden können (siehe Abbildung unten).
HTTPS
Der TCP-Port des Empfängers kann angepasst und auf einen beliebigen gültigen TCP-Port eingestellt werden; der Standardport ist 8443. Um den HTTP-Empfänger zu aktivieren, aktivieren Sie einfach das Kontrollkästchen "HTTP-Empfänger aktivieren".
TLS
Erstellt automatisch eine selbstsignierte Zertifikatsdatei, wenn die Funktion zum ersten Mal aktiviert wird, um TLS-Kommunikation zu ermöglichen. Erzeugt die folgenden Dateien:
•%SYSTEMROOT%\system32\eventsentry\secure\es_network_svc_http.pfx
•%SYSTEMROOT%\system32\eventsentry\secure\es_network_svc_http.pem (öffentliches Zertifikat zur Verteilung)
Die öffentliche PEM-Datei kann auf entfernte Geräte kopiert werden, die diese Datei benötigen, um der selbstsignierten Zertifikatsdatei zu vertrauen.
Dateiname
Alle empfangenen Daten werden in den/die angegebenen Dateinamen geschrieben. Um zu vermeiden, dass alle Daten in dieselbe Datei geschrieben werden, können Variablen verwendet werden, um dynamische Dateinamen zu erzeugen. Die folgenden Variablen werden unterstützt (Groß- und Kleinschreibung beachten):
Variablename |
Laufzeit Wert |
Beispiel |
$IPADDRESS |
IP address of sender |
168_1_1_99 |
$AUTHID |
Auth ID associated with authorization key |
THKV8RM3L |
$UNIXTIME |
Unix Timestamp |
1759373903 |
$REMOTEID |
IP address and port of sender |
168_1_1_99-4675 |
$YEAR, $MONTH, $DAY |
Current year, month and/or day |
2025, 11, 27 |
$HOUR, $MINUTE, $SECOND |
Current hour, minute and/or second |
23, 12, 58 |
Der Standarddateiname lautet %SYSTEMROOT%\system32\eventsentry\temp\networksvc\networksvchttp_$AUTHID_$IPADDRESS_$YEAR-$MONTH-$DAY_$HOUR_$MINUTE.json.
|
Alte Dateien werden gemäß den Einstellungen für das automatische Löschen automatisch gelöscht . |
Autorisierungsschlüssel / Token
Der HTTP-Empfänger akzeptiert nur POST-Anfragen, die ein aufgeführtes Autorisierungs-Token im HTTP-Header enthalten. Autorisierungs-Tokens werden durch Anklicken der Schaltfläche "+" erzeugt und enthalten immer eine ID.
Autorisierungs-Token werden im Feld "Autorisierung" des HTTP-Headers (ähnlich wie bei den meisten anderen Online-Diensten) im folgenden Format übergeben:
Authorization: Bearer <AUTHTOKEN>
Die Authentifizierungs-ID, die für jedes Autorisierungs-Token erzeugt wird, kann im Dateinamen (siehe oben) mit der Variablen $AUTHID referenziert werden. Wenn mehrere Absender mit unterschiedlichen log/json-Formaten Daten an den HTTP-Empfänger übermitteln, empfiehlt es sich, Absendern mit dem gleichen Log-Format das gleiche Authentifizierungs-Token zuzuweisen. Dadurch wird sichergestellt, dass jede temporäre Datei nur ein einziges Protokollformat hat. Dies wiederum ermöglicht, dass die Protokolldatei(en) und Definitionen mit der jeweiligen temporären Datei verknüpft werden.
Autorisierte IP-Adressen/Netzwerke
Zur Erhöhung der Sicherheit kann der HTTP-Empfänger so konfiguriert werden, dass er nur Pakete von bestimmten IP-Adressen und/oder Netzwerken akzeptiert. Hostnamen sind in der Liste nicht erlaubt, nur IP-Adressen können angegeben werden.
IP-Adressen können mit oder ohne Angabe der Subnetzbits eingegeben werden. Wenn Sie zum Beispiel nur zwei Server mit den IP-Adressen 184.23.22.11 und 184.23.22.43 hinzufügen möchten, fügen Sie einfach diese beiden IP-Adressen zur Liste hinzu.
Um ein ganzes Subnetz zuzulassen, zum Beispiel die IP-Adressen 184.23.22.1 - 184.23.22.254, fügen Sie 184.23.22.0/24 hinzu. Um nur den Bereich von 184.23.22.128 - 184.23.22.254 zuzulassen, geben Sie 184.23.22.128/25 an.
