> For the complete documentation index, see [llms.txt](https://docs.enginsight.com/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.enginsight.com/docs/manual/bedienung-der-plattform/siem/allgemeine-kollektoren/event-relay.md).

# Event Relay

Die Einrichtung von Event-Relays bietet dir die Möglichkeit, den Enginsight Agenten Pulsar als Syslog-Relay einzusetzen, der Syslog-Daten von Quellen empfängt, auf denen kein Pulsar installiert werden kann, sie verarbeitet und an das Enginsight SIEM weiterleitet.

***

## Wichtige Hinweise

* Der Datentransfer zwischen Event-Relay und API läuft unter GZIP Level 9, was zu einer Daten-Kompressionsrate von ca. 20 zu 1 führt, um Ressourcen zu schonen.
* Werden in deinem Netzwerk unterschiedliche Syslog-Formate verwendet, kannst du **auf einem Pulsar mehrere Event-Relays** für die unterschiedlichen Syslog-Formate einrichten. Achte jedoch dabei zwingend darauf, dass **für jedes Event-Relay ein eigener Port** verwendet wird!

**Übereinstimmung der Einstellungen in Firewall und Event-Relay**

* Die Einstellungen in deiner Firewall und im Event-Relay für das Syslog-Format müssen übereinstimmen. Wenn du an der Firewall keine manuellen Anpassungen vornehmen kannst, verwende im Event-Relay das **Format RFC 3164**.
* Die Einstellungen in deiner Firewall und im Event-Relay für den Port müssen übereinstimmen. Wenn du an der Firewall keine manuellen Anpassungen vornehmen kannst, verwende im Event-Relay den **Standard-Port 514**.

**Fehler im Feld `rlylog.content` / `rlylog.tag`**

* Sollten Teile des Feldes `rlylog.content` im Feld `rlylog.tag` erscheinen, kann dies zu Fehlern bei der Extraktion führen. Verwende in diesem Fall das **Format RFC5424** oder **aktiviere einen Tag** in der Quell-Software. Dadurch kann das SIEM eindeutig erkennen, welches Feld dem tatsächlichen Log-Tag entspricht, da dieses nicht immer eindeutig identifiziert werden kann.

***

<i class="fa-compass">:compass:</i> Navigiere zu **SIEM** → **Event Relay**, um eine Auflistung aller angelegten Event-Relays anzuzeigen. Wenn du noch kein Event-Relay erstellt hast, ist diese Ansicht leer.

<figure><img src="/files/s4AYLJTVXs7WhmISo3hG" alt=""><figcaption></figcaption></figure>

Du kannst der [Event Relay-Übersicht](#event-relay-ubersicht) unter anderem entnehmen:

* auf welchem Host der Pulsar installiert ist, der als Event-Relay fungiert.
* über welches Transportprotokoll und auf welchem Port ein Event-Relay eingehende Syslog-Daten empfängt.
* welches Syslog-Format verwendet wird.
* ob ein Event-Relay aktiv oder inaktiv ist.

Des Weiteren hast du hier die Möglichkeit, Event-Relays zu löschen und neue [Event-Relays hinzuzufügen](#event-relais-hinzufugen).

***

## Navigation

<i class="fa-magnifying-glass">:magnifying-glass:</i> Klicke in das Feld **Freitextsuche** oberhalb der Liste und gib einen frei gewählten Suchbegriff ein, um bestimmte Listenelemente zu finden.

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf das **Aktualisieren**-Symbol <i class="fa-arrows-rotate-reverse">:arrows-rotate-reverse:</i> oberhalb der Liste, um alle Listenelemente zu aktualisieren.

<i class="fa-computer-mouse-scrollwheel">:computer-mouse-scrollwheel:</i> Scrolle in der Liste nach unten oder passe die Ergebnisanzeige pro Seite an: ![](/files/2OyJnQuiS9EayPZHDbB3) um weitere Einträge in der Liste zu sehen.\
Nutze die Seitennavigation: ![](/files/IWrRD7h50XDr2neLTKmC) um zwischen mehreren Seiten zu wechseln.

### Listenelemente sortieren

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke im Tabellenkopf auf das **Sortieren**-Symbol <i class="fa-sort">:sort:</i> neben einem Spaltennamen, um nach der jeweiligen Spalte in aufsteigender Reihenfolge <i class="fa-angle-up">:angle-up:</i> oder in absteigender Reihenfolge <i class="fa-chevron-down">:chevron-down:</i> zu sortieren.

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf das **Sortieren**-Symbol <i class="fa-bars-sort">:bars-sort:</i> oberhalb der Liste, um die Priorität der vorgenommenen Sortierung anzupassen. Es öffnet sich ein Menü, in dem alle Spalten angezeigt werden, nach denen die Liste sortiert ist. Verschiebe die angezeigten Elemente per Drag-and-Drop, um die Sortierpriorität zu ändern.

### Weitere Aktionen für Listenelemente

<i class="fa-computer-mouse">:computer-mouse:</i> Setze einen Haken in die Checkbox <i class="fa-square">:square:</i> neben einem Listenelement, um das entsprechende Element auszuwählen. Oder setze einen Haken in die Checkbox im Tabellenkopf, um alle Listenelemente gemeinsam auszuwählen.

Neben dem Suchfeld erscheint nun die Anzahl der ausgewählten Listenelemente.

Zudem erscheint das Menü <i class="fa-slider">:slider:</i> **Aktionen** in der rechten oberen Ecke. Klicke darauf, um das dazugehörige Untermenü auszuklappen. Folgende Aktionen stehen zur Verfügung:

<table><thead><tr><th width="175.453125">Aktion</th><th>Beschreibung</th></tr></thead><tbody><tr><td>Löschen</td><td><p>Lösche alle ausgewählten Event-Relays.<br></p><p><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <strong>Löschen</strong> und bestätige die Meldung, die erscheint, mit Klick auf <strong>Unwiederbringlich Löschen</strong>.</p><div data-gb-custom-block data-tag="hint" data-style="danger" class="hint hint-danger"><p><strong>Bitte beachte</strong>: Gelöschte Elemente sind unwiederbringlich verloren!</p></div></td></tr><tr><td>Aktivieren</td><td><p><i class="fa-eye">:eye:</i> Diese Aktion ist nur klickbar, wenn ausschließlich inaktive Event-Relays ausgewählt sind.<br></p><p>Aktiviere alle inaktiven Event-Relays.</p></td></tr><tr><td>Deaktivieren</td><td><i class="fa-eye">:eye:</i> Diese Aktion ist nur klickbar, wenn ausschließlich aktive Event-Relays ausgewählt sind.<br><br>Deaktiviere alle aktiven Event-Relays.</td></tr></tbody></table>

***

## Event-Relays: Übersicht

<figure><img src="/files/ZwiNJWKmb1MtK70LudHc" alt=""><figcaption></figcaption></figure>

Die Event-Relay-Übersicht ist als tabellarische Liste aufgebaut. Du kannst der Liste folgende Informationen entnehmen:

<table><thead><tr><th width="199.70703125">Spalte</th><th>Beschreibung</th></tr></thead><tbody><tr><td>Name</td><td>Zeigt den benutzerdefinierten Namen des Event-Relays sowie eine zusätzliche Beschreibung, falls angegeben. Zudem werden Erstelldatum und -uhrzeit sowie letztes Bearbeitungsdatum und -uhrzeit angezeigt.<br><br><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf den Namen eines Event-Relays, um zur entsprechenden <a href="#event-relais-bearbeitungsansicht">Bearbeitungsansicht</a> zu navigieren. Hier kannst du vorgenommene Einstellungen anpassen und das Event-Relay löschen.</td></tr><tr><td>Host</td><td><p>Zeigt den Namen des Hosts, auf dem der Pulsar installiert ist, der als Event-Relay fungiert.</p><p><br><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf den Namen eines Hosts, um zur jeweiligen <a href="/pages/2A0M45TxgQaeD6tpDIkK">Host-Detailansicht</a> zu navigieren.</p></td></tr><tr><td>Protokoll</td><td>Zeigt das Transportprotokoll, über das das Event-Relay eingehende Syslog-Daten empfängt.</td></tr><tr><td>Bind-Adresse</td><td>Zeigt die Bind-IP-Adresse, an die das Event-Relay gebunden ist, um eingehende Verbindungsanfragen anzunehmen.</td></tr><tr><td>Port</td><td>Zeigt den benutzerdefinierten Port, über den das Event-Relay eingehende Syslog-Daten empfängt.</td></tr><tr><td>Format</td><td>Zeigt das benutzerdefinierte Syslog-Format, das verwendet wird.</td></tr><tr><td>Aktiviert</td><td>Zeigt, ob das Event-Relay aktiv Syslog-Daten empfängt und an das SIEM weiterleitet, oder nicht.<br><br>Ist das Event-Relay aktiviert, wird dies mit einem grünen <strong>Check</strong>-Symbol <i class="fa-circle-check" style="color:$success;">:circle-check:</i> angezeigt. Deaktivierte Event-Relays werden mit einem roten <strong>Kreis</strong>-Symbol <i class="fa-circle" style="color:red;">:circle:</i> angezeigt.</td></tr><tr><td>Im Data Lake öffnen</td><td><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <strong>Im Data Lake öffnen</strong>, um den <a href="/pages/G8UmurHoc2ViJtjzwtSY">Data Lake</a> auf einer vorgefilterten Ansicht zu öffnen, die alle Syslog-Einträge anzeigt, die durch das Event-Relay an das SIEM weitergeleitet wurden.</td></tr></tbody></table>

***

## Event-Relay hinzufügen

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <i class="fa-plus">:plus:</i> **Kollektor-Relais hinzufügen** in der rechten oberen Ecke, um ein [neues Event-Relay zu erstellen](/docs/manual/bedienung-der-plattform/siem/allgemeine-kollektoren/event-relay/event-relais-hinzufugen.md).

***

## Event-Relay: Bearbeitungsansicht

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf den Namen eines Event-Relays, um zur entsprechenden Bearbeitungsansicht zu navigieren. Hier kannst du [vorgenommene Einstellungen](/docs/manual/bedienung-der-plattform/siem/allgemeine-kollektoren/event-relay/event-relais-hinzufugen.md#grundeinstellungen) anpassen und das Event-Relay löschen.

Folgende Aktionen stehen zur Verfügung:

<table><thead><tr><th width="200.39453125">Option</th><th>Beschreibung</th></tr></thead><tbody><tr><td>Änderungen speichern</td><td><p><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <strong>Änderungen speichern</strong>, nachdem du Einstellungen geändert hast.</p><div data-gb-custom-block data-tag="hint" data-style="danger" class="hint hint-danger"><p><strong>Bitte beachte</strong>: Nicht gespeicherte Änderungen sind unwiederbringlich verloren!</p></div></td></tr><tr><td>Zurück</td><td><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <strong>Zurück</strong>, um zurück zur Listenübersicht zu gelangen.</td></tr><tr><td>Löschen</td><td><p><i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf <strong>Löschen</strong> und bestätige die Meldung, die erscheint, mit <strong>Löschen</strong>, um alle vorgenommenen Einstellungen zu löschen.</p><div data-gb-custom-block data-tag="hint" data-style="danger" class="hint hint-danger"><p><strong>Bitte beachte</strong>: Gelöschte Einstellungen sind unwiederbringlich verloren!</p></div></td></tr></tbody></table>

***