Angepasste Ereignisschlüssel

Andere Anbieter und Partner können eigene angepasste Ereignisschlüssel definieren und diese in die Nutzdaten des LEEF-Formats einschließen.

Verwenden Sie angepasste Attribute für Schlüssel/Wert-Paare in Ereignisnutzdaten, wenn kein Standardschlüssel verfügbar ist, der die Informationen zu einem Ereignis für Ihre Appliance darstellen kann. Erstellen Sie angepasste Ereignisattribute nur dann, wenn keine akzeptable Zuordnung zu einem vordefinierten Ereignisattribut vorhanden ist. Wenn Ihre Appliance beispielsweise den Zugriff überwacht, können Sie den Dateinamen anfordern, auf den ein Benutzer zugreift, falls standardmäßig kein Dateinamensattribut in LEEF vorhanden ist.

Hinweis: Ereignisattributschlüssel und -werte können nur einmal in den einzelnen Nutzdaten vorkommen. Wenn Sie ein Schlüssel/Wert-Paar zweimal in denselben Nutzdaten verwenden, kann dies dazu führen, dass IBM® Security QRadar® den Wert des doppelten Schlüssels ignoriert.

Benutzerdefinierte Ereignisschlüssel sind nicht normalisiert. Dies bedeutet, dass alle spezialisierten Schlüssel/Wert-Paare, die Sie in Ihr LEEF-Ereignis einschließen, nicht standardmäßig auf der Registerkarte Protokollaktivität von QRadarangezeigt werden. Um benutzerdefinierte Attribute und nicht normalisierte Ereignisse auf der Registerkarte Protokollaktivität von QRadaranzuzeigen, müssen Sie eine benutzerdefinierte Ereigniseigenschaft erstellen. Nicht normalisierte Ereignisdaten sind weiterhin Teil Ihres LEEF-Ereignisses, können in QRadardurchsucht werden und können in den Ereignisnutzdaten angezeigt werden. Weitere Informationen zum Erstellen einer angepassten Ereigniseigenschaft finden Sie im IBM QRadar Administration Guide.