Übersicht über den DSM-Editor

Statt eine Protokollquellenerweiterung manuell zu erstellen, um Parsing-Probleme zu beheben oder die Unterstützung auf neue Protokollquellentypen zu erweitern, können Sie hierzu auch den DSM-Editor verwenden. Der DSM-Editor stellt verschiedene Ansichten Ihrer Daten bereit. Sie können darin Felder extrahieren, benutzerdefinierte Eigenschaften definieren, Ereignisse kategorisieren und neue QID-Definitionen erstellen.

Der DSM-Editor stellt die folgenden Ansichten bereit:

Arbeitsbereich

Der Arbeitsbereich zeigt die unaufbereiteten Ereignisdaten an. Sie können mit Beispielereignisnutzdaten das Verhalten des Protokollquellentyps testen. Im Arbeitsbereich werden die erfassten Daten in Echtzeit angezeigt.

Alle Beispielereignisse werden aus dem Arbeitsbereich an den DSM-Simulator gesendet. Dort werden die Eigenschaften analysiert und die QID-Zuordnungen durchsucht. Die Ergebnisse werden im Abschnitt Vorschau der Protokollaktivität angezeigt. Zum Öffnen der Ansicht im Bearbeitungsmodus klicken Sie auf das Symbol "Bearbeiten".

Im Bearbeitungsmodus können Sie Ereignisdaten im Umfang von bis zu 100.000 Zeichen in den Arbeitsbereich einfügen oder Daten direkt bearbeiten. Wenn Sie Eigenschaften auf der Registerkarte Eigenschaften bearbeiten, werden Übereinstimmungen in den Nutzdaten im Arbeitsbereich hervorgehoben. Benutzerdefinierte Eigenschaften und überschriebene Systemeigenschaften werden zudem im Arbeitsbereich hervorgehoben.

Neu in 7.4.1Sie können einen angepassten Begrenzer angeben, der es QRadar erleichtert, mehrzeilige Ereignisse aufzunehmen. Wenn Sie sicherstellen möchten, dass Ihr Ereignis als einzelnes mehrzeiliges Ereignis intakt bleibt, aktivieren Sie das Kontrollkästchen Ereignisbegrenzer überschreiben, um die einzelnen Ereignisse auf Basis eines anderen Zeichens oder einer Zeichenfolge zu trennen. Wenn beispielsweise in Ihrer Konfiguration mehrzeilige Ereignisse verarbeitet werden, können Sie am Ende jedes einzelnen Ereignisses im Arbeitsbereich ein Sonderzeichen hinzufügen und dieses Sonderzeichen dann als Ereignisbegrenzer angeben.

Neu in 7.4.2QRadar kann reguläre Ausdrücke vorschlagen, wenn Sie Ereignisdaten in den Arbeitsbereicheingeben. Wenn Sie mit der Erstellung von regulären Ausdrücken nicht vertraut sind, verwenden Sie diese Funktion zum Generieren Ihres regulären Ausdrucks. Markieren Sie den zu erfassenden Text mit Nutzdaten und klicken Sie auf der Registerkarte Eigenschaften auf Suggest Regex (Regulären Ausdruck empfehlen). Der empfohlene Ausdruck wird im Feld Ausdruck angezeigt. Alternativ dazu können Sie im Arbeitsbereich auf die Schaltfläche Regulärer Ausdruck klicken und die Eigenschaft auswählen, für die Sie einen Ausdruck schreiben möchten. Wenn QRadar keinen geeigneten regulären Ausdruck für Ihr Datenbeispiel generieren kann, wird eine Systemnachricht angezeigt.

Tipp: Der Generator für reguläre Ausdrücke funktioniert am besten für Felder in klar strukturierten Ereignisnutzdaten. Wenn Ihre Nutzdaten aus komplexen Daten aus natürlicher Sprache oder aus unstrukturierten Ereignissen bestehen, kann der Generator für reguläre Ausdrücke diese möglicherweise nicht analysieren und gibt kein Ergebnis zurück.

Vorschau der Protokollaktivität

Neu in 7.4.1 Die Spalte Parsing-Status wurde zur Vorschau der Protokollaktivität hinzugefügt.

In der Vorschau der Protokollaktivität wird simuliert, wie die Nutzdaten im Arbeitsbereich in der Anzeigefunktion Protokollaktivität angezeigt werden. In der Spalte Parsing-Status wird angegeben, ob die Ereigniseigenschaften erfolgreich analysiert und einem QID-Datensatz zugeordnet werden. Hier werden alle unterstützten Standardeigenschaften angezeigt. The fields that are marked with an asterisk (*), for example, Event name, Severity, Low-level category, and QID, are populated from the QID map. Felder, die aus der QID-Zuordnung gefüllt werden, lassen sich nicht Wort für Wort aus den rohen Ereignisdaten im Arbeitsbereich parsen und können aus diesem Grund nicht definiert oder bearbeitet werden. Sie können ihre Werte anpassen, indem Sie die entsprechende Kombination aus Ereignis-ID und Ereigniskategorie auf der Registerkarte Ereigniszuordnungen auswählen. Klicken Sie danach auf Bearbeiten, um ein Ereignis einem anderen QID-Datensatz, der im System vorhanden ist, oder einer neu erstellten QID zuzuordnen.

Wichtig: Sie müssen eine Event ID festlegen, damit alle Systemeigenschaften ordnungsgemäß geparst werden.

Klicken Sie auf das Konfigurationssymbol, um die Spalten auszuwählen, die in der Vorschau der Protokollaktivität angezeigt oder ausgeblendet werden sollen, und um die Spalten neu zu ordnen.

Eigenschaften

Die Registerkarte Eigenschaften enthält eine Liste der Systemeigenschaften und der benutzerdefinierten Eigenschaften, aus denen eine DSM-Konfiguration besteht. Die Konfiguration einer Systemeigenschaft unterscheidet sich von der Konfiguration einer angepassten Eigenschaft. Sie können eine Eigenschaft überschreiben, indem Sie das Kontrollkästchen Systemverhalten überschreiben aktivieren und den Ausdruck definieren.

Hinweis: Wenn Sie die Eigenschaft Ereigniskategorie überschreiben, müssen Sie auch die Eigenschaft Ereignis-ID überschreiben.
Wichtig: Wenn Sie eine Ereignis-ID-Überschreibung für ein Ereignis hinzufügen, müssen Sie eine Ereignis-ID-Überschreibung für alle anderen Ereignisse mit Eigenschaftsüberschreibungen hinzufügen. Andernfalls werden die anderen Überschreibungen nicht analysiert.

Übereinstimmungen mit den Nutzdaten werden in den Ereignisdaten im Arbeitsbereich hervorgehoben. Zur Hervorhebung werden je nach Art der erfassten Daten zwei Farbtöne verwendet. Die Werte von Erfassungsgruppen werden beispielsweise orange hervorgehoben, während der übrige Teil des angegebenen regulären Ausdrucks in einem hellen Gelb hervorgehoben wird. Die Rückmeldung im Arbeitsbereich zeigt, ob der reguläre Ausdruck richtig ist. Wenn ein Ausdruck im Fokus ist, spiegelt die Hervorhebung im Arbeitsbereich nur wider, was der betreffende Ausdruck abgleichen kann. Wenn die gesamte Eigenschaft im Fokus ist, wird die Hervorhebung grün und zeigt an, was der aggregierte Satz an Ausdrücken unter Berücksichtigung der Reihenfolge abgleichen kann.

Im Feld Formatzeichenfolge werden Erfassungsgruppen durch Verwendung der Schreibweise $<number> dargestellt. Beispielsweise steht $1 für die erste Erfassungsgruppe aus dem regulären Ausdruck, $2 für die zweite Erfassungsgruppe und so weiter.

Sie können einer Eigenschaft auch mehrere Ausdrücke hinzufügen und deren Priorität durch die entsprechende Reihenfolge in der Liste festlegen.

Ein Warnsymbol neben einer Eigenschaft weist darauf hin, dass kein Ausdruck hinzugefügt wurde.

Registerkarte 'Ereigniszuordnungen'

Neu in 7.4.1 Auf der Registerkarte Ereigniszuordnung wurde Unterstützung für das Kopieren von Feldern für Ereignis-IDs und Ereigniskategorien hinzugefügt.

Auf der Registerkarte Ereigniszuordnung werden alle Kombinationen aus Ereignis-ID und Kategorie angezeigt, die im System für einen ausgewählten Protokollquellentyp vorhanden sind. Wird eine neue Ereigniszuordnung erstellt, wird sie zur Liste der Kombinationen aus Ereignis-ID und Kategorie hinzugefügt, die auf der Registerkarte Ereigniszuordnungen angezeigt wird. Generell werden auf der Registerkarte Ereigniszuordnungen alle Kombinationen aus Ereignis-ID und Kategorie sowie die QID-Datensätze, denen sie zugeordnet sind, angezeigt.

Registerkarte 'Konfiguration'

Sie können die automatische Eigenschaftenerkennung für strukturierte Daten im JSON-Format konfigurieren. Standardmäßig ist bei Protokollquellentypen die automatische Eigenschaftenerkennung ausgeschaltet.

Wenn Sie die automatische Eigenschaftenerkennung auf der Registerkarte Konfiguration aktivieren, erstellt die Eigenschaftenerkennungsengine automatisch neue Eigenschaften, um alle Felder zu erfassen, die in den Ereignissen, die von einem Protokollquellentyp empfangen werden, vorhanden sind. Sie können die Anzahl aufeinanderfolgender Ereignisse, die auf neue Eigenschaften überprüft werden sollen, im Feld Schwellenwert für Erkennungsabschluss konfigurieren. Neu erkannte Eigenschaften erscheinen in der Registerkarte Eigenschaften und werden in den Regeln und Suchindexen verfügbar gemacht. Werden jedoch vor Erreichen des Schwellenwerts keine neuen Eigenschaften erkannt, wird der Erkennungsprozess als abgeschlossen betrachtet und die automatische Eigenschaftenerkennung für diesen Protokollquellentyp wird inaktiviert. Sie können die automatische Eigenschaftenerkennung auf der Registerkarte 'Konfiguration' jederzeit manuell aktivieren.
Hinweis: Damit Ereignisse für einen Protokollquellentyp kontinuierlich überprüft werden, müssen Sie sicherstellen, dass Sie den Wert für Schwellenwert für Erkennungsabschluss auf 0 setzen.