Benutzerdefinierten Eigenschaftsausdruck konfigurieren

Sie können unterschiedliche Ausdrücke verwenden, um verschiedene benutzerdefinierte Eigenschaften für dasselbe Ereignis zu erfassen. Sie können auch verschiedene Ausdruckstypen miteinander kombinieren, um dieselbe benutzerdefinierte Eigenschaft zu erfassen, falls diese Eigenschaft aus mehreren Ereignisformaten erfasst werden kann.

Informationen zu dieser Task

IBM QRadar unterstützt die folgenden Ausdruckstypen für angepasste Eigenschaften:
  • Regulärer Ausdruck
  • JSON
  • LEEF
  • CEF
  • Name/Wert-Paar
  • Generische Liste
  • XML

Vorgehensweise

  1. Suchen Sie auf der Registerkarte Eigenschaften die angepasste Eigenschaft und wählen Sie sie aus. Angepasste Eigenschaften zeigen das Wort Custom neben ihnen an, um sie von Systemeigenschaften zu unterscheiden.
  2. Wählen Sie in der Liste Ausdruckstyp einen Ausdruckstyp aus und definieren Sie einen gültigen Ausdruck dafür.
    Tipps:
    • Bei Regex muss als Ausdruck ein gültiger Java-kompatibler regulärer Ausdruck angegeben werden. Der Abgleich ohne Beachtung der Groß-/Kleinschreibung wird nur unter Verwendung des Tokens (?i) am Beginn des Ausdrucks unterstützt. Das Token (?i) wird in der XML-Datei der Protokollquellenerweiterung gespeichert. Wenn Sie andere Ausdrücke wie (?s) verwenden möchten, bearbeiten Sie die Datei mit der Protokollquellenerweiterung .xml manuell.
    • Für JSON muss der Ausdruck ein Pfad im Format /"<name of top-level field>" mit zusätzlichen /"<name of sub-field>"-Unterobjekten sein, um gegebenenfalls Unterfelder zu erfassen.
    • Um den Wert eines Schlüssel/Wert-Paars für LEEF und CEF zu erfassen, setzen Sie den Ausdruck auf den Schlüssel.
    • Um den Wert eines Headerfelds zu erfassen, setzen Sie den Ausdruck auf das entsprechende reservierte Wort für dieses Headerfeld.
  3. Wenn es sich beim Ausdruckstyp um 'Regex' handelt, wählen Sie eine Erfassungsgruppe aus.
  4. Um einen Ausdruck zu begrenzen, der für eine bestimmte Kategorie ausgeführt werden soll, klicken Sie auf Bearbeiten , um die Selektivität zur angepassten Eigenschaft hinzuzufügen, und wählen Sie eine übergeordnete Kategorie und eine untergeordnete Kategorieaus.
  5. Um einen Ausdruck auf die Ausführung für ein bestimmtes Ereignis oder eine bestimmte QID zu begrenzen, klicken Sie auf Ereignis auswählen , um nach einer bestimmten QID zu suchen.
  6. Klicken Sie im Fenster Ausdruck auf OK.
  7. Wenn Sie mehrere Ausdrücke hinzufügen und diese neu anordnen möchten, führen Sie die folgenden Schritte aus:
    1. Klicken Sie in der Liste der Ausdrücke auf "Hinzufügen" (+).
    2. Ziehen Sie die Ausdrücke mit der Maus in die Reihenfolge, in der sie ausgeführt werden sollen.