Propiedades en el Editor de DSM

En el Editor de DSM, las propiedades del sistema normalizadas se combinan con las propiedades personalizadas y están ordenadas alfabéticamente.

Un DSM no puede tener varias propiedades con el mismo nombre.

La configuración de una propiedad del sistema difiere de la de una propiedad personalizada.

Propiedades del sistema

Las propiedades del sistema no se pueden suprimir pero puede alterar temporalmente el comportamiento predeterminado. Hay dos tipos de propiedades del sistema:

Propiedad del sistema predefinida: Muestra el comportamiento de QRadar predeterminado que se utiliza para el DSM.
Propiedad del sistema de alteración temporal: Las propiedades del sistema con alteración temporal configurada (extensión de origen de registro) muestran Override en la línea de estado. Cuando una propiedad del sistema tiene una alteración temporal, una extensión de origen de registro para ese DSM utiliza las expresiones regulares especificadas para la configuración.

Nota: El Editor DSM facilita la creación de expresiones regulares únicas para las propiedades de los eventos, como IP y Puerto, lo que permite la extracción independiente de los valores de las propiedades de los eventos.

Propiedades personalizadas

Las propiedades personalizadas muestran Custom en la línea de estado.

Las propiedades personalizadas difieren de las propiedades del sistema de estas formas:

Las propiedades personalizadas muestran Custom debajo de su nombre.
Las propiedades personalizadas no tienen el recuadro de selección Alterar temporalmente comportamiento del sistema.
Para hacer que una propiedad personalizada esté disponible para las reglas y la indexación de búsquedas, seleccione el recuadro Habilitar esta propiedad para utilizarla en la indexación de búsquedas y en reglas al crear una propiedad personalizada.
Nota: Cuando selecciona esta opción, QRadar intenta extraer la propiedad de los sucesos tan pronto como entran en el conducto. La información de propiedad extraída y el resto del registro de sucesos persisten. No es necesario volver a extraer la propiedad cuando se utiliza en una búsqueda o informe. Este proceso mejora el rendimiento cuando se recupera la propiedad, pero puede tener un impacto negativo sobre el rendimiento durante la recopilación y el almacenamiento de sucesos.
Las propiedades personalizadas deben tener una o más expresiones para ser válidas.