Création d'une propriété personnalisée

Créez une propriété personnalisée pour extraire des données que IBM QRadar n'affiche généralement pas à partir des contenus d'événement ou de flux. Les propriétés personnalisées doivent être activées et les propriétés personnalisées reposant sur l'extraction doivent être analysées pour pouvoir les utiliser dans des règles, des recherches, des rapports ou dans l'indexation d'infractions.

Avant de commencer

QRadar inclut un certain nombre de propriétés d'événement personnalisées existantes qui ne sont pas activées ou analysées par défaut. Demandez à votre administrateur de vérifier que la propriété d'événement personnalisée que vous souhaitez créer n'existe pas.

Pour créer des propriétés d'événement personnalisées, vous devez disposer du droit Propriétés d'événement définies par l'utilisateur.

Pour créer des propriétés de flux personnalisées, vous devez disposer du droit Propriétés de flux définies par l'utilisateur. Vous devez également définir la zone IPFIX Additional Field Encoding sur Payload ou TLV and Payload.

Les utilisateurs disposant de fonctions d'administration peuvent créer des propriétés d'événement et de flux personnalisées en sélectionnant Propriétés d'événement personnalisées ou Propriétés de flux personnalisées sur l'onglet Admin.

Vous devez configurer un collecteur de flux pour exporter des données vers un processeur de flux. Pour plus d'informations, voir Configuration du format Flow Collector.

A propos de cette tâche

Bien que plusieurs propriétés personnalisées par défaut puissent avoir le même nom et la même source de journal, elles peuvent avoir des expressions régulières, des catégories ou des noms d'événement différents. Par exemple, il existe plusieurs propriétés personnalisées pour Microsoft Windows Security Event Log, appelées AccountName, mais chacune d'entre elles est définie par une expression rationnelle unique.

1. Cliquez sur l'onglet Activité du journal ou sur l'onglet Activité réseau .
2. Si vous affichez les événements ou les flux en mode diffusion en flux, cliquez sur l'icône Pause pour mettre en pause la diffusion en flux.
3. Cliquez deux fois sur l'événement ou le flux contenant les données à extraire, puis cliquez sur Extraire la propriété.
4. Dans la sous-fenêtre Sélection du type de propriété , sélectionnez le type de propriété personnalisée que vous souhaitez créer.
5. Configurez les paramètres de propriété personnalisée.

   Cliquez sur l'icône d'aide () pour afficher des informations sur les paramètres de propriété personnalisée.

6. Si vous créez une propriété personnalisée basée sur l'extraction qui doit être utilisée dans des règles, des index de recherche ou des profils de transfert, vérifiez que la case Activer pour l'utilisation dans les règles, les profils de transfert et l'indexation de recherche est cochée.
7. Facultatif: Cliquez sur Tester pour tester l'expression par rapport au contenu.
8. Facultatif : Nouveau dans 7.5.0 Update Package 12 Vous pouvez utiliser un algorithme d'analyse prédictive pour les propriétés personnalisées des expressions régulières (regex). Vous pouvez activer l'analyse prédictive en cochant la case Activer l'analyse prédictive. Par défaut, l'analyse prédictive est désormais activée pour toutes les propriétés personnalisées. Si vous activez l'analyse prédictive, les performances sont plus rapides lorsque vous créez une nouvelle propriété. Vous pouvez également définir le jeu de délimiteurs pour une propriété en utilisant l'option Délimiteurs de l'analyse prédictive. L'analyse prédictive utilise un algorithme pour extraire les valeurs des propriétés des événements sans exécuter l'expression rationnelle pour chaque événement, ce qui la rend rapide. Cependant, dans de rares circonstances, l'algorithme peut faire des prédictions incorrectes. Il est donc recommandé d'utiliser l'analyse prédictive uniquement pour les types de sources de journaux qui sont susceptibles de recevoir des taux d'événements élevés et qui nécessitent donc une analyse plus rapide.
9. Cliquez sur Sauvegarder.

Etape suivante

Modification ou suppression d'une propriété personnalisée