Propriétés d'événements et de flux personnalisés

IBM QRadar normalise les informations standard analysées par le DSM, telles que les noms d'utilisateur, les adresses IP et les ports.

Certaines sources d'événement envoient des informations uniques qui ne sont pas normalisées. Vous pouvez utiliser des propriétés personnalisées pour extraire ces informations du contenu de flux ou d'événement puis utiliser ces dernières dans les règles, les recherches et les rapports personnalisés.

Le type de propriété personnalisée que vous créez dépend de la méthode que vous souhaitez utiliser pour définir les données non normalisées dans le contenu.

Propriétés reposant sur l'extraction

Créez une propriété basée sur l'extraction lorsque vous voulez utiliser une expression régulière ou une expression JSON pour analyser les valeurs de propriété à partir des contenus d'événement ou de flux.

Supposons que vous disposez d'un rapport qui affiche tous les utilisateurs ayant modifié les droits d'un autre utilisateur sur un serveur Oracle. Le rapport utilise des données normalisées pour afficher la liste des utilisateurs qui ont changé les droits, ainsi que le nombre de modifications apportées. Le compte utilisateur qui a été changé n'est pas normalisé et ne peut pas être affiché dans le rapport. Vous pouvez créer une propriété personnalisée reposant sur une expression régulière afin d'extraire ces informations depuis les journaux, puis utiliser la propriété dans des recherches et des rapports.

Lorsque l'événement ou le flux est analysé syntaxiquement, le modèle d'expression est testé à nouveau avec chaque contenu jusqu'à ce qu'une correspondance soit trouvée. Le premier modèle à correspondre au contenu d'événement ou de flux détermine les données à extraire.

Lorsque vous définissez des modèles d'expression régulière personnalisés, respectez les règles d'expression régulière définies par le langage de programmation Java™ . Pour en savoir davantage sur les règles d'expression régulière, vous pouvez consulter les tutoriels correspondants sur le Web.

Propriétés reposant sur un calcul

Créez une propriété reposant sur un calcul si vous voulez effectuer des calculs pour des propriétés d'événement et de flux numériques existantes. Par exemple, vous pouvez créer une propriété reposant sur un calcul qui divise une propriété numérique par une autre propriété numérique afin d'afficher une valeur de pourcentage.

Propriétés reposant sur une expression AQL

Créez une propriété basée sur AQL lorsque vous souhaitez combiner plusieurs propriétés reposant sur le calcul ou l'extraction en une seule. Par exemple, vous pouvez utiliser des propriétés personnalisées basées sur AQL pour combiner en une seule propriété des URL reposant sur l'extraction, des noms de virus ou des noms d'utilisateur secondaire.

CONCAT( 'Src=', sourceip, ' | ', 'User=', username, ' | ', 'Domain=', DOMAINNAME(domainid) )

Remarque: L'expression AQL peut inclure des fonctions AQL.

Elle ne prend pas en charge les expressions utilisant SELECT, FROM ou les noms de base de données.

Vous ne pouvez pas utiliser de fonctions agrégées telles que SUM ou GROUP, ou d'autres propriétés personnalisées reposant sur une expression AQL.