比較機能 (matcher)

field (必須)

パターンの適用対象フィールド (EventName や SourceIp など)。 「有効なマッチャー・フィールド名のリスト」 表にリストされている任意のフィールド名を使用できます。

pattern-id (必須)

ペイロードにあるフィールドを構文解析するときに使用するパターン。 この値は、パターン ID パラメーター (表 1) で以前に定義されたパターンの ID パラメーターと (大/小文字を含めて) 一致する必要があります。

order (必須)

同じフィールドに割り当てた比較機能の中で、このパターンを適用する順序。 EventName フィールドに 2 つの比較機能を割り当てた場合は、order が最も小さいものが最初に適用されます。

capture-group (オプション)

括弧 ( ) 内の正規表現で参照されます。これらのキャプチャーは、1 から開始され、パターン内で左から右に処理されます。 capture-group フィールドは、パターンに含まれているキャプチャー・グループの数以下の正整数でなければなりません。 デフォルト値は 0 であり、一致全体に相当します。

例えば、送信元 IP アドレスおよびポートに対して単一のパターンを定義できます。この場合、SourceIp という比較機能でキャプチャー・グループ 1 を使用し、SourcePort という比較機能でキャプチャー・グループ 2 を使用することができますが、定義する必要があるパターンは 1 つだけです。

enable-substitutions パラメーターと組み合わせた場合、このフィールドには 2 つの目的が備わります。

例を参照するには、拡張文書の例 を確認します。

enable-substitutions (オプション)

ブール値

true に設定した場合は、連続したグループ・キャプチャーで適切にフィールドを表記することができません。 複数のグループを追加のテキストと組み合わせて値を作成することができます。

このパラメーターにより、capture-group パラメーターの意味が変化します。 capture-group パラメーターによって新しい値が作成され、 \x を使用してグループ置換が指定されます。ここで、 x は 1 から 9 までのグループ番号です。 グループは何度でも使用でき、自由な形式の任意のテキストを値に挿入することもできます。 例として、グループ 1 から値を生成し、その後に下線、グループ 2、@ が続いた後に再度グループ 1 が続く値を生成する場合に適したキャプチャー・グループの構文を以下のコードに示します。

capture-group=”\1_\2@\1”

別の例では、MAC アドレスはコロンで区切られますが、 QRadarでは、MAC アドレスは通常ハイフンで区切られます。 個々の部分を構文解析してキャプチャーする構文を以下の例に示します。

capture-group=”\1:\2:\3:\4:\5:\6”

置換が有効であるがキャプチャー・グループでグループが指定されていない場合は、直接テキスト置換が実行されます。

デフォルトは false です。

ext-data (オプション)

拡張で比較機能フィールドが提供できる追加のフィールド情報および書式設定を定義する、追加のデータ・パラメーター。

このパラメーターを現在使用するフィールドは DeviceTime のみです。

例えば、デバイスが固有のタイム・スタンプを使用してイベントを送信するが、そのイベントを標準のデバイス時刻に書式設定し直したい場合が該当します。 このイベントの日時スタンプを書式設定し直すには、DeviceTime フィールドに組み込んだ ext-data パラメーターを使用します。 詳細については、有効な Matcher フィールド名のリスト を参照してください。

EventName (必須)

イベントを識別するための、QID から取得するイベント名。

EventCategory

cat (LEEF)

event-match-single エンティティーまたは event-match-multiple エンティティーによって処理されないカテゴリーを持つイベントに対するイベント・カテゴリー。

<event-match-single event-name=
"Successfully logged in" 
force-qidmap-lookup-on-fixup="true" 
device-event-category="CiscoNAC" 
severity="4" send-identity=
"OverrideAndNeverSend" />

SourceIp

src (LEEF)

メッセージの送信元 IP アドレス。

SourcePort

srcPort (LEEF)

メッセージの送信元ポート。

SourceIpPreNAT

srcPreNAT (LEEF)

ネットワーク・アドレス変換 (NAT) 実行前のメッセージの送信元 IP アドレス。

SourceIpPostNAT

srcPostNAT (LEEF)

NAT 実行後のメッセージの送信元 IP アドレス。

SourceMAC

srcMAC (LEEF)

メッセージの送信元 MAC アドレス。

SourcePortPreNAT

srcPreNATPort (LEEF)

NAT 実行前のメッセージの送信元ポート。

SourcePortPostNAT

srcPostNATPort (LEEF)

NAT 実行後のメッセージの送信元ポート。

DestinationIp

dst (LEEF)

メッセージの宛先 IP アドレス。

DestinationPort

dstPort (LEEF)

メッセージの宛先ポート。

DestinationIpPreNAT

dstPreNAT (LEEF)

NAT 実行前のメッセージの宛先 IP アドレス。

DestinationIpPostNAT

dstPostNAT (LEEF)

NAT 実行後のメッセージの宛先 IP アドレス。

DestinationPortPreNAT

dstPreNATPort (LEEF)

NAT 実行前のメッセージの宛先ポート。

DestinationPortPostNAT

dstPostNATPort (LEEF)

NAT 実行後のメッセージの宛先ポート。

DestinationMAC

dstMAC (LEEF)

メッセージの宛先 MAC アドレス。

DeviceTime

devTime (LEEF)

デバイスで使用する時刻および形式。 デバイスによっては、この日時スタンプがイベントの送信時刻を表します。 このパラメーターはイベントの受信時刻を表すわけではありません。 ext-data の比較機能属性を使用することによって、DeviceTime フィールドでイベントのカスタム日時スタンプを使用できます。

DeviceTime フィールドで使用できる日時スタンプ形式の例を以下に示します。

• ext-data="dd/MMM/YYYY:hh:mm:ss"

  11/Mar/2015:05:26:00

• ext-data="MMM dd YYYY / hh:mm:ss"

  Mar 11 2015 / 05:26:00

• ext-data="hh:mm:ss:dd/MMM/YYYY"

  05:26:00:11/Mar/2015

データとタイム・スタンプの形式に使用できる値について詳しくは、 Joda-Time Web ページ (http://www.joda.org/joda-time/key_format.html) を参照してください。

DeviceTime は、オプション・パラメーター ext-data を使用する唯一のイベント・フィールドです。

プロトコル

proto (LEEF)

メッセージのプロトコル (TCP、UDP、ICMP など)。

UserName

メッセージのユーザー名。

HostName

identHostName (LEEF)

メッセージのホスト名。 一般に、このフィールドはアイデンティティー・イベントに関連付けます。

GroupName

identGrpName (LEEF)

メッセージのグループ名。 一般に、このフィールドはアイデンティティー・イベントに関連付けます。

IdentityIp

メッセージのアイデンティティー IP アドレス。

IdentityMac

identMAC (LEEF)

メッセージのアイデンティティー MAC アドレス。

IdentityIpv6

メッセージの IPv6 アイデンティティー IP アドレス。

NetBIOSName

identNetBios (LEEF)

メッセージの NetBIOS 名。 一般に、このフィールドはアイデンティティー・イベントに関連付けます。

ExtraIdentityData

メッセージのユーザー固有データ。 一般に、このフィールドはアイデンティティー・イベントに関連付けます。

SourceIpv6

メッセージの IPv6 送信元 IP アドレス。

DestinationIpv6

メッセージの IPv6 宛先 IP アドレス。