PostEvents

PostEvents アクションは、イベントの配列を QRadar イベント・パイプラインにポストします。これにより、イベントの解析、相関、および保管が可能になります。

以下の表では、PostEvents アクションのパラメーターを示します。

表 1. PostEvents アクションのパラメーター
名前 データ・タイプ 必須 注
パス JPath はい ポストする配列エレメントのパス。
encoding ストリング いいえ

イベントのエンコード。

使用できる値:

  • UTF-8
  • BASE64
  • HEX

デフォルトは UTF-8です。
ソース ストリング はい

(V2_1のオプションフィールド)

イベントのソース (ホスト)。

source の値は、イベント・パイプライン内のイベントを正しいログ・ソースにルーティングするために使用されます。 イベントは、既存のログ・ソースのログ・ソース ID と突き合わされます。

V1とV2では、一致するログソース識別子を持つログソースが存在しない場合、イベントは解析されずに格納され、イベントのコピーはログソース自動検出エンジンに送られる。

V2_1の場合、ソース属性がワークフローで定義されていない場合、ログ・ソース識別子の値がイベント生成ソースとして使用されます。

ログ・ソースは、イベントから自動検出された場合、そのログ・ソース ID を source の値に設定して作成されます。

XML の例:

V1とV2の場合

このアクションは、 /events の状態に保管されているストリングの配列を、一連のイベントとして QRadar イベント・パイプラインにポストします。 ログソースが/hostに格納されている値と一致するログソース識別子を持つ場合、イベントはそのログソースにルーティングされる。

<PostEvents path="/events" host="${/host}" >
V2_1の場合
このアクションは、/eventsのStateに格納されている文字列の配列を、一連のイベントとしてQRadarイベントパイプラインにポストします。
<PostEvents path=”/events”>