動的検索 データ・ソースは、 IBM® QRadar® 動的検索 API を使用して、COUNT、SUM、MAX、AVG などの集約関数を含むデータを検索します。 例えば、COUNT_PER 関数を使用して、アセット・ホスト名ごとのアセット ID の数をカウントすることができます。
管理者は、JSON スクリプトの形式で動的検索を提供する必要があります。
「動的検索」 オプションには、 QRadar 7.4.1.2020.3.2.20201112005343 (フィックスパック 2) 以降が必要です。
QRadar のバージョンが 7.4.3 以降で、管理者である場合は、 「動的検索照会ビルダー」 リンクをクリックして、照会を作成し、それを JSON スクリプトとして保存してウィジェット照会として使用できるようにします。
このタスクについて
以下のデータ・ソースに対する照会を作成できます。
関数なしに単純なフィールドとしてフィールドを追加することも、列を作成する関数付きの複雑なフィールドとしてフィールドを追加することもできます。 データをフィルタリングする条件を追加することもできます。
- ダッシュボードの構成をクリックします。
「ダッシュボードの構成」 画面に、使用可能なウィジェットのライブラリーがそれぞれの詳細とともに表示されます。
- 新規ウィジェットの作成をクリックします。
- 「 新規ダッシュボード項目 」ページで、ウィジェットの名前と説明を入力します。
- 照会 セクションのデータ・ソース・リストから 動的検索 を選択し、JSON 照会を入力します。
- オプション: QRadar のバージョンが 7.4.3 以降で、管理者である場合は、 「動的検索照会ビルダー」 リンクをクリックして照会を作成します。
- データ・ソースを選択します。
- 使用可能な列 セクションと 使用可能なフィルター セクションに入力します。
- 照会に名前、説明、検索範囲、保存期間、または検索タイプを追加するには、1 つ以上の 追加の検索プロパティーを有効にします。
- JSON スクリプトをコピーするには、 JSON の生成をクリックします。
結果が「照会によって生成された JSON (JSON generated by your query)」セクションに表示されます。 「クリップボードにコピー」をクリックして、JSON スクリプトをコピーします。
- 「新規ダッシュボード項目」 ページで、コピーした JSON スクリプトを貼り付けます。
- オプション: 動的検索照会にパラメーターを追加します。
- 照会に既存のパラメーターを挿入します。 パラメーターの挿入アイコンをクリックし、関連するパラメーターごとに「挿入」をクリックします。
重要: 動的検索照会では、パラメーターの前にドル記号を付ける必要があります (例えば、 ${NumberOfRules})。
- パラメーターのデフォルト値を変更するには、 パラメーターの表示 アイコンをクリックし、デフォルト値を設定した後で 保存 をクリックします。
パラメーターのデフォルト値を変更すると、展開またはピン留めされたダッシュボードおよびウィジェットを除き、ワークスペース内でパラメーターが使用されるすべての場所で値が変更されます。 値をデフォルト値として設定しない場合は、更新された変更は現行セッションにのみ適用されます。 ただし、値をデフォルトとして設定する場合は、現行セッションの値でもその値が使用されます。
事前定義された SYSTEM:username パラメーターは、ログインしているユーザーのユーザー名を返します。 システム・パラメーターは読み取り専用であり、デフォルト値を変更することはできません。
- ワークスペースにパラメーターを追加するには、 追加をクリックし、パラメーターに名前とデフォルト値を指定し (必要な場合)、 保存をクリックします。
ダッシュボードのウィジェットに初めてパラメーターを追加すると、ダッシュボードに「パラメーター」カードが表示されます。 ウィジェットからパラメーターを削除し、ダッシュボード内にそのパラメーターを使用するウィジェットがそれ以上ない場合は、パラメーター・カードは表示されなくなります。
- 照会の実行をクリックします。
ウィジェットを初めて作成する際、データ結果が返されていない場合は、グラフを構成できません。 フィールドの条件をあまり厳しくないものにして、照会を再実行してください。
- ビュー セクションでダッシュボード・グラフを作成します。
同じ照会から複数のビューおよびグラフを作成できるため、ビューには固有の名前を付けてください。 デフォルトでは、タイトル・バーにあるグラフのタイトルと状況が表示されます。それらを非表示にするには、その他のオプション・アイコンをクリックして、設定を「オフ」に切り替えます。
- グラフ・タイプを選択し、関連プロパティーを構成します。 使用するグラフ・タイプを決定するのに役立つユース・ケースについては、 ウィジェット・グラフ・タイプを参照してください。
- グラフの外観をプレビューし、 保存をクリックします。
ヒント: グラフのラベルは使用されている照会から取得されます。 プレビューでわかりにくい場合は、「ビュー」セクションでラベルを編集します。