E メール・テンプレートをカスタマイズするためのヒントとコツ

IBM® QRadar ® のカスタム・アラート E メール・テンプレートは、 Velocity テンプレートを使用して実装されます。 Velocity は、膨大な量のパワーとプログラマビリティを提供する Java ベースのテンプレート言語です。

注: このテクニカル・ブログ記事は 現状のまま であり、追加の審査を行ったことはありません。

問題 - マルチテナンシー・ドメイン

現在、マルチテナンシーまたはオーバーラップする IP アドレスの DomainID は、カスタム E メール・テンプレートでは使用できません。

ソリューション-AQL カスタム・プロパティーの使用 QRadar (Q)

QRadar (Q) には、以下の構文を使用する場合に E メール・テンプレートで使用可能な AQL (Ariel 照会言語) カスタム・プロパティーがあります。

${AqlCustomPropertiesList}
以下の画面キャプチャーに示されているように、ドメイン情報が含まれる AQL カスタム・プロパティーを簡単に作成できます。
図 1. AQL カスタム・プロパティー
「説明」フィールドにドメイン情報を入力する必要があることを示す画像。

しかし、複数の AQL カスタム・プロパティーがあり、E メール・テンプレートで許可されるのは、AqlCustomProperties とその値の LIST を取得することだけです。

AQL Custom Properties: GregAQL: Net_10_0_0_0
00MYAQL: Net_10_0_0_0
DomainInformation: ApophisDomain (ID: 1)
SystemName: ApophisQAFedora
Velocity は柔軟な Java ベースのテンプレート言語であるため、それぞれを調べて、必要なものを印刷できます。
#foreach ( $str in $AqlCustomPropertiesList.split("\n") )
#if ( $str.contains('DomainInformation') )
                DomainInformation:                             $str
#end
#end
E メール・テンプレートに以前のコード例を追加すると、必要な結果が表示されます。
DomainInformation: DomainInformation: ApophisDomain  (ID: 1)

以下のいずれかのストリングを使用して、任意のカスタムの値、計算値、または AQL プロパティーの値を印刷することもできます。

  • ${body.CustomProperty(“CustomName”)}
  • ${body.CalculatedProperty(“CalculatedName”)}
  • ${body.AqlCustomProperty(“AQLName”)}

このテンプレートは、以下のコード・スニペットのように簡単なものです。

DomainInformation: ${body.AqlCustomProperty(“DomainInformation”)}