パラメーターのセクションを使用して、ダッシュボードに表示されるデータのフィルタリングおよび範囲の設定を行います。
始める前に
以下の AQL の例のように、パラメーターは中括弧内に表示されます。
中括弧は、引用符付きストリング (引用符で囲まれたストリング・リテラル) 名の AQLステートメントでも使用されるため、引用符付きストリング内の左中括弧の前にエスケープ文字として円記号 (¥) を使用する必要があります。 この構文により、 QRadar® Pulse は、引用符付きストリングをパラメーターとして解釈しないため、照会結果が正しくなくなります。 引用符付きストリングの中に円記号がある場合は、エスケープ文字としてさらに円記号を追加します。
手順
- QRadar Network Visibility ダッシュボードの 1 つから、 をクリックします。
「パラメーターの管理 (Manage Parameter Values)」ページに、ワークスペースで既に作成されているパラメーターが表示されます。 いずれかのパラメーターにデフォルト値がある場合は、「デフォルト値」列にリストされます。 「発生回数 (Number of occurrences)」列には、各パラメーターを使用するウィジェットの数が示されます。 数字の上にポインターを置くと、そのパラメーターを使用するウィジェットが表示されます。
- パラメーターのデフォルト値を設定するには、 「その他のオプション」 アイコンをクリックし、フィールドにデフォルト値を入力してから、 「保存」をクリックします。 次の表で説明されているパラメーターを変更します。
| パラメーター |
説明 |
| AQL 時間基準 |
3 つのダッシュボードのすべてで「AQL Time Criteria」パラメーターを使用します。 このパラメーターは、デフォルトでは「LAST 1 HOURS」であり、データが取得される期間の範囲を設定するために使用されます。 このパラメーターは、絶対的な期間を指定するための「START x STOP y」パターンと、相対的な期間を指定するための「LAST x」パターンの両方をサポートします。 詳しくは、「 Ariel 照会言語ガイド 」(ibm.com/docs/en/SS42VS_7.4/com.ibm.qradar.doc/b_qradar_aql.pdf) を参照してください。
ヒント: 一部のデプロイメントでは、「LAST 1 HOURS」のデフォルト値が、データを取り込むのに最適な時間枠ではない場合があります。 要件に応じて、デフォルト値を増減できます。 AQL 照会の実行時間は、時間枠が大きいと長くなり、時間枠が小さいと短くなります。
|
| ネットワーク・フィルター |
「概要」ダッシュボードでは、「Network Filter」パラメーターを使用して、ダッシュボード上のデータの範囲をネットワーク階層の特定のネットワークに設定します。 このパラメーターは、デフォルトでは「all」であり、環境のすべてのネットワークからのデータをネットワーク全体の単一の概要に結合します。 このパラメーターを使用するには、「ネットワーク階層」に表示される「ネットワーク名」を入力します。
|
| アプリケーション/プロトコル名 |
「アプリケーション/プロトコルの詳細 (Application/Protocol Details)」ダッシュボードでは、「Application/Protocol Name」パラメーターを使用して、データを表示するアプリケーションまたはプロトコル (レイヤー 4 からレイヤー 7) を指定します。 別のダッシュボードからこのダッシュボードにドリルダウンする場合、このパラメーターには、ドリルダウンするアプリケーションまたはプロトコルが自動入力されます。
「Application/Protocol Name」パラメーターは、「ネットワーク・アクティビティー」タブに表示されるアプリケーション名、「PROTCOLNAME」AQL 関数で指定されるレイヤー 4 プロトコル (例えば、TCP、UDP、ICMP、および IPv6ICMP) をサポートします。 QRadar をお持ちの場合は、レイヤー5～7のプロトコル値は「プロトコル名」フィールド（例 HTTP または SMB）で提供されます。 このパラメーターは、ファジー・マッチングをサポートします。パラメーターでは、大/小文字が区別されず、名前の部分一致がサポートされます。
|
| IP アドレス |
「IP の詳細」ダッシュボードでは、「IP address」パラメーターを使用して、さらに調査する IP アドレスを指定します。 別のダッシュボードからこのダッシュボードにドリルダウンする場合、このパラメーターには、ドリルダウンする IP アドレスが自動入力されます。 このパラメーターは、IPv4 アドレスのみをサポートしており、CIDR をサポートしません。
|
重要:
- このアクションにより、このパラメーターを使用するすべてのウィジェットについてデフォルト値が設定され、パラメーター・カードが自動的に更新されます。 あるいは、特定のウィジェットのパラメーターの値を追加できます。
- パラメーターのデフォルト値を変更すると、展開またはピン留めされたダッシュボードおよびウィジェットを除き、ワークスペース内でパラメーターが使用されるすべての場所で値が変更されます。 値をデフォルト値として設定しない場合は、更新された変更は現行セッションにのみ適用されます。 ただし、値をデフォルトとして設定する場合は、現行セッションの値でもその値が使用されます。
- 事前定義された SYSTEM:username パラメーターは、ログインしているユーザーのユーザー名を返します。 システム・パラメーターは読み取り専用であり、デフォルト値を変更することはできません。
- 事前定義された SYSTEM:accountId パラメーターは、ログインしているユーザーのアカウント ID を返します。 システム・パラメーターは読み取り専用であり、デフォルト値を変更することはできません。
- パラメーターをワークスペースに追加するには、 「追加」をクリックし、パラメーターに名前とデフォルト値を指定して、 「保存」をクリックします。
- パラメーターを削除する前に、そのパラメーターがいずれのウィジェットにも属していないことを確認してください。これを確認するには、数字の上にカーソルを移動すると、そのパラメーターを使用しているウィジェットの名前が表示されます。 それらのウィジェットからパラメーターを削除した後、「削除」をクリックします。
- メイン・ビューに戻って作業を続行するには、 「ダッシュボードに戻る」 をクリックします。
