ケース・フィールド・マッピング

マップできるケース・フィールドのリストは、 SOARから直接取得されます。 「ケース・マッピング・テンプレート」 ページにアクセスするたびに、リストが自動的に更新されます。 SOAR内のケース・フィールドに対する変更 (カスタム・フィールドを含む) は、自動的に 「ケース・マッピング・テンプレート」 ページに表示されます。

マップできる QRadar オフェンス・フィールドには、正規化されたすべてのオフェンス・フィールドと、テキスト値に変換された ID フィールドを格納するフィールドが含まれます。 オフェンス・フィールドをケース・フィールドにマップする構文は、 {{offense.<fieldname>}}です。

マッピングを定義する前に、 QRadar 対話式 API を使用して、オフェンス・フィールドの出力をテストできます。 Interactive API for Developersの使用について詳しくは、 IBM Docsの REST API の資料 を参照してください。

テンプレート・フォームでは、赤いアスタリスクはそれが必須フィールドであることを示しているため、マッピングを指定する必要があります。 フィールドをマップすると、その横にリフレッシュ・アイコン () が表示され、オフェンスが更新されるたびにフィールドが更新されることが示されます。 フィールドを最新表示しない場合は、最新表示アイコンをクリックしてロックします。 ロックされたフィールドは、ケースの作成時に 1 回のみ更新されます。 ロックされたフィールドは、 QRadarで変更されても更新されませんが、 SOAR内からロックされたフィールドを変更できます。