例: カスタム・プロパティーに基づくドメイン特権の割り当て
ログ・ファイルに含まれている情報をドメイン定義に使用する場合は、その情報をカスタム・イベント・プロパティーとして公開します。
キャプチャー結果に基づいて、カスタム・プロパティーをドメインに割り当てます。 同じカスタム・プロパティーを複数のドメインに割り当てることは可能ですが、キャプチャー結果は異なっている必要があります。
例えば、userID などのカスタム・イベント・プロパティーの評価対象は、単一ユーザーの場合もあればユーザー・リストの場合もあります。 各ユーザーは 1 つのドメインにのみ属することができます。
以下の図では、ログ・ソースに含まれるユーザー ID 情報が、カスタム・プロパティー userID として公開されています。 イベント・コレクターまたはデータ・ゲートウェイ は 2 つのユーザー・ファイルを返し、各ユーザーは 1 つのドメインにのみ割り当てられます。 この場合、1 人のユーザーはドメイン: 9 に割り当てられ、もう 1 人のユーザーはドメイン: 12 に割り当てられています。
キャプチャー結果に返されたユーザーが特定のユーザー定義ドメインに割り当てられていない場合、そのユーザーは自動的にデフォルト・ドメインに割り当てられます。 デフォルト・ドメインの割り当てには、手操作による介入が必要です。 デフォルト・ドメイン内のすべてのエンティティーが正しく割り当てられるように、定期的に検索を実行してください。
重要: ドメイン定義でカスタム・プロパティーを使用する前に、 カスタム・イベント・プロパティー ウィンドウで ルール、レポート、および検索の構文解析の最適化 にチェック・マークが付いていることを確認してください。 このオプションにより、 IBM
QRadar が初めてイベントを受信したときに、カスタム・イベント・プロパティーが確実に解析され、保管されます。 このオプションにチェック・マークが付いていない場合、ドメインのセグメンテーションは行われません。