検索への QRadar Network Insights データの組み込み

検索条件にコンテンツ・フィールドを含めることにより、 IBM QRadar Network Insights コンテンツをデータ検索に含めることができます。

始める前に

使用するコンテンツをキャプチャーするようにフロー検査が構成されていることを確認するには、 フロー検査レベルの構成を参照してください。

このタスクについて

検索可能な QRadar Network Insights コンテンツ・フィールドの名前を検索するには、基本検査レベル および 濃縮された検査レベル のコンテンツ・テーブルを参照してください。

検索に通常検索を使用するか、拡張検索を使用するかに応じて、検索するコンテンツ・フィールドの名前が異なる場合があります。 通常の検索を行う場合、内容表Query builder名を使用します。 拡張検索を実行するには、Advanced Search名を使ってください。

1. 通常検索にデータ・フィールドを含めるには、以下のステップを実行します。
   1. 「ネットワーク・アクティビティー」 タブで、 検索 > 「新規検索」をクリックします。
   2. 「列定義」 セクションの 「使用可能な列」 リストには、検索結果に含めることができる QRadar Network Insights データが表示されます。
   3. 照会結果に列を含めるには、リストから列を選択し、矢印をクリックして列を 「列」 リストに移動します。

      

   照会ビルダーを使用した検索について詳しくは、 検索の作成を参照してください。

2. 拡張検索にデータを含めるには、以下の手順を実行します。
   1. 「ネットワーク・アクティビティー」 タブで、 「拡張検索」をクリックします。
   2. 「拡張検索」 ボックスに、必要なフィールドとそれらのフィールドのグループ化方法を指定する Ariel 照会言語 (AQL) 照会を入力します。

   拡張検索の作成について詳しくは、 拡張検索オプションを参照してください。

結果

検索基準に一致するフローが「ネットワーク・アクティビティー」タブに表示されます。 フローに関する詳細情報を表示するには、ダブルクリックして「フロー情報」ウィンドウを開きます。