カスタム・ログ・ソース・タイプ

DSM エディターを使用して、イベントを解析するためのカスタム・ログ・ソース・タイプを作成および構成します。 サポートされている DSM がないカスタム・アプリケーションおよびシステム用にログ・ソース・タイプを作成すると、 QRadar は、サポートされている DSM の場合と同じ方法でデータを分析します。

「ログ・アクティビティー」タブからイベントを選択し、DSM エディターに直接イベントを送信して解析することができます。 または「管理」タブから DSM エディターを開いて、新規ログ・ソース・タイプを作成および構成できます。

イベントからの関連情報を解析するには、DSM エディターのフィールドに正しい構造化データを指定します。 QRadar は、 「イベント・カテゴリー」 フィールドと 「イベント ID」 フィールドを使用して、イベントに意味をマップします。 イベント ID は、イベントを定義する必須フィールドであり、カテゴリーによってイベントがさらに分類されます。 「イベント・カテゴリー」にデバイス・タイプ名を設定することも、不明のままにしておくこともできます。 「イベント・カテゴリー」を不明のままにしておく場合、このログ・ソース・タイプとして作成するすべてのイベント・マッピングで、「イベント・カテゴリー」を「不明」に設定する必要があります。

DSM エディターを使用して、イベントから解析したイベント ID/イベント・カテゴリーの組み合わせをマップします。 イベント ID/イベント・カテゴリーの組み合わせを、「イベント・マッピング」タブの新規エントリーに入力します。 以前に作成したイベントに関連する QID マップ・エントリーのカテゴリー分類を選択するか、「QID の選択」をクリックして新規マップ・エントリーを作成します。