データ難読化式

データ難読化式は、非表示にするデータを特定します。 フィールド・ベースのプロパティーに基づくデータ難読化式を作成するか、または正規表現を使用することができます。

フィールド・ベースのプロパティー

フィールド・ベースのプロパティーは、ユーザー名、グループ名、ホスト名、および NetBIOS 名を非表示にする場合に使用します。 フィールド・ベースのプロパティーを使用する式では、データ・ストリングのすべてのインスタンスが難読化されます。 データは、そのログ・ソース、ログ・ソース・タイプ、イベント名、またはイ ベント・カテゴリーに関係なく非表示にされます。

同じデータ値が複数のフィールドに存在する場合は、4 つのフィールドのうち 1 つのみを難読化するようにプロファイルを構成していても、すべてのフィールドでデータが難読化されます。 例えば、ホスト名が IBMHost でありグループ名も IBMHost である場合は、データ難読化プロファイルがホスト名のみを難読化するように構成されている場合でも、ホスト名フィールドとグループ 名フィールドの両方で値 IBMHost が難読化されます。

正規表現

正規表現は、ペイロード内の 1 つのデータ・ストリングを難読化する場合に使用します。 データが非表示になるのは、そのデータが式に定義されたログ・ソース、ログ・ソース・タイプ、イベント名、またはカテゴリーに一致した場合のみです。

上位カテゴリーと下位カテゴリーを使用して、フィールド・ベースのプロパティーよりも特定的な正規表現を作成できます。 例えば、以下の正規表現パターンを使用してユーザー名を解析できます。
表 1. 正規表現によるユーザー名の解析
regex パターンの例 一致 
usrName=([0-9a-zA-Z]([-.\w]*[0-9a-zA-Z])*@([0-9
a-zA-Z][-\w]*[0-9a-zA-Z]\.)+[a-zA-Z]{2,20})$
 john_smith@EXAMPLE.com, jon@example.com, jon@us.example.com 
usrName=(^([\w]+[^\W])([^\W]\.?)([\w]+[^\W]$))
 john.smith, John.Smith, john, jon_smith 
usrName=^([a-zA-Z])[a-zA-Z_-]*[\w_-]*[\S]$|^([a
-zA-Z])[0-9_-]*[\S]$|^[a-zA-Z]*[\S]$
 johnsmith, Johnsmith123, john_smith123, john123_smith, john-smith 
usrName=(/S+)
 等号 (=) の後の空白以外のものとマッチングします。 この正規表現は特定的ではないため、システム・パフォーマンスに問題が生じる可能性があります。 
msg=([0-9a-zA-Z]([-.\w]*[0-9a-zA-Z]))*@\b(([01]
?\d?\d|2[0-4]\d|25[0-5])\.){3}([01]?\d?\d|2[0-4
]\d|25[0-5])\b
 IP アドレスを持つユーザーをマッチングします。 例えば、john.smith@192.0.2.0 
src=\b(([01]?\d?\d|2[0-4]\d|25[0-5])\.){3}([01]
?\d?\d|2[0-4]\d|25[0-5])\b
 IP アドレス・フォーマットをマッチングします。 
host=^(([a-zA-Z0-9]|[a-zA-Z0-9][a-zA-Z0-9\-]*[a
-zA-Z0-9])\.)*([A-Za-z0-9]|[A-Za-z0-9][A-Za-z0-
9\-]*[A-Za-z0-9])$
 hostname.example.com, hostname.co.uk