DSM エディターの概要
解析時の問題を修正するため、または新規ログ・ソース・タイプのサポートを拡張するためにログ・ソース拡張を手動で作成する代わりに、DSM エディターを使用します。 DSM エディターはデータのさまざまなビューを提供します。 DSM エディターを使用して、フィールドの抽出、カスタム・プロパティーの定義、イベントのカテゴリー化、および新規 QID 定義を行います。
DSM エディターには以下のビューが備わっています。
ワークスペース
「ワークスペース」には生のイベント・データが表示されます。 サンプルのイベント・ペイロードを使用して、ログ・ソース・タイプの振る舞いをテストすると、キャプチャーするデータが「ワークスペース」領域にリアルタイムに表示されます。
すべてのサンプル・イベントがワークスペースから DSM シミュレーターに送信されます。DSM シミュレーターでは、プロパティーの解析と QID マップのルックアップが実行されます。 結果は、「ログ・アクティビティーのプレビュー」セクションに表示されます。 編集アイコンをクリックすると、編集モードで開かれます。
編集モードの場合、イベント・データをワークスペースに貼り付ける (最大 100,000 文字) か、データを直接編集します。 「プロパティー」タブでのプロパティーの編集時は、ペイロード内の一致がワークスペース内で強調表示されます。 カスタム・プロパティーおよびオーバーライドされたシステム・プロパティーも、「ワークスペース」内で強調表示されます。
7.4.1 の新機能 QRadar での複数行イベントの取り込みを容易にするカスタム区切り文字を指定できます。 イベントが単一の複数行イベントとしてそのまま保持されるようにするために、「イベント区切り文字のオーバーライド」チェック・ボックスを選択して、個々のイベントを別の文字または文字のシーケンスに基づいて区切ります。 例えば、構成で複数行のイベントを取り込む場合、「ワークスペース」内の個々のイベントごとに末尾に特殊文字を追加し、この特殊文字をイベントの区切り文字として指定できます。
7.4.2QRadar では、 ワークスペースにイベント・データを入力するときに正規表現 (regex) を提案できます。 正規表現式の作成に精通していない場合は、この機能を使用して正規表現を生成します。 キャプチャーするペイロード・テキストを強調表示し、「プロパティー」タブで、「正規表現の推奨」をクリックします。 「正規表現」 フィールドに、推奨される正規表現が表示されます。 または、「ワークスペース」の「正規表現」ボタンをクリックして、正規表現を作成するプロパティーを選択することもできます。 QRadar がデータ・サンプルに適切な正規表現を生成できない場合は、システム・メッセージが表示されます。
ログ・アクティビティーのプレビュー
7.4.1 「解析状況」 列がログ・アクティビティー・プレビューに追加されました。
「ログ・アクティビティーのプレビュー」では、ワークスペース内のペイロードが「ログ・アクティビティー」ビューアーにどのように表示されるかをシミュレートします。 「解析状況 (Parsing Status)」列は、イベント・プロパティーが正常に解析され、QID レコードにマッピングされているかどうかを示します。 サポートされている標準プロパティーがすべて表示されます。 アスタリスク (*) のマークが付いているフィールド (例: Event name、Severity、Low-level category、および QID,) に、QID マップからデータが取り込まれます。 QID マップからデータが取り込まれるフィールドは、ワークスペース内の生のイベント・データから字句どおりに解析できないため、定義することも編集することもできません。 これらのフィールドの値を調整することはできます。そのためには、対応するイベント ID とカテゴリーの組み合わせを「イベント・マッピング」タブで選択します。 次に「編集」をクリックし、システム内に存在する別の QID レコードにイベントを再マップするか、新しく作成した QID にイベントをマップします。
「ログ・アクティビティーのプレビュー」ウィンドウで表示する (または非表示にする) 列を選択するには、構成アイコンをクリックします。列を並べ替えることもできます。
プロパティ－
「プロパティー」タブには、DSM の構成要素であるカスタム・プロパティーとシステム・プロパティーの一連の組み合わせが表示されます。 システム・プロパティーの構成はカスタム・プロパティーの構成とは異なります。 プロパティーをオーバーライドするには、「システム動作のオーバーライド」チェック・ボックスを選択して、式を定義します。
ペイロード内の一致はワークスペースのイベント・データ内で強調表示されます。 この強調表示の色は、キャプチャーするデータに応じて、ツートンカラーとなります。 例えば、オレンジ色の強調表示はキャプチャー・グループの値を表し、明るい黄色の強調表示は、ユーザーが指定したその他の正規表現を表します。 ワークスペース内のフィードバックは、正規表現が正しいかどうかを示します。 式がフォーカスされる場合、ワークスペース内の強調表示は、その式が一致する箇所のみを反映しています。 プロパティー全体がフォーカスされる場合、強調表示が緑色になり、一連の式が一致する箇所が優先順位を考慮して示されます。
フォーマット・ストリング フィールドでは、キャプチャー・グループは $<number> 表記を使用して表されます。 例えば、$1 は正規表現からの最初のキャプチャー・グループを表し、$2 は 2 番目のキャプチャー・グループを表すなどです。
同一のプロパティーに複数の式を追加できます。また、式をリストの最上部にドラッグ・アンド・ドロップすることで優先順位を割り当てることができます。
プロパティーの横に警告アイコンが表示されている場合、そのプロパティーには式が追加されていないことを示しています。
「イベント・マッピング」タブ
7.4.1 「イベント ID」フィールドと「イベント・カテゴリー」フィールドのコピーのサポートが 「イベント・マッピング」 タブに追加されました。
「イベント・マッピング」タブには、選択したログ・ソース・タイプについて、システム内に存在するイベント ID とカテゴリーのすべての組み合わせが表示されます。 新しいイベント・マッピングが作成されると、イベント ID およびカテゴリーの組み合わせのリストに追加されます。このリストは「イベント・マッピング」タブに表示されます。 通常、「イベント・マッピング」タブには、イベント ID およびカテゴリーのすべての組み合わせと、それらのマップ先の QID レコードが表示されます。
「構成」タブ
JSON 形式の構造化データに対して、プロパティー自動ディスカバリーを構成することができます。 デフォルトでは、ログ・ソース・タイプに対してプロパティー自動ディスカバリーが無効になっています。