DSM エディターでのプロパティー

システム・プロパティー

システム・プロパティーは削除することはできませんが、デフォルトの振る舞いをオーバーライドできます。 システム・プロパティーには、次の 2 種類があります。

定義済みのシステム・プロパティー

DSM に使用されるデフォルトの QRadar 動作を表示します。

システム・プロパティーのオーバーライド

オーバーライドが構成されているシステム・プロパティー (ログ・ソース拡張) では「状況」行に Override が表示されます。 システム・プロパティーにオーバーライドが構成されている場合、その DSM のログ・ソース拡張では、構成に入力した正規表現を使用します。

カスタム・プロパティー

カスタム・プロパティーでは「状況」行に Custom が表示されます。

カスタム・プロパティーは、システム・プロパティーとは以下の点で異なります。

• カスタム・プロパティーは、名前の下に Custom と表示されます。
• カスタム・プロパティーには、「システム動作のオーバーライド」チェック・ボックスがありません。
• ルールおよび検索の索引付けでカスタム・プロパティーを使用できるようにするには、カスタム・プロパティーの作成時に「ルールおよび検索の索引付けでこのプロパティーを使用できるようにする」チェック・ボックスを選択します。
  注: このオプションを選択すると、 QRadar は、パイプラインに入るとすぐにイベントからプロパティーを抽出しようとします。 抽出されたプロパティー情報およびその他のイベント・レコードは維持されます。 このプロパティーは、検索またはレポートで使用される際に、再び抽出する必要はありません。 このプロセスにより、プロパティー取得時のパフォーマンスが向上しますが、イベントの収集と保管時のパフォーマンスに悪影響を及ぼす可能性があります。
• カスタム・プロパティーが有効と見なされるためには、1 つ以上の式が必要です。