カスタム・プロパティーの作成

DSM エディターで、イベントが IBM QRadar 正規化イベント・モデルに適合しない 1 つ以上のログ・ソース・タイプのカスタム・プロパティーを定義できます。 例えば、一連のシステム・プロパティーで、一部のアプリケーション、オペレーティング・システム、データベース、その他のシステムから、関連するデータの一部を取得できない場合があります。

1. DSM エディターの 「プロパティー」 タブで、 「追加」 (+) をクリックします。
2. 新規カスタム・プロパティー定義を作成するには、以下の手順を実行します。
   1. 「Express するカスタム・プロパティー定義の選択」 ページで、 「新規作成」を選択します。
   2. 「新規カスタム・プロパティー定義の作成」 ページで、以下の表のパラメーターを構成します。

      表 1. カスタム・プロパティーのパラメーター

      パラメーター	説明
      名前	作成するカスタム・プロパティーの記述名。
      フィールド・タイプ	デフォルトは Textです。 ヒント: 「フィールド・タイプ」 リストから 「数値」 または 「日付」 を選択すると、追加のフィールドが表示されます。
      ルールおよび検索の索引付けでこのプロパティーを使用できるようにする	このオプションが有効になっている場合、イベント・パイプラインの構文解析ステージ中に、 QRadar は、システムに入るとすぐにイベントからプロパティーを抽出しようとします。 ルール、転送プロファイル、および索引付けなどのパイプラインの下流のその他のコンポーネントは、抽出された値を使用できます。 プロパティーの情報は、イベント・レコードの他の部分とともに保存されるため、検索処理やレポート処理の一環としてプロパティーを取得する際に、そのプロパティーをもう一度抽出する必要はありません。 このオプションにより、プロパティー取得時のパフォーマンスが向上しますが、イベント解析プロセス中のパフォーマンスが低下する場合があります。また、ストレージにも影響します。 このオプションが有効になっていない場合、 QRadar は、取得または表示されたときにのみイベントからプロパティーを抽出します。 重要: ルール・テスト、転送プロファイル、または検索インデックス付けでカスタム・プロパティーを使用するには、このチェック・ボックスが選択されていることを確認してください。 イベントがディスクに書き込まれる前に、ルール評価、イベント転送、および索引付けが行われるため、構文解析ステージで値を抽出する必要があります。
      ロケールの数字フォーマットを使用	このフィールドは、 「フィールド・タイプ」 リストから 「数値」 を選択すると表示されます。 「 ロケールの数値形式を使用 」チェック・ボックスを選択する場合は、リストから 抽出された数値形式 を選択する必要があります。
      抽出される日時形式	このフィールドは、 「フィールド・タイプ」 リストから 「日付」 を選択すると表示されます。 元のイベントで表示される日時の形式に一致する日時のパターンを指定する必要があります。 例えば、「Apr 17 2017 11:29:00」などのタイム・スタンプの場合、有効な日時のパターンは「MMM dd YYYY HH:mm:ss」になります。
      ロケール	このフィールドは、 「フィールド・タイプ」 リストから 「日付」 を選択すると表示されます。 イベントのロケールを選択する必要があります。 例えば、ロケールとして「英語」を選択すると、「April」の短縮形として「Apr」が認識されます。 ただし、イベントがフランス語で表示され、月を表すトークンが「Avr」(Avril の省略形) である場合は、ロケールとして「フランス語」を設定する必要があります。「フランス語」を設定しないと、「Avr」が有効な日付として認識されません。

   3. イベントがシステムに入ったときにそのイベントからプロパティーを抽出する場合は、 「このプロパティーをルールおよび検索の索引付けで使用できるようにする」 チェック・ボックスを選択します。
   4. 「保存」をクリックします。
3. 既存のカスタム・プロパティーを使用するには、以下の手順を実行します。
   1. 「Express するカスタム・プロパティー定義の選択」 ページで、 Filter Definitions フィールドから既存のカスタム・プロパティーを検索します。
   2. カスタム・プロパティーを追加するには、 「選択」 をクリックします。