LEEF 比較機能 (leef-matcher)

field (必須)

パターンの適用対象フィールド (EventName または SourceIp など)。 表 2の表にリストされている任意のフィールド名を使用できます。

pattern-id (必須)

ペイロードにあるフィールドを構文解析するときに使用するパターン。 この値は、定義済みパターンの ID パラメーターに (大文字と小文字の違いも含めて) 一致していなければなりません。 (表 1)

order (必須)

同じフィールドに割り当てた比較機能の中で、このパターンを適用する順序。 EventName フィールドに 2 つの比較機能を割り当てた場合は、order が最も小さいものが最初に適用されます。

正規表現、JSON、LEEF、および CEF の比較機能は、1 つのリストに結合されます。 異なるタイプの複数の比較機能が、それぞれの順序に基づいて試行されます。このプロセスは、比較機能のうちのいずれかがペイロードのデータを構文解析できた時点で停止します。

enable-substitutions (オプション)

ブール値

true に設定した場合は、連続したグループ・キャプチャーで適切にフィールドを表記することができません。 複数のグループを追加のテキストと組み合わせて値を作成することができます。

デフォルトは false です。

ext-data (オプション)

拡張で比較機能フィールドが提供できる追加のフィールド情報および書式設定を定義する、追加のデータ・パラメーター。

このパラメーターを現在使用するフィールドは DeviceTime のみです。

例えば、デバイスが固有のタイム・スタンプを使用してイベントを送信するが、そのイベントを標準のデバイス時刻に書式設定し直したい場合が該当します。 このイベントの日時スタンプを書式設定し直すには、DeviceTime フィールドに組み込んだ ext-data パラメーターを使用します。 詳しくは、 表 2を参照してください。