カスタム・プロパティーのマップ

オフェンス分析を強化するには、 IBM® QRadar® カスタム・プロパティーを QRadar Advisor with Watson アプリケーション・プロパティー名にマップする必要があります。

始める前に

プロパティーをマップするには、 QRadar 管理者特権が必要です。

バージョン 2.5.0以降、推奨されるプロパティー・マッピングが追加用に提供されています。 詳しくは、 V2.5.0 以降でのカスタム・プロパティーのマッピングを参照してください。

このタスクについて

イベントおよびフローのデータのプロパティー・マッピングを構成することで、分析プロセスを実行しているエンジンで使用される標準フィールドにカスタム・プロパティーがマップされます。
重要: プライベートではなく、 QRadar ネットワーク階層、URL、ハッシュ、およびドメインで内部としてマークされていない IP アドレスのみが、クラウド分析のために送信されます。 その他のすべてのマッピングは、 QRadar で検出されたローカル・データにのみ影響し、ネットワークを離れることはありません。
SourceIp カテゴリーおよび DestinationIp カテゴリーの場合、IP カスタム・プロパティーのみをマッピングに使用できます。 その他すべてのカテゴリーでは、AlphaNumeric プロパティーのみをマッピングに使用できます。 AlphaNumeric プロパティーをマップする前に IP に変換する必要があります。あるいは、プロパティー・タイプを保持する必要がある場合は、コピーして IP タイプのコピーを作成することができます。
例: QRadar Consoleの 「カスタム・イベント・プロパティー」 ウィンドウで、これらのカテゴリーに属するカスタム・プロパティーのフィールド・タイプを変更できます。 カスタム・プロパティーの「フィールド・タイプ」を保持する場合は、「フィールド・タイプ」を新しいカスタム・プロパティーにコピーすることができます。 この例では、ホスト名と IP の両方を含む「CustomSourceAddress」という AlphaNumeric カスタム・プロパティーを SourceIp カテゴリーにマップする場合に、「CustomSourceAddress」と同じ定義を使用して「フィールド・タイプ」には IP を指定し、「CustomSourceIP」という新しいカスタム・プロパティーを作成できます。 新しいカスタム・プロパティーには IP のみが組み込まれ、 QRadar Advisor with Watson 管理構成の「マッピングの追加」セクションでマッピングに使用できます。

手順

  1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  2. 「アプリケーション」セクションの QRadar Advisor with Watsonの下で、 「構成」をクリックします。
  3. 「プロパティー・マッピング」セクションで、 「マッピングの追加」をクリックします。
  4. 以下のリストからタイプを選択します。
    • フロー
    • イベント
  5. リストから正規名を選択します。
  6. リストからプロパティーを選択します。 リストには、選択した正規名に基づいてデータが取り込まれます。
  7. 「追加」をクリックします。

例

以下の例では、V2.4.1 以前を示しています。
プロパティー・マッピング構成

次に実行するタスク

オプションの設定を構成します。

V2.5.0 以降でのカスタム・プロパティーのマッピング

オフェンスの分析を向上させるために、カスタム・プロパティーを QRadar Advisor with Watson アプリケーション・プロパティー名にマップします。

このタスクについて

V2.5.0 以降では、アクティブ・ログ・ソースに基づいて、「推奨されたプロパティー (Suggested Properties)」 が検出されます。 推奨を確認し、ご使用の環境に固有のプロパティーのマッピングを追加し、「プロパティーの保存 (Save properties)」をクリックして該当するプロパティーをマッピングに保存します。

「推奨されたプロパティー (Suggested Properties)」 は、「プロパティー・マッピング」画面を最初に構成したときにシステムで検出されます。 結果は 15 分間キャッシュに入れられ、その時間が経過した後は、推奨されたプロパティーは構成ウィザードに戻ったときに更新されます。 ヒント: 将来環境内で変更が発生して新規プロパティーが検出された場合、構成ウィザードの「プロパティー・マッピング」セクションに戻って、新たに推奨されたプロパティーを確認し、該当するプロパティーを保存できます。

注: 「プロパティー・マッピング」画面を最初に構成する際には、次のステップに進む前に、推奨されたプロパティーを確認して「プロパティーの保存 (Save properties)」をクリックする必要があります。 推奨されたプロパティーがない場合は、保存せずに続行できます。

手順

  1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  2. 「アプリケーション」セクションの QRadar Advisor with Watsonの下で、 「構成」をクリックします。
  3. 「プロパティー・マッピング」セクションで、推奨されたマッピングを確認するか、 「カスタム・プロパティーの追加」 をクリックして新規プロパティー・マッピングを追加します。
    1. 「ソース・タイプの選択」 リストで、「イベント」または「フロー」から選択します。
    2. 「アドバイザー・タイプの選択」リストで、 QRadar プロパティーにマップする QRadar Advisor with Watson プロパティーのタイプを選択します。
    3. 「 QRadar プロパティーの選択」リストで、マップする QRadar プロパティーを選択します。
    4. 「追加」をクリックします。
    V2.5.0 の「マッピングの追加」画面
  4. マップされたプロパティーを使用する場合は、 「使用可能」 を選択します。
  5. 「プロパティーの保存」をクリックします。 ヒント: マッピングは削除できなくなりました。ただし、「有効」チェック・ボックスをクリアすることで、マッピングを無効にすることができます。
    以下の例は、V2.5.0 以降を示しています。
    プロパティー・マッピング v2.5.0