カスタム・プロパティーの作成

IBM QRadar が通常はイベント・ペイロードまたはフロー・ペイロードから表示しないデータを抽出するためのカスタム・プロパティーを作成します。カスタム・プロパティーをルールや検索、レポート、オフェンスの索引付けで使用するには、事前に有効化する必要があり、さらに抽出ベースのカスタム・プロパティーの場合は解析する必要もあります。

始める前に

QRadar には、デフォルトで有効化または解析されない既存のカスタム・イベント・プロパティーがいくつか含まれています。作成したいカスタム・イベント・プロパティーについて管理者にレビューを依頼して、そのカスタム・イベント・プロパティーが存在しないことを確認してください。

カスタム・イベント・プロパティーを作成するには、「ユーザー定義のイベント・プロパティー」権限が必要です。

カスタム・フロー・プロパティーを作成するには、「ユーザー定義のフロー・プロパティー」権限が必要です。また、「IPFIX 追加フィールド・エンコード (IPFIX Additional Field Encoding)」フィールドを「ペイロード (Payload)」または「TLV およびペイロード (TLV and Payload)」に設定する必要があります。

管理機能を持つユーザーは、「管理」タブで「カスタム・イベント・プロパティー」または「カスタム・フロー・プロパティー」を選択することにより、カスタム・イベント・プロパティーおよびカスタム・フロー・プロパティーを作成できます。

フロー・プロセッサーにデータをエクスポートするには、フロー・コレクターを構成する必要があります。詳しくは、フロー・コレクター・フォーマットの構成を参照してください。

このタスクについて

複数のデフォルト・カスタム・プロパティーが同じ名前で、かつ同じログ・ソースを保有する場合がありますが、それらの正規表現、イベント名、またはカテゴリーは異なっていてもかまいません。例えば、Microsoft Windows セキュリティイベントログには、AccountName という複数のカスタムプロパティがありますが、それぞれ一意の正規表現で定義されています。

手順

「ログ・アクティビティー」タブまたは「ネットワーク・アクティビティー」タブをクリックします。
イベントまたはフローをストリーム・モードで表示している場合は、「一時停止」アイコンをクリックしてストリーミングを一時停止します。
抽出するデータが含まれているイベントまたはフローをダブルクリックし、「プロパティーの抽出」をクリックします。
「プロパティー・タイプの選択」ペインで、作成するカスタム・プロパティーのタイプを選択します。
カスタム・プロパティーのパラメーターを構成します。

ヘルプ・アイコン () をクリックすると、カスタム・プロパティー・パラメーターに関する情報が表示されます。
ルール、検索索引、または転送プロファイルで使用する抽出ベースのカスタム・プロパティーを作成する場合は、「ルール、転送プロファイル、および検索索引付けで使用可能」チェック・ボックスが選択されていることを確認してください。
オプション: ペイロードに対して式をテストするには、「テスト」をクリックします。
オプション： 7.5.0 更新パッケージ 12 の新機能正規表現（regex）カスタムプロパティに対して予測解析アルゴリズムを使用できます。予測構文解析を有効にする ]チェックボックスを選択すると、予測構文解析を有効にすることができます。デフォルトで、すべてのカスタムプロパティに対して予測解析が有効になりました。予測解析を有効にすると、新しいプロパティを作成するときのパフォーマンスが速くなります。 Predictive Parsing Delimiters オプションを使用して、プロパティに設定された区切り文字を設定することもできます。 Predictive Parsingは、すべてのイベントに対して正規表現を実行することなく、イベントからプロパティ値を抽出するアルゴリズムを使用します。しかし、まれにアルゴリズムが正しくない予測をすることがあるため、予測構文解析を使用するのは、高いイベントレートを受け取ると予想され、より高速な構文解析が必要なログソースタイプだけにすることをお勧めします。
「保存」をクリックします。

次に実行するタスク

カスタム・プロパティーの変更または削除