カスタム・イベント・プロパティーおよびカスタム・フロー・プロパティー

抽出ベースのプロパティー

正規表現または JSON 式を使用してイベント・ペイロードまたはフロー・ペイロードからプロパティー値を解析する場合は、抽出ベースのプロパティーを作成します。

例えば、Oracle サーバー上で他のユーザーの権限を変更したすべてのユーザーを表示するレポートがあります。 このレポートでは、正規化データを使用して、権限の変更を行ったユーザーと、その変更回数のリストを表示します。 変更されたユーザー・アカウントは正規化されていないため、レポートには表示できません。 この情報をログから抽出するための正規表現ベースのカスタム・プロパティーを作成し、検索やレポートでそのプロパティーを使用できます。

イベントまたはフローが解析されるときに、ペイロードごとに式のパターンが一致するまで検査されます。 イベントまたはフロー・ペイロードに一致する最初のパターンによって、抽出されるデータが決まります。

カスタム正規表現パターンを定義する場合は、Java™ プログラミング言語で定義されている正規表現規則に従ってください。 正規表現のルールについて詳しくは、Web 上にある正規表現のチュートリアルを参照してください。

計算ベースのプロパティー

既存の数値イベントおよびフロー・プロパティーに対して計算を実行するときは、計算ベースのプロパティーを作成します。 例えば、ある数値プロパティーを別の数値プロパティーで除算してパーセンテージ値を表示する計算ベースのプロパティーを作成できます。

AQL ベースのプロパティー

いくつかの抽出ベースおよび計算ベースのプロパティーを単一プロパティーに結合する場合は、AQL ベースのプロパティーを作成します。 例えば、AQL ベースのカスタム・プロパティーを使用して、抽出ベースの URL、ウィルス名、またはセカンダリー・ユーザー名を単一プロパティーに結合することができます。

CONCAT( 'Src=', sourceip, ' | ', 'User=', username, ' | ', 'Domain=', DOMAINNAME(domainid) )