예제: 사용자 정의 특성 기반의 도메인 권한 지정
사용자가 도메인 정의에 사용하려는 정보가 로그 파일에 포함된 경우에는 이러한 정보를 사용자 정의 이벤트 특성으로서 노출시킬 수 있습니다.
캡처 결과를 기반으로 도메인에 사용자 정의 특성을 지정하십시오. 여러 도메인에 동일한 사용자 정의 특성을 지정할 수 있지만, 캡처 결과는 서로 달라야 합니다.
예를 들어, 사용자 정의 이벤트 특성(예: userID)은 단일 사용자 또는 사용자 목록으로 평가될 수 있습니다. 각 사용자는
단 하나의 도메인에 속할 수 있습니다.
다음 다이어그램에서 로그 소스는 사용자 정의 특성인 userID(으)로 표시되는 사용자 식별 정보를 포함합니다. 이벤트 콜렉터 또는 데이터 게이트웨이 는 두 개의 사용자 파일을 리턴하며 각 사용자는 하나의 도메인에만 지정됩니다. 이 경우 한 명의 사용자는 도메인: 9에 지정되고
다른 사용자는 도메인: 12에 지정됩니다.
캡처 결과에서 특정한 사용자 정의 도메인에 지정되지 않은 한 명의 사용자가 리턴되면 해당 사용자는 자동으로 기본 도메인에 지정됩니다. 기본 도메인 지정에는 수작업을 통한 개입이 필요합니다. 기본 도메인 내의 모든 엔티티가 올바르게 지정되어 있는지 확인하려면 주기적으로 검색을 실행하십시오.
중요: 도메인 정의에서 사용자 정의 특성을 사용하기 전에 사용자 정의 이벤트 특성 창에서 규칙, 보고서 및 검색에 대한 구문 분석 최적화 가 선택되어 있는지 확인하십시오. 이 옵션은 IBM
QRadar 가 처음으로 이벤트를 수신할 때 사용자 정의 이벤트 특성이 구문 분석되고 저장되도록 합니다. 이 옵션이 선택되어 있지 않으면
도메인 세그먼트화가 발생하지 않습니다.