DSM 편집기의 특성

DSM 편집기에서 정상화된 시스템 특성이 사용자 정의 특성에 결합되고 알파벳순으로 정렬됩니다.

DSM에 동일한 이름을 가진 특성이 여러 개 있을 수 없습니다.

시스템 특성의 구성은 사용자 정의 특성과 다릅니다.

시스템 특성

시스템 특성은 삭제할 수 없지만, 기본 동작을 바꿀 수 있습니다. 시스템 특성은 다음 두 가지 유형입니다.

사전정의된 시스템 특성: DSM에 사용되는 기본 QRadar 동작을 표시합니다.
시스템 특성 겹쳐쓰기: 겹쳐쓰기가 구성된 시스템 특성(로그 소스 확장자)은 상태 표시줄에 Override을(를) 표시합니다. 시스템 특성에 겹쳐쓰기가 있는 경우, 해당 DSM의 로그 소스 확장은 사용자가 구성에 대해 입력한 정규식을 사용합니다.

참고: DSM 편집기를 사용하면 IP 및 Port와 같은 이벤트 속성에 대한 고유한 정규식을 쉽게 만들 수 있으므로 이벤트에서 속성 값을 독립적으로 추출할 수 있습니다.

사용자 정의 특성은 상태 표시줄에 Custom을(를) 표시합니다.

사용자 정의 특성과 시스템 특성은 여러가지 면에서 다릅니다.

사용자 정의 특성은 이름 아래에 Custom을(를) 표시합니다.
사용자 정의 특성에 시스템 작동 겹쳐쓰기 선택란이 없습니다.
사용자 정의 특성이 룰 및 검색 인덱싱에 사용 가능하게 하려면 사용자 정의 특성을 작성할 때 이 특성을 사용으로 설정하여 룰 및 검색 인덱싱에서 사용 선택란을 선택하십시오.
참고: 이 옵션을 선택하면 QRadar 는 이벤트가 파이프라인에 들어가자마자 이벤트에서 특성을 추출하려고 시도합니다. 추출된 특성 정보 및 나머지 이벤트 레코드는 지속됩니다. 특성이 검색 또는 보고서에 사용되는 경우 이 특성을 다시 추출할 필요가 없습니다. 프로세스가 특성을 검색할 때의 성능은 향상시키지만 이벤트 콜렉션 및 스토리지 중에는 성능에 부정적인 영향을 끼칩니다.
사용자 정의 특성에서는 하나 이상의 표현식이 유효해야 합니다.