사용자 정의 특성 작성

DSM 편집기에서 이벤트가 IBM QRadar 정규화된 이벤트 모델에 맞지 않는 하나 이상의 로그 소스 유형에 대한 사용자 정의 특성을 정의할 수 있습니다. 예를 들어, 시스템 특성 세트는 일부 애플리케이션, 운영 체제, 데이터베이스 및 기타 시스템에서 모든 관련 데이터를 캡처하지 못할 수 있습니다.

1. DSM 편집기의 특성 탭에서 추가 (+) 를 클릭하십시오.
2. 새 사용자 정의 특성 정의를 작성하려면 다음 단계를 사용하십시오.
   1. 표현할 사용자 정의 특성 정의 선택 페이지에서 새로 작성을 선택하십시오.
   2. 새 사용자 정의 특성 정의 작성 페이지에서 다음 표의 매개변수를 구성하십시오.

      표 1. 사용자 정의 특성 매개변수

      매개변수	설명
      이름	사용자가 작성하는 사용자 정의 특성에 대한 설명 이름입니다.
      필드 유형	기본값은 텍스트입니다. 팁: 필드 유형 목록에서 숫자 또는 날짜 를 선택하면 추가 필드가 표시됩니다.
      이 특성을 사용으로 설정하여 룰 및 검색 인덱싱에서 사용	이 옵션이 사용으로 설정된 경우, 이벤트 파이프라인의 구문 분석 단계 중 QRadar는 이벤트가 시스템에 들어오는 즉시 이벤트에서 특성을 추출하려고 시도합니다. 룰, 전달 특성 및 인덱싱 같은 파이프라인의 다른 구성요소 다운스트림은 추출된 값을 사용할 수 있습니다. 특성 정보는 나머지 이벤트 레코드와 함께 유지되며 검색 또는 보고서의 일부로 검색될 때 다시 추출할 필요가 없습니다. 이 옵션은 특성을 검색할 때의 성능은 향상시키지만 이벤트 구문 분석 프로세스 중에 성능에 부정적인 영향을 미칠 수 있으며 스토리지에 영향을 미칩니다. 이 옵션이 사용으로 사용으로 설정되지 않은 경우 QRadar는 이벤트를 검색하거나 볼 때만 이벤트에서 특성을 추출합니다. 중요: 규칙 테스트, 전달 프로파일 또는 검색 색인화에서 사용자 정의 특성을 사용하려면 이 선택란이 선택되어 있는지 확인하십시오. 룰 평가, 이벤트 전달 및 인덱싱은 이벤트가 디스크에 기록되기 전에 발생하므로 구문 분석 단계에서 값을 추출해야 합니다.
      로케일의 숫자 형식 사용	이 필드는 필드 유형 목록에서 번호 를 선택할 때 표시됩니다. 로케일의 숫자 형식 사용 선택란을 선택한 경우 목록에서 추출된 숫자 형식을 선택해야 합니다.
      추출된 날짜/시간 형식	이 필드는 필드 유형 목록에서 날짜 를 선택할 때 표시됩니다. 원래 이벤트에 날짜시간이 나타나는 방법과 일치하는 날짜시간 패턴을 제공해야 합니다. 예를 들어, 'MMM dd YYYY HH:mm:ss'는 'Apr 17 2017 11:29:00'과 같이 시간소인에 유효한 날짜시간 패턴입니다.
      로케일	이 필드는 필드 유형 목록에서 날짜 를 선택할 때 표시됩니다. 이벤트의 로케일을 선택해야 합니다. 예를 들어, 로케일이 영어인 경우 'Apr'은 'April'의 짧은 형식으로 인식합니다. 그러나 이벤트가 프랑스어로 표시되고 월 토큰이 'Avr'(Avril의 경우)이면 로케일을 프랑스어로 설정하십시오. 그렇지 않으면 코드가 유효한 날짜로 인식하지 못합니다.

   3. 이벤트가 시스템에 입력될 때 이벤트에서 특성을 추출하려면 규칙 및 검색 색인 작성에서 사용하도록 이 특성 사용 선택란을 선택하십시오.
   4. 저장을 클릭하십시오.
3. 기존 사용자 정의 특성을 작성하려면 다음 단계를 사용하십시오.
   1. 표현할 사용자 정의 특성 정의 선택 페이지의 Filter Definitions 필드에서 기존 사용자 정의 특성을 검색하십시오.
   2. 사용자 정의 특성을 추가하려면 선택 을 클릭하십시오.