사용자 정의 특성 작성

IBM QRadar 가 일반적으로 이벤트 또는 플로우 페이로드에서 표시하지 않는 데이터를 추출하려면 사용자 정의 특성을 작성하십시오. 사용자 정의 특성을 사용하도록 설정하고 추출 기반 사용자 정의 특성을 룰, 검색, 보고서 또는 오펜스 인덱싱에 사용하기 전에 먼저 구문 분석해야 합니다.

시작하기 전에

QRadar 에는 기본적으로 사용으로 설정되거나 구문 분석되지 않는 다수의 기존 사용자 정의 이벤트 특성이 포함되어 있습니다. 관리자에게 요청하여 없는지 확인하기 위해 작성하려는 사용자 정의 이벤트 특성을 검토하십시오.

사용자 정의 이벤트 특성을 작성하려면 사용자 정의 이벤트 특성 권한이 있어야 합니다.

사용자 정의 플로우 특성을 작성하려면 사용자 정의 플로우 특성 권한이 있어야 합니다. 또한 IPFIX 추가 필드 인코딩 필드를 페이로드 또는 TLV및 페이로드로 설정해야 합니다.

관리자 기능이 있는 사용자는 관리 탭에서 사용자 정의 이벤트 특성 또는 사용자 정의 플로우 특성을 선택하여 사용자 정의 이벤트 및 플로우 특성을 작성할 수 있습니다.

플로우 프로세서에 데이터를 내보내도록 플로우 콜렉터를 구성해야 합니다. 자세한 정보는 플로우 콜렉터 형식 구성을 참조하십시오.

이 태스크에 대한 정보

다중 기본 사용자 정의 특성이 동일한 이름 및 동일한 로그 소스를 가질 수 있지만 다른 regex 표현식, 이벤트 이름 또는 카테고리를 가질 수 있습니다. 예를 들어 Microsoft Windows 보안 이벤트 로그에 대해 계정 이름이라는 여러 사용자 지정 속성이 있지만 각 속성은 고유한 정규식 표현식으로 정의되어 있습니다.

1. 로그 보기 탭 또는 네트워크 보기 탭을 클릭하십시오.
2. 스트림 모드에서 이벤트 또는 플로우를 보는 경우 일시정지 아이콘을 클릭하여 스트리밍을 일시정지하십시오.
3. 추출할 데이터를 포함하는 이벤트 또는 플로우를 두 번 클릭한 후 특성 추출을 클릭하십시오.
4. 특성 유형 선택 분할창에서 작성할 사용자 정의 특성의 유형을 선택하십시오.
5. 사용자 정의 특성 매개변수를 구성하십시오.

   사용자 정의 특성 매개변수에 대한 정보를 보려면 도움말 아이콘 () 을 클릭하십시오.

6. 규칙, 검색 색인 또는 전달 프로파일에서 사용할 추출 기반 사용자 정의 특성을 작성하는 경우 규칙, 전달 프로파일 및 검색 색인화에서 사용 가능 선택란이 선택되어 있는지 확인하십시오.
7. 선택사항: 페이로드에 대해 표현식을 테스트하려면 테스트 를 클릭하십시오.
8. 선택 사항입니다: 7.5.0 업데이트 패키지 12의 새로운 기능 정규식(정규식) 사용자 지정 속성에 예측 구문 분석 알고리즘을 사용할 수 있습니다. 예측 구문 분석 활성화 확인란을 선택하여 예측 구문 분석을 활성화할 수 있습니다. 이제 모든 사용자 지정 속성에 대해 예측 구문 분석이 기본적으로 활성화됩니다. 예측 구문 분석을 활성화하면 새 프로퍼티를 만들 때 성능이 더 빨라집니다. 예측 구문 분석 구분자 옵션을 사용하여 속성에 대한 구분자 집합을 설정할 수도 있습니다. 예측 구문 분석은 모든 이벤트에 대해 정규식을 실행하지 않고 이벤트에서 속성 값을 추출하는 알고리즘을 사용하므로 속도가 빠릅니다. 그러나 드물게 알고리즘이 잘못된 예측을 할 수 있으므로 이벤트 발생률이 높을 것으로 예상되어 더 빠른 구문 분석이 필요한 로그 소스 유형에 대해서만 예측 구문 분석을 사용하는 것이 좋습니다.
9. 저장을 클릭하십시오.

다음에 수행할 작업

사용자 정의 특성 수정 또는 삭제