アラートタグ

アラートタグにより、すべての正規化フィールドを統合し、アラートフィールド (キー / 値) を変換および正規化するアドミンエクスペリエンスを向上させ、​さまざまなソース間での正規化フィールドを再利用することが可能になります。​これにより、相関のアラート品質が向上し、TBAC (タグベースの自動相関) 定義がさらにすぐに利用可能になります。​

例:アラート管理でのフィールド正規化

場合によっては、データソース間で異なるフィールド名の下に同じ情報が存在することがあります。たとえば、あるソースからの受信イベントの場所はフィールド領域の下に格納されますが、他のソースでは同じ情報がフィールド 領域の下にキャプチャされます impacted_region。混乱を避け、一貫したグループ化、フィルタリング、または自動化を可能にするために、これらのフィールドを正規化するには、統合フィールド (t_region など) を作成します。このフィールドは、イベントに存在するフィールドに応じて、 リージョン または impacted_region から値をプルします。このようにして、正規化されたフィールド t_region は、元のソースフィールドに関係なく、常に一貫した方法で場所の値を保持します。

[アラートタグ] フィールドが [アラート] フォームに表示されます。これらのタグは、イベントルールとイベントマッピングで作成され、アラートタグのテーブル [em_alert_tags] に保存されます。キー / 値ペアの作成に使用される命名規則は、t_<tag name> です。​これにより、それまでに定義されたタグをユーザーが選択できるようになって、イベントルールでタグを再利用できます。​新しいアラートタグが定義されると、TBAC (タグベースのアラートクラスタリング) タグが自動的に作成されます。​これらの TBAC タグを使用して、新しいタグのソースから新しい TBAC アラートクラスタリング定義を作成できます。​