マッピングの概要

マッピングステップでは、選択した相関ルールのサンプルの注目イベントを取り込むことも、手動で転送された注目イベントの注目イベントデータをエクスポートすることもできます。イベントマッピングプロセスは、作成するプロファイルタイプに関係なく同じです。

次の図は、イベントプロファイルのタイプごとに提供されるデフォルトのマッピング構成の例です。セキュリティインシデントを入力するフィールドをカスタマイズできます。このマッピングフェーズで、関連するすべての注目イベントフィールドデータが、SIR インシデントフォームの適切な場所にマッピングされていることを確認して、SIR インシデントをプレビューセクションで可視化できます。

複数の相関が使用されている場合は、必要なイベントを選択することで注目イベントをフェッチできます。取り込み用に複数のアラートを構成した場合は、[アラート名] を使用してアラートを選択します。

クリックしてデータをフェッチすると、Splunk 注目イベントフィールドの名前と対応する値がフォームの左側に入力されます。これらは、SIR セキュリティインシデントフィールドにマップ可能な Splunk 注目イベントフィールドです。一部のフィールドは、SIR セキュリティインシデントフィールドに複数回マッピングできます。

Splunk コンソールでいくつかのサンプル注目イベントを確認して、フィールドマッピング構成ステップに取り込むこともできます。このステップは、進捗状況バーで [マッピング] とラベル付けされます。このページが表示されない場合は、進捗状況バーの [マッピング] をクリックします。Splunk Enterprise Security から最大 5 つのサンプル注目イベントを取り込んで、注目イベントフィールドのマッピングプロセスを支援できます。選択した相関ルールの最新の 5 つの注目イベントを取り込むか、注目イベント ID に基づいて最大 5 つの特定の注目イベントを取り込むオプションがあります。

次のステップでは、注目イベントを取り込み、値を SIRセキュリティインシデントフィールドにマップします。