• 최근 위반 검색: 선택한 규칙에 대한 가장 최근의 위반 3건이 검색됩니다.
• 위반 ID를 기준으로 위반 선택: 검색할 위반의 위반 ID를 지정합니다. 쉼표로 구분된 최대 3개의 위반 ID를 지정할 수 있습니다.

• rules_contributing_to_offense: IBM QRadar 규칙 ID를 기반으로 공격에 기여한 규칙입니다.
• users: 위반의 사용자 이름
• remote_destination_ip: 공격에 대한 원격 대상 IP입니다.
  공격에 대한 로컬 대상 ID를 기반으로 다음과 같은 사용자 지정 로컬 대상 주소 필드를 사용할 수 있습니다.

  • local_destination_address (domain_id)
  • local_destination_address (event_flow_count)
  • local_destination_address (first_event_flow_seen)
  • local_destination_address(id)
  • local_destination_address (last_event_flow_seen)
  • local_destination_address (local_destination_address_ids)
  • local_destination_address(크기)
  • local_destination_address(네트워크)
  • local_destination_address (offense_ids)
  • local_destination_address (local_destination_ip)
• 공격의 소스 ID에 따라 다음 소스 주소를 사용할 수 있습니다.

  • source_addresses (domain_id)
  • source_addresses (event_flow_count)
  • source_addresses (first_event_flow_seen)
  • source_addresses(id)
  • source_addresses (last_event_flow_seen)
  • source_addresses (source_address_ids)
  • source_addresses(크기)
  • source_addresses(네트워크)
  • source_addresses (offense_ids)
  • source_addresses (source_ip)

추가 이벤트 및 플로우 필드 가져오기(선택 사항) 확인란을 선택합니다. 유효한 활성 사용자 지정 이벤트 및 플로우 필드에서 샘플 이벤트 및 플로우 데이터를 가져올 수 있습니다. 아래 그림과 같이 사용자 지정 필드를 쉼표로 구분하여 지정합니다.

Fetch Sample Data(샘플 데이터 가져오기)를 클릭합니다. 아래와 같이 지정된 이벤트 또는 플로우 필드와 해당 값(사용 가능한 경우)이 이벤트 또는 플로우 섹션에 추가됩니다.

샘플 데이터를 가져오면 이러한 필드에 해당하는 값이 양식 왼쪽에 채워집니다.