1. 경보 필드 추출 토글 스위치를 활성화합니다.
2. 소스 입력 필드 메뉴에서 값을 선택합니다. 메뉴에 표준 이벤트 필드, 추가 정보 및 태그가 표시됩니다. 그러면 필드 값이 표시됩니다. 표시되지 않은 필드 이름을 수동으로 입력하고 고유한 값을 추가할 수도 있습니다.

   예제 소스 이벤트 창에는 시스템의 최근 이벤트 샘플이 표시됩니다. 이벤트가 표시되지 않으면 이벤트를 생성할 수 있습니다. 이벤트 규칙 생성 또는 편집 문서를 참조하십시오.

3. 정규 표현식 필드에서 정규 표현식을 생성하여 원하는 값을 추출합니다.
   주:

   정규 표현식(regex) 형식 규칙을 사용하여 텍스트를 구성할 수 있습니다. 괄호가 있는 하나 이상의 캡처 그룹을 사용하여 입력의 일부를 추출합니다. 정규 표현식의 캡처 그룹은 나타나는 순서에 따라 경보 출력에 할당됩니다. 정규 표현식은 전체 입력과 일치해야 하므로 정규 표현식의 양쪽 끝을 .* 로 묶는 것이 좋습니다. 예를 들어, (\w+).acme.com.* 는 정규화된 도메인 이름으로 호스트 이름을 캡처합니다. 정규 표현식 엔진의 파서는 PCRE(Perl Compatible Regular Expressions)와 호환됩니다.

4. 경보 출력 필드에서 경보 필드 또는 경보 태그를 선택합니다. 새 필드 이름을 수동으로 입력할 수도 있습니다.

   경보 태그를 추가하려면 태그로 설정 확인란을 선택합니다.

   팁:

   보다 쉽게 필터링하고 그룹화할 수 있도록 소스 간에 공유할 수 있는 경보 태그(예: 바로 사용 가능한 태그)를 생성합니다.

   

5. 여러 이벤트 미리 보기를 선택하여 정규 표현식(regex)이 여러 예제에서 값을 올바르게 추출할 수 있을 만큼 범용인지 확인합니다.
   주:

   이 옵션은 예제 소스 이벤트를 사용할 수 있고 정규 표현식 필터와 일치하는 경우에만 사용할 수 있습니다.

   

추출할 추가 필드를 포함하려면 + 필드 추가를 선택합니다.

1. 필드 복사 또는 작성 토글 스위치를 활성화합니다.
2. 소스 입력 필드 메뉴에서 경보 필드 및/또는 경보 태그를 선택하고 필드 이름을 수동으로 입력하거나 자유 텍스트를 추가할 수도 있습니다. 경보 필드는 ${field} 구문 형식으로 표시됩니다.
3. 경보 출력 필드에서 기존 경보 필드 또는 경보 태그를 선택하거나 경보 필드를 수동으로 입력합니다. 경보 출력 필드는 구성된 경보 데이터를 포함하는 보강된 경보입니다.
   보다 쉽게 그룹화하려면 메뉴에서 태그를 선택할 수 있습니다. 새 필드 이름을 그룹화를 위한 태그로 사용하려면 태그로 설정 확인란을 선택합니다.

   팁:

   보다 쉽게 필터링하고 그룹화할 수 있도록 소스 간에 공유할 수 있는 경보 태그(예: 바로 사용 가능한 태그)를 생성합니다.

   

추가 경보 데이터 구성을 만들려면 + 필드 추가를 선택합니다.