• Stocker la valeur dans un champ du nouvel enregistrement
• Lier à cette valeur dans une liste connexe
• Lier à cette valeur, ce qui crée un nouvel enregistrement si un enregistrement correspondant n'existe pas
  Remarque :

  Si la table de destination n’a pas de listes connexes, ce champ n’est pas affiché.

Lorsque la valeur Stocker dans un champ ou une liste connexe est définie sur Lier à cette valeur dans une liste connexe ou Lier à cette valeur, la création d’un nouvel enregistrement si aucun enregistrement correspondant n’existe, ce champ spécifie la liste connexe à laquelle ajouter des informations.

Lorsque la valeur Stocker dans un champ ou une liste connexe est définie sur Lier à cette valeur dans une liste connexe ou Lier à cette valeur, la création d’un nouvel enregistrement si aucun enregistrement correspondant n’existe, ce champ spécifie le champ dans la table affichée dans la liste connexe. Il est utilisé pour rechercher et trouver un enregistrement existant. Par exemple, si votre liste connexe est celle des CI affectés, ce champ peut contenir le nom ou le nom de domaine complet ou tout autre champ de l’enregistrement CI à utiliser pour rechercher le CI ajouté à la liste des CI affectés .

Lorsque la valeur stocker dans un champ ou une liste connexe est définie sur Lier à cette valeur dans une liste connexe, un enregistrement est créé pour lier cet enregistrement (tel qu’un incident de sécurité) à la valeur (un CI, un observable, etc.). Ce champ spécifie toutes les informations supplémentaires (paires de valeurs et de champs) devant être ajoutées à l’enregistrement de liaison. Par exemple, en ajoutant un observable pour une adresse IP source, spécifiez que cette adresse IP est la source, plutôt que l’adresse IP de destination. Pour plusieurs valeurs, utilisez un séparateur ^, par exemple, type= Source IP^Active=true.

Lorsque la valeur de stockage dans un champ ou une liste connexe est définie sur Lier à cette valeur, un enregistrement est créé alors un nouvel enregistrement s’il n’existe pas d’enregistrement correspondant, si aucun enregistrement associé correspondant à la valeur analysée n’est trouvé. Ce champ spécifie les données statiques à ajouter à cet enregistrement. Pour les CI affectés, si aucun CI correspondant n’est trouvé, un enregistrement CI est créé. Dans ce cas, la valeur trouvée dans l’e-mail est définie sur le champ Valeur dans l’enregistrement CI. Vous pouvez définir des données supplémentaires : une note indiquant pourquoi le CI a été créé, des informations sur le type de CI avec lesquels vous travaillez, etc. Voici un exemple : description=Created by Malware Scanner email parser^type=autodetect.

• Au début d'une ligne dans le corps de l'e-mail
• N'importe où dans le corps de l'e-mail
• Dans la ligne d'objet de l'e-mail
• Toujours la valeur statique

Lorsque vous avez défini un séparateur d’enregistrement, davantage d’options (N’importe où dans la section d’enregistrement et Au début d’une ligne dans la section d’enregistrement) vous permettent d’effectuer une recherche uniquement dans la section actuelle au lieu de l’ensemble du corps de l’e-mail (voir Security Operations Analyse des e-mails pour plus d’informations.

Les informations qui se trouvent dans un en-tête ou un pied de page, s’appliquant à tous les enregistrements, sont recherchées dans l’ensemble du corps de l’e-mail. Les informations qui diffèrent entre les enregistrements ne sont recherchées que dans la section.

Lorsque la valeur Stocker dans un champ ou une liste connexe est définie sur Lier à cette valeur dans une liste connexe ou Lier à cette valeur, la création d’un nouvel enregistrement si aucun enregistrement correspondant n’existe, ce champ spécifie le séparateur à utiliser pour les listes d’éléments. par exemple, une virgule ou un point-virgule lorsque les données de l’e-mail sont une liste d’adresses IP.

Texte qui précède toujours la valeur placée dans ce champ à extraire.

Sélectionnez ce qui indique la fin de la valeur. Vous avez le choix entre : Fin de ligne, Fin de l’e-mail (affiche tout le texte restant dans l’e-mail), Jusqu’à (s’arrête lorsque le texte spécifié est détecté) ou Jusqu’à (s’arrête lorsque le texte spécifié est détecté).

Lorsque la fin de la valeur est définie sur Jusqu’à, ce champ spécifie le texte qui suit toujours la valeur placée dans ce champ.

Par exemple, si vous recherchez une valeur qui vient après « L’ordinateur affecté est » et avant « . », « AB123 » sera extrait de « Le virus du lapin dément a été détecté. L’ordinateur concerné est AB123. L’heure estimée de l’infection était 15h45 » dans un courriel.