사용자 지정 매핑을 설정할 때 모달을 닫거나 종료하려고 하면 매핑을 내보내라는 메시지가 표시됩니다. Datadog은 지금까지 설정한 내용을 저장하기 위해 매핑을 내보낼 것을 권장합니다. 내보낸 매핑은 JSON 파일로 저장됩니다.
사용자 지정 매핑을 설정하려면 다음 단계를 따르세요.
- 필요시 매핑 이름을 추가합니다. 기본 이름은
Custom Authentication입니다. - filter query를 정의합니다. 자세한 내용은 로그 검색 구문을 참조하세요.
- 필터와 일치하는 로그만 다시 매핑됩니다.
- 모든 로그는 필터 쿼리와 일치하는지 여부에 관계없이 파이프라인의 다음 단계로 전송됩니다.
- 드롭다운 메뉴에서 OCSF 이벤트 카테고리를 선택합니다.
- 드롭다운 메뉴에서 OCSF 이벤트 클래스를 선택합니다.
- 필드를 추가할 때 참조할 수 있도록 로그 샘플을 입력합니다.
- Continue를 클릭합니다.
- 추가하려는 OCSF 프로필을 선택합니다. 자세한 내용은 OCSF 스키마 브라우저를 참조하세요.
- 모든 필수 필드가 표시됩니다. 해당 항목에 필요한 Source Logs Fields 및 Fallback Values를 입력합니다. 필드를 수동으로 더 추가하려면
Field를 클릭합니다. 휴지통 아이콘을 클릭하여 필드를 삭제합니다. **참고**: 필수 필드는 삭제할 수 없습니다.
- 로그에 소스 로그 필드가 없는 경우 OCSF 필드에 폴백 값이 사용됩니다.
-
Source Log Fields에 대해 여러 필드를 추가할 수 있습니다. 예를 들어, Okta의 `user.system.start` 로그에는 `eventType` 또는 `legacyEventType` 필드가 있습니다. 두 필드 모두 동일한 OCSF 필드에 매핑할 수 있습니다.
- JSON 형식의 자체 OCSF 매핑이 있거나 사용하려는 이전 매핑을 저장한 경우
Import Configuration File을 클릭하세요.
1.
Continue를 클릭합니다.
1. 일부 로그 소스 값은 OCSF 값에 매핑해야 합니다. 예를 들어, OCSF의 `severity_id` 필드에 매핑된 소스 로그의 심각도 필드 값은 OCSF `severity_id`의 값에 매핑해야 합니다. OCSF 값 목록은 [인증][2]의 `severity_id`를 참조하세요. 심각도 값 매핑 예시:
| 로그 소스 값 | OCSF 값 |
| ---------------- | --------------- |
| `INFO` | `Informational` |
| `WARN` | `Medium` |
| `ERROR` | `High` |
1. OCSF 값에 매핑해야 하는 모든 값이 나열됩니다. 추가 값을 매핑하려면
를 클릭하세요.
1.
Save Mapping을 클릭합니다.
