Enriquecimiento de datos

Puede enriquecer fácilmente sus datos de registro con IBM Cloud Logs. Puede añadir automáticamente campos a los registros JSON basándose en coincidencias específicas en los datos de registro utilizando un origen de datos personalizado predefinido propio. De esta forma, puede mejorar los datos de registro con información de negocio, operaciones o seguridad que no está disponible en tiempo de ejecución.

Puede enriquecer los registros de dos maneras posibles:

  • Seleccione una clave de registro que se utilizará para buscar un valor de clave y enriquecer los registros automáticamente durante la ingestión. Los registros se guardan con los campos enriquecidos. Las ventajas de esta modalidad son:

    • Los registros se enriquecen automáticamente.

    • Los registros incluyen los datos de enriquecimiento, que se pueden consumir en todas partes (por ejemplo, en cualquier consulta y también por productos de terceros que leen los registros del grupo).

  • Utilice la consulta DataPrime enrich para buscar un valor en una tabla y enriquecer el registro dinámicamente para la consulta. Las ventajas de esta modalidad son:

    • Puede enriquecer los registros antiguos ya ingeridos en IBM Cloud Logs.

    • El enriquecimiento no aumenta el tamaño de los registros almacenados, ya que el enriquecimiento se realiza de forma dinámica y sólo se utiliza para los resultados de la consulta.

Casos de uso de enriquecimiento de datos

Algunos casos de uso de ejemplo en los que el enriquecimiento puede ser útil son:

Supervisión

En este ejemplo, supongamos que tenemos registros con un UUID que representa un cliente. Sin embargo, no existe ningún campo en el registro con el nombre de cliente.

Puede enriquecer el registro añadiendo un campo que contenga el nombre del cliente para poder visualizar y buscar los registros basándose en el nombre. Con el enriquecimiento personalizado, se crea el enriquecimiento configurando un archivo CSV para asignar cada UUID a un nombre de cliente.

Seguridad

En este ejemplo, los registros contienen un campo con un nombre de dominio que representa dónde se accede a una aplicación. Desea crear una alerta que cree una notificación si se intenta acceder a la aplicación desde un dominio no autorizado.

Puede crear un archivo CSV con una lista de dominios permitidos para que cada registro se enriquezca con un campo (domain_enriched) con la palabra allowed para los dominios de la lista. A continuación, puede crear una alerta para los registros que no contienen este campo (por ejemplo, NOT domain_enriched:allowed).