データのエンリッチ

IBM Cloud Logs を使えば、簡単にログデータを充実させることができる。独自の事前定義カスタム・データ・ソースを使用して、ログ・データ内の特定の一致に基づいて JSON ログにフィールドを自動的に追加できます。このようにして、実行時には使用できないビジネス情報、操作情報、またはセキュリティー情報を使用して、ログ・データを拡張することができます。

以下の 2 つの方法で、ログを強化することができます。

キー値のルックアップに使用するログ・キーを選択し、取り込み時にログを自動的に強化します。ログは、強化されたフィールドとともに保存されます。このモードの利点は、以下のとおりです。
- ログは自動的にエンリッチされます。
- ログには、エンリッチメント・データが含まれています。これらのデータは、あらゆる場所で (例えば、任意の照会で、またバケットからログを読み取るサード・パーティー製品によって) 取り込むことができます。
DataPrime 照会 enrich を使用して、表内の値を検索し、照会のためにログを動的に拡張します。このモードの利点は、以下のとおりです。
- 既に IBM Cloud Logsに取り込まれている古いログを強化できます。
- エンリッチメントは動的に実行され、照会結果にのみ使用されるため、このエンリッチメントによって保管されるログのサイズが増加することはありません。

データ・エンリッチメントのユース・ケース

以下に、エンリッチメントが役立つユース・ケースの例をいくつか示します。

モニター

この例では、顧客を表す UUID を持つログがあると想定します。しかし、顧客名を持つフィールドがログに存在しません。

顧客名を含むフィールドを追加してログを強化することで、名前に基づいてログを視覚化して検索することができます。カスタム・エンリッチメントでは、 CSV ファイルをセットアップして、各 UUID をお客様名にマッピングすることで、エンリッチメントを作成します。

セキュリティー

この例では、ログには、アプリケーションがアクセスされる場所を表すドメイン名を持つフィールドが含まれています。許可されていないドメインからアプリケーションにアクセスしようとした場合に通知を作成するアラートを作成します。

許可リスト入りドメインのリストで CSV ファイルを作成し、各ログにリスト入りドメインの allowed という単語を含むフィールド(domain_enriched)を充実させることができる。その後、このフィールドが含まれていないログ (例えば、 NOT domain_enriched:allowed) に対するアラートを作成できます。