強化資料

您可以使用 IBM Cloud Logs 輕鬆豐富您的日誌資料。 您可以使用自己的預先定義自訂資料來源，根據日誌資料中的特定相符項自動將欄位新增至 JSON 日誌。 這樣，您可以使用在執行時期無法使用的商業、作業或安全資訊來加強日誌資料。

您可以使用兩種可能的方式來強化日誌:

  • 選取要用來在汲取期間查閱金鑰值並自動強化日誌的日誌金鑰。 日誌會與強化欄位一起儲存。 此模式的優點如下:

    • 日誌會自動強化。

    • 日誌包括強化資料，可以隨處使用 (例如，在任何查詢中，也可以由從儲存區讀取日誌的協力廠商產品使用)。

  • 使用 DataPrime 查詢 enrich 來查閱表格中的值，並動態強化查詢的日誌。 此模式的優點如下:

    • 您可以強化已汲取至 IBM Cloud Logs的舊日誌。

    • 強化不會增加已儲存日誌的大小，因為強化是動態執行的，且僅用於查詢結果。

資料強化使用案例

強化可能很有用的一些使用案例範例如下:

監視

在此範例中，假設我們有日誌具有代表客戶的 UUID。 不過，日誌中不存在具有客戶名稱的欄位。

您可以透過新增包含客戶名稱的欄位來強化日誌，以便您可以根據名稱來視覺化及搜尋日誌。 使用自訂豐富化功能時，您會透過設定 CSV 檔案來建立豐富化功能，將每個 UUID 對應到客戶名稱。

安全

在此範例中，日誌包含具有網域名稱的欄位，代表存取應用程式的位置。 如果嘗試從未獲授權的網域存取應用程式，則您想要建立警示來建立通知。

您可以建立 CSV 檔案，其中包含允許列出網域的清單，因此每個記錄都會豐富一個欄位 (domain_enriched)，其中包含清單中網域的字 allowed。 然後，您可以針對不包含此欄位的日誌建立警示 (例如 NOT domain_enriched:allowed)。