Edwin AI 統合 YAML ファイル

その mappings.yaml このファイルは、サードパーティシステムからのイベントをEdwin AIの共通イベントフォーマット（CEF）にマッピングする方法を定義します。この設定により、受信イベントデータが標準化され、Edwin AIの処理パイプライン全体で利用可能になります。

すべてのサードパーティ統合にマッピングYAMLファイルが必要なわけではありませんが、非標準形式でイベントデータを送信する統合や、Edwinへの取り込み前に変換が必要な統合には必須です。Splunkなどのプラットフォームとの統合では、マッピングファイルを使用することで互換性と柔軟性を確保できます。

マッピングファイル構造

すべての YAML ファイルには以下を含める必要があります。

• マッピング—JSONPath 式を使用して、サードパーティ イベントのフィールドを Edwin の標準化されたフィールドにマッピングします。
  

  event_ci: ["$.configurationItem.name"]
  event_description:
    string_template: "sample text {variable1} {v2}"
    variable1: ["$.alert_name"]
    v2: ["$.not_exist", "$.configurationItem.name", "$.source"]

  コピー
  マッピング ブロックには、次のイベント フィールドの定義が含まれています。

複数のJSONPath文字列を使用してフォールバックパスを定義できます。最初に一致した有効なパスが使用されます。

• デフォルト— マッピングが値に解決されない場合、または値が無効な場合は、デフォルトが使用されます。
  次のコード ブロックは、マッピングで有効なデータを抽出できない場合に使用されるフォールバック値を定義します。

  
  event_ci: "defaultEventCI"
  event_severity: 1
  event_source: "splunk"

  コピー

• エンリッチメント—追加のメタデータを使用してコア イベントを補足するカスタム フィールド。
  一般的なエンリッチメントには、場所、環境 (開発や運用など)、アラート リソースでサポートされているビジネス サービスやアプリケーションなどのデータ ポイントが含まれます。
  次のコード ブロックは、文字列テンプレートを含むエンリッチメント フィールドを定義します。
  

  test_enrichment: ["$.obj[0].name"]
  test_enrichment_template:
    string_template: "enrichment template {v1}"
    v1: ["$.alert_name"]

• 変換—変換により、非標準値 (ソース システムから) が Edwin AI で使用される標準化された値にマップされます。 
  次のコード ブロックは、生の重大度値を Edwin の標準重大度レベルに正規化する方法を定義します。
  

  event_severity:
    critical: ["crt", "critical", 5]
    major: ["mjr", "major", 4]

  コピー
  
  重大度が既知の値と一致しない場合は、次の値にフォールバックします。
  

  defaults.event_severity

  コピー

• タイムスタンプ—解釈方法を定義する event_time.
  次のコード ブロックは、タイムスタンプの形式とタイムゾーン オフセットの解釈を指定します。
  

  type: "datetime"
  day_first: false
  year_first: false
  offset:
    BST: 3600
    PST: -28800
    CST: -21600

有効なファイルにはすべてのブロックが必要ですが、各ブロックには有効性に関する独自のルールがあります。

次のコード ブロックは、必要なすべてのブロックを含む完全な YAML ファイルを表示します。

mappings:
  event_ci: ["$.configurationItem.name"]
  event_object: ["$.obj[1].name"]
  event_source: ["$.source"]
  event_name: ["$.alert_name"]
  event_description:
    string_template: "sample text {variable1} {v2}"
    variable1: ["$.alert_name"]
    v2: ["$.not_exist", "$.configurationItem.name", "$.source"]
  event_severity: ["$.event_severity"]
  event_time: ["$.timestamp"]
  event_id: ["$.event.identifier"]
 
defaults:
  event_ci: "defaultEventCI"
  event_object: "defaultEventObject"
  event_source: "splunk"
  event_name: "defaultEventName"
  event_description: "default event description"
  event_severity: 1
 
enrichments:
  test_enrichment: ["$.obj[0].name"]
  test_enrichment_template:
    string_template: "enrichment template {v1}"
    v1: ["$.alert_name"]
 
transforms:
  event_severity:
    critical: ["crt", "critical", 5]
    major: ["mjr", "major", 4]
    minor: ["min"]
    warning: ["wrn"]
    indeterminate: ["sdt"]
    clear: [0, 255]
 
 
timestamps:
  type: "datetime"
  day_first: false
  year_first: false
  offset:
    BST: 3600
    PST: -28800