Mise en correspondance unifiée

Un mappage unifié définit la manière dont les entités Threat Exchange et Risk Exchange sont combinées en un seul ensemble d’enregistrements. Vous choisissez une table de base, connectez des tables supplémentaires en joignant des champs qui contiennent le même type de valeur, et éventuellement réduisez le résultat avec des filtres. Le mappage est enregistré par nom et peut ensuite être utilisé par une règle métier.

Les enregistrements joints ne sont pas stockés. Cloud Exchange enregistre uniquement la définition et reconstruit les enregistrements à partir des données actuelles à chaque fois que le mappage est prévisualisé, exécuté ou évalué par une règle.

Pour ouvrir cette page, allez sur Universal Schema Builder > Unified Mapping.

Mise en page de la page

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Créer un mappage unifié

Pour créer un mappage unifié :

1. Allez sur Universal Schema Builder > Unified Mapping.
2. Cliquez sur le sélecteur de mappage et créez un New mappage. Le mappage s’ouvre en tant que Untitled Mapping.
3. Dans Entities and Mappings, sélectionnez l'entité à utiliser comme table de base. C'est le point de départ de la jointure, et ses enregistrements déterminent quels enregistrements peuvent apparaître dans le résultat.

   

4. Ajoutez la prochaine entité que vous souhaitez joindre et faites glisser un champ d'une table vers le champ auquel il doit correspondre dans l'autre. Chaque champ est étiqueté unique ou many afin que vous puissiez voir comment ses valeurs sont réparties.

   

5. Répétez pour chaque entité supplémentaire. Chaque New table se joint au résultat combiné des tables déjà connectées, affiché sur le canevas comme Combined.
6. (Facultatif) Activez Allow case-insensitive si les champs joints contiennent la même valeur en différentes casses. Par exemple : Email et email. Le paramètre s'applique à chaque jointure dans le mappage et est enregistré avec celui-ci. Il est désactivé par défaut, de sorte que les jointures correspondent à la casse exacte.
7. (Facultatif) Dans Filters, sélectionnez les conditions qu’un enregistrement doit remplir pour être inclus, puis cliquez sur Apply filter.
8. (Facultatif) Utilisez Customize Column pour choisir les champs qui apparaissent dans Generated Mapping.
9. Passez en revue les enregistrements dans Generated Mapping.
10. Entrez un nom dans Mapping name et cliquez sur Save Mapping, puis confirmez lorsque vous y êtes invité.

Conditions de participation

Gardez les éléments suivants à l’esprit lorsque vous connectez des champs :

• Joins match on equality. Les enregistrements sont combinés lorsque les deux valeurs de champ sélectionnées sont égales. Utilisez des filtres lorsque vous avez besoin de plages ou de correspondances de modèles.
• At least one side of a join must be a unique field. Joindre deux champs non uniques multiplierait les enregistrements au lieu de les faire correspondre.
• The two fields must hold the same kind of value. Un champ texte ne peut pas être joint à un champ numérique.
• A entity can be joined only once in a mapping. Il ne peut pas être joint à lui-même.
• Joins are applied in the order you create them. Chaque jointure repose sur le résultat combiné des précédentes, c'est pourquoi une table doit être connectée à la table de base ou à une table qui fait déjà partie du résultat combiné.

Filtrer les enregistrements

Les filtres restreignent les enregistrements produits par la mise en correspondance. Ils sont appliqués au résultat combiné, ce qui vous permet de filtrer sur des champs provenant de l'une des tables jointes.

Pour filtrer un mappage :

1. Ouvrez le mappage et cliquez sur Filters.
2. Select un champ, un opérateur et une valeur.
3. Cliquer sur Apply filter. Generated Mapping s’actualise avec les enregistrements correspondants.

Vous pouvez aussi limiter la prévisualisation aux enregistrements où chaque table jointe correspondait en sélectionnant Matched only au lieu de All records. Cela affecte uniquement l’aperçu et n’est pas enregistré dans le cadre du mappage.

Prévisualiser les enregistrements

Generated Mapping affiche les enregistrements générés par la définition actuelle, afin que vous puissiez confirmer que la jointure est correcte avant d'enregistrer. À mesure que vous modifiez la table de base, les jointures ou les filtres, l’aperçu s’actualise.

Si l'aperçu est vide, les champs joints ne contiennent probablement pas de valeurs correspondantes, ou les filtres sont trop restrictifs. Élargissez les filtres ou vérifiez que les plugins qui remplissent les entités sources ont extrait des données.

Lorsqu’un mappage inclut une colonne sources, chaque source apparaît comme son propre enregistrement.

Choisir les colonnes

Utilisez Customize Column pour choisir les champs qui apparaîtront dans Generated Mapping. Les colonnes que vous sélectionnez sont enregistrées avec le mappage et définissent les champs sur lesquels une règle métier peut filtrer et à partir desquels elle peut mapper. Incluez donc tous les champs dont une règle aura besoin. Par défaut, une table contribue avec ses propres champs lorsque vous l’ajoutez au mappage.

Le champ sources de Threat Exchange se comporte différemment. Un indicateur contient une liste de sources, une pour chaque plug-in ou règle qui y a contribué, et chaque source porte ses propres métadonnées telles que la gravité, la réputation, les étiquettes, ainsi que la première et la dernière apparition. Développez sources pour sélectionner les champs individuels qu'il contient.

Lorsque vous sélectionnez un champ à l’intérieur de sources sur la table de base, chaque source devient son propre enregistrement dans le résultat. Un indicateur contribué par trois plugins produit donc trois enregistrements, un par source, chacun portant ses propres métadonnées de cette source. Select un champ source uniquement lorsque vous souhaitez ce détail par source ; si vous voulez un enregistrement par indicateur, laissez les champs sources de côté.

Gérer les mappages unifiés

Ouvrez un mappage enregistré à partir du sélecteur de mappage. Un mappage s’ouvre en lecture seule ; cliquez sur l’icône de modification pour le modifier.

Modifier un mappage change les enregistrements qu’il produit, et donc les enregistrements que chaque règle créée à partir de celui-ci évaluera. Examinez les règles affectées après avoir modifié les jointures ou les filtres d’un mappage.

Créer une règle métier à partir d'une correspondance

Cliquez sur Create Business Rule pour créer une règle directement sur le mappage que vous avez ouvert. Le formulaire de règle s’ouvre avec ce mappage déjà sélectionné. Voir Règles métier de mappage unifié.