統合マッピング

統一されたマッピングは、Threat ExchangeエンティティとRisk Exchangeエンティティを1つのレコードセットに結合する方法を定義します。ベーステーブルを選択し、同じ種類の値を保持するフィールドを結合して追加テーブルを接続し、必要に応じてフィルタで結果を絞り込むことができます。マッピングは名前で保存され、ビジネスルールで使用できます。

結合されたレコードは保存されません。Cloud Exchangeは定義のみを保存し、マッピングがプレビュー、実行、またはルールによって評価されるたびに、現在のデータからレコードを再構築します。

このページを開くには、Universal Schema Builder > Unified Mapping に移動してください。

ページレイアウト

Area	デスクリプション
マッピングセレクター	ページの上部にあるリスト。ここで新しいマッピングを作成したり、保存したマッピングを開いたりできます。何も開いていない場合はCreate or select a saved mapping…が表示されます。
エンティティとマッピング	結合できるエンティティと、各エンティティで使用できるフィールドがリストされる作業エリア。フィールドを別のテーブルのフィールドにドラッグして接続し、ここから2つのテーブル間のリンクを追加または削除します。
ルールの一致	適用される順序で結合の概要が記述されます。
生成されたマッピング	現在の定義によって生成された結合レコードのプレビューです。

動画を見る

再生ボタンをクリックして動画をご覧ください。

統一マッピングの作成

統合マッピングを作成するには:

1. Universal Schema Builder > Unified Mappingへ移動してください。
2. マッピングセレクタをクリックして、新しいマッピングを作成します。マッピングが Untitled Mapping として開きます。
3. Entities and Mappingsで、ベーステーブルとして使うエンティティを選択します。これは結合の開始点であり、そのレコードによってどのレコードが結果に表示されるかが決まります。

   

4. 結合する次のエンティティを追加し、一方のテーブルのフィールドを、他方のテーブルの対応するフィールドにドラッグします。各フィールドにはuniqueまたはmanyのラベルが付けられるため、その値がどのように分散されているかを確認できます。

   

5. 他のエンティティに対しても同じことを行います。すべての新しいテーブルは、すでに接続されているテーブルの結合結果に結合され、キャンバスにはCombinedとして表示されます。
6. （オプション）結合されたフィールドに異なるケースの値が含まれている場合は、Allow case-insensitiveをオンにします。例：Emailとemail。この設定はマッピング内のすべての結合に適用され、マッピングと共に保存されます。デフォルトではオフになっているため、結合は完全なケースに一致します。
7. （オプション）Filtersで、レコードを含めるために満たす必要のある条件を選択し、Apply filterをクリックします。
8. （オプション）Customize Columnを使用して、Generated Mappingに表示するフィールドを選択します。
9. Generated Mapping のレコードを確認してください。
10. Mapping nameに名前を入力してSave Mappingをクリックし、確認を求められたら確定してください。

結合要件

フィールドを接続するときは、次の点に留意してください：

• Joins match on equality. 選択された2つのフィールド値が等しい場合にレコードが結合されます。範囲やパターン一致が必要な場合はフィルタを使う。
• At least one side of a join must be a unique field. 一意ではない2つのフィールドを結合すると、レコードは一致せずに乗算されます。
• The two fields must hold the same kind of value. テキストフィールドは数値フィールドと結合できません。
• A entity can be joined only once in a mapping。自身に結合することはできません。
• Joins are applied in the order you create them. 各結合は前の結合の結合結果に基づいているため、テーブルはベーステーブルまたは既に結合結果の一部であるテーブルに接続されている必要があります。

レコードのフィルタリング

フィルターは、マッピングが生成するレコードを絞り込みます。それらは結合された結果に適用されるため、結合されたテーブルの任意のフィールドでフィルタリングできます。

マッピングをフィルタリングするには：

1. マッピングを開き、Filtersをクリックします。
2. フィールド、演算子、および値を選択します。
3. Apply filterをクリックします。Generated Mappingは、一致するレコードで更新されます。

また、Matched only を選択することで、プレビューを、結合されたすべてのテーブルが一致するレコードに制限できます（All records の代わりに）。これはプレビューにのみ影響し、マッピングの一部として保存されることはありません。

レコードのプレビュー

Generated Mapping 現在の定義で生成されたレコードを表示するため、保存する前に結合が正しいことを確認できます。ベーステーブル、結合、またはフィルターを変更すると、プレビューが更新されます。

プレビューが空の場合、結合されたフィールドに一致する値が含まれていないか、フィルタが狭すぎます。フィルタを広げるか、ソースエンティティにデータを入力するプラグインがデータを取得したことを確認してください。

マッピングにソース列が含まれている場合、各ソースは独自のレコードとして表示されます。

列を選択

Customize Columnを使って、Generated Mappingに表示するフィールドを選択します。選択した列はマッピングとともに保存され、ビジネスルールでフィルター処理およびマッピングを行うフィールドを定義します。そのため、ルールに必要なすべてのフィールドを含めてください。デフォルトでは、テーブルをマッピングに追加すると、そのテーブル独自のフィールドが提供されます。

Threat Exchange sources フィールドの動作は異なります。インジケーターにはソースのリストが保持されます。各ソースは、インジケーターに貢献したプラグインまたはルールに対応します。各ソースには、重大度、レピュテーション、タグ、最初に見られた日時、最後に見られた日時などの独自のメタデータが含まれています。sources を展開して、その中の個別のフィールドを選択します。

ベーステーブルの sources 内からフィールドを選択すると、各ソースが結果内で独自のレコードになります。したがって、3つのプラグインから提供されるインジケーターは3つのレコードを生成します。ソースごとに1つずつ、それぞれがそのソース自身のメタデータを持っています。そのソースごとの詳細が必要な場合にのみソースフィールドを選択してください。インジケーターごとに1つのレコードが必要な場合は、ソースフィールドを除外してください。

統一マッピングの管理

マッピングセレクターから保存されたマッピングを開きます。マッピングは読み取り専用で開きます。編集アイコンをクリックして変更します。

アクション	手順
編集	マッピングを開き、編集アイコンをクリックして変更を行い、Save Mappingをクリックします。
Clone	Clone Mappingをクリックし、New mapping name:に値を入力して、確定します。
Reset	キャンバス上の未保存の変更を破棄し、最後に保存した定義に戻るには、Reset Mappingをクリックします。
消去	Delete Mappingをクリックして確定します。

マッピングを編集すると、それが生成するレコードが変更されます。そのため、それに基づいて構築されたすべてのルールが評価するレコードも変更されます。マッピングの結合またはフィルタを変更した後は、影響を受けるルールを確認してください。

マッピングからビジネスルールを作成する

開いているマッピングに基づいて直接ルールを作成するには、Create Business Ruleをクリックします。このマッピングがすでに選択された状態で、ルールフォームが開きます。Unified Mapping Business Rulesを参照してください。