field-extraction-and-cim-mapping

フィールド抽出と CIM マッピング

検索時のフィールド抽出と CIM 正規化について、ドキュメントに基づき、根拠のあるガイダンスを作成します。作成するのはテキストの成果物のみです。Splunk 環境への認証、変更、インストール、デプロイは行わないでください。

前提条件

依頼された判断に必要な項目のうち、不足しているものだけを記録するか、ユーザーに確認してください。

• 意味のあるエッジケースを含む、代表的なサニタイズ済みの raw イベント。
• sourcetype と、関連する現在の props.conf、transforms.conf、SPL、エイリアス、計算フィールド、ルックアップ、イベントタイプ、タグ。
• 目的のソースフィールドと、その意味。
• 対象の CIM データセットと、インストール済みの CIM バージョンまたはモデルの詳細。
• 設定やルーティングに関係する場合は、Splunk の製品とバージョン、永続化の範囲、アプリのコンテキスト、デプロイのトポロジー。
• 診断または検証済みと主張する場合は、観測されたフィールド、検索、データモデルの検証出力。

イベント構造やフィールドの意味を捏造してはいけません。根拠が部分的な場合は、まず、裏付けのあるオブジェクトレベルの事実をすべて保持し、評価してください。不足しているフィールドや成果物にはそれぞれ unknown と記し、その情報が影響する結論に限って判断を保留してください。コンテキストの不足を理由に、提示された根拠まで消去してはいけません。提示された観測事項、ドキュメントに記載された事実、仮定、暫定的な結論、未検証の手順を明確に分けてください。

使用する場面

主な成果として、ドキュメントに基づく抽出ガイダンス、根拠のある抽出案、意味に基づく CIM マッピング、検証手順、または正規化の不足に関する診断が求められる場合に、このスキルを使用してください。関連する作業には、以下の境界を適用してください。

ワークフローの概要

1. 抽出方法を選択する

public-guidance.md を読んでください。イベントの形式に適した、ドキュメントに記載された方法を特定します。自動キーと値の抽出、正規表現または区切り文字による抽出、インラインの EXTRACT、transforms.conf と組み合わせた再利用可能な REPORT、またはアドホックな SPL コマンドから選択します。永続的なナレッジオブジェクトと検索時のみの SPL を区別してください。インデックス時抽出はパフォーマンスに影響する例外的な方法として扱い、デフォルトにはしないでください。

ソースイベントまたはデプロイのコンテキストが提示されていない場合は、引用した一般的なガイダンスのみを示してください。具体的な設定を提案する前に、代表的なイベント、sourcetype、製品とバージョン、目的の永続化範囲を直接尋ねて、回答を締めくくってください。これらの入力が不足していると列挙するだけでは、依頼を満たしたことになりません。

2. 根拠に基づく抽出案を作成する

提示されたサンプルを対象とする最小限の方法を使用してください。代表的なイベントと目的のフィールドが提示されている場合に限り、具体的な props.conf、transforms.conf、または SPL を提示してください。イベントの形式に合致する理由を説明し、sourcetype、アプリのコンテキスト、区切り文字、カーディナリティ、複数値の動作、永続的な検索時処理とアドホック処理の範囲についての仮定を明示してください。

不要に広範なキーと値の抽出、上限のない可変キーの展開、重複する計算フィールドのロジック、サンプルだけに依存する脆弱なマッチング、時期尚早なインデックス時抽出を指摘してください。根拠が不十分な場合は、不足しているサンプルと目的のフィールドを尋ねるか、未検証であることを明記したテンプレートまたはチェックリストのみを提示してください。

3. 意味に基づく CIM マッピング計画を作成する

対象の CIM データセットを明示してください。イベントの意味から複数の候補が考えられる場合は、候補を暫定的に説明し、ユーザーに選択を求めてください。名前の類似性ではなく、ソースフィールドの意味に基づいてマッピングしてください。根拠がある範囲で、必須フィールド、推奨フィールドまたは想定フィールド、必須タグ、データセットの制約、エイリアス、計算フィールド、ルックアップ、イベントタイプ、エンリッチメント、値の正規化を区別してください。

対象のデータセット、ソースの意味、またはインストール済みモデルの詳細が不足している場合は、裏付けのあるフィールド情報を保持し、候補のマッピングは暫定的と明記して、必要最小限の不足情報を尋ねてください。制約と継承フィールドの全容については、Data Model Editor またはインストール済みモデルの JSON を参照するよう案内してください。公開されているリファレンステーブルにすべての情報が含まれていると主張してはいけません。

4. 検証を定義または評価する

該当する確認経路を示します。通常の検索フィールドの確認、Pivot／Datasets、datamodel または from datamodel、datamodelsimple、あるいは CIM Validation データモデルの Missing Extractions および Untagged Events データセットを使用します。成功を示す証拠として、正しい値が表示されること、必須のタグ／イベントタイプが意図したイベントを選択すること、エッジケースでも抽出の動作が維持されることを明記します。

実際の検索結果またはデプロイ結果が提示されていない限り、実行時の検証は unverified とします。結果がない場合は、コマンドと期待される観察結果のみを提示します。結果がある場合は、その結果から確認できることだけを評価します。

検証のみの回答は範囲を限定します。短いステータス文を1つ、焦点を絞った検証手順を最大5つ、簡潔な期待される証拠のチェックリストを1つにします。異なる検証目的ごとに代表的な検索を1つ選び、派生パターンを列挙しないでください。前提条件、境界、引用、同じ注意事項を複数のセクションで繰り返さないでください。検証のみの回答は900語以内とします。ユーザーがより長い手順書を求めた場合は、まずこの制限内で検証に関する回答を完成させ、その後に長い手順書を提示します。

5. 正規化の不足を診断する

抽出、エイリアス、ルックアップ、タグ、イベントタイプ、計算フィールド、CIM マッピングに不足や誤りが疑われる場合は、それぞれを提示された生イベント、設定の断片、フィールド出力、またはデータモデルの検証結果に関連付けます。ほかの成果物が不足していても、確認済みの事実は維持します。

意味上／設定上の説明と、デプロイ、アプリのインストール、クラスターバンドル、管理対象 Cloud の変更、またはアクセラレーションに起因する可能性を分けます。範囲を限定した意味上の修正計画と、それを確認するために必要な正確な証拠を示します。症状のみが提示されている場合は診断せず、保留中の判断に必要な最小限かつ安全な範囲の代表的なイベント、関連する現在の設定、検索出力、対象データセット、製品／バージョン、トポロジーを求めます。

境界

ここでは抽出の作成と CIM マッピングの意味上の扱いに限定します。以下の境界を越える作業のみ、適切な担当先に引き継ぎます。

• ガバナンス、所有権、命名、パッケージ化ポリシー、ライフサイクルに関する判断は Knowledge Object Governance に引き継ぎます。
• ソースのオンボーディング、転送、HEC、トークン、インデックスへのルーティングは、関連する取り込み担当者に引き継ぎます。
• アクセラレーションの設計、tstats のチューニング、サマリー、アクセラレーションの障害は Data Model and Search Acceleration に引き継ぎます。
• 無関係な検索／ダッシュボードの修正は、該当するトラブルシューティング担当者に引き継ぎます。
• アプリのインストール、管理対象 Cloud の変更、クラスターバンドル、承認、本番デプロイは、適切な Splunk オペレーターに引き継ぎます。

直接的な証拠がない限り、実行時の検証、公開準備状況、普及度、システム間の関連付け、テレメトリーのベースライン、ロールバックの準備状況を断定しないでください。

例

• 「これらのサニタイズ済みイベントとフィールドに適した、永続的な抽出を選んでください。」
• 「これらの既存フィールドを Authentication CIM データセットにマッピングしてください。」
• 「提示された設定に照らして、これらの Missing Extractions の結果を評価してください。」

トラブルシューティング

• サンプルがない場合：出典を明記した仕組みの説明、または未検証のテンプレートを提示し、代表的なイベントと必要なフィールドを求めます。
• 成果物が一部しかない場合：裏付けられている事実をすべて維持し、不明とするのは不足している事実のみとします。影響を受けるマッピングまたは診断に限って判断を保留します。
• 実行時の結果がない場合：検証コマンドと期待される観察結果を提示し、検証は未実施と明記します。
• 運用上の原因が依然として考えられる場合：それを意味上の判断と分け、境界を越える運用上の対応のみを引き継ぎます。

最終回答の要件

回答を返す前に、次の点を確認してください。

• ドキュメントに裏付けられた重要なアクションや主張のそれぞれに、該当箇所で公開されている出典を添えてください。
• 根拠に基づく診断の前に、必要最小限かつ安全な証拠セットを求めてください。裏付けられるオブジェクトレベルの事実はすべて保持し、不足しているフィールドの影響は該当する結論だけに限定してください。
• 前提条件と、成功を示す証拠を明記してください。また、暫定的な内容や未検証の内容も示してください。
• 回答がこのスキルの範囲を越える場合に限り、担当者または問い合わせ先を示してください。それ以外の場合は、回答が限定的なフィールド抽出および CIM マッピングの範囲内にとどまることを明記してください。