Rule: unknown with checkpoint log in Contributing Events – Incident Review – Enterprise Security APP
![1617268527807.png 1617268527807.png](https://cdn.securityzone.vn/2021/04/2317_1f1b1378adadd64f4e487234558398ab.png)
Cách xử lý:
Chọn dấu > để mở rộng event tìm thêm thông tin
Ở đây chúng ta có thể nhận thấy. Tại field rule được Checkpoint định nghĩa là số và tên rule thì được định nghĩa tại rule_name.
![1617268537946.png 1617268537946.png](https://cdn.securityzone.vn/2021/04/2318_cdfd97b6af512469423c90b14bdff11c.png)
Tiếp theo, check lại field rule trong data model
![1617268550919.png 1617268550919.png](https://cdn.securityzone.vn/2021/04/2319_b3d08ddad237ac5f6c3cec4c074b36c0.png)
Có thể nhận thấy, mặc định splunk chỉ define field rule không có rule_name. vì thế, khác với define với format log của Checkpoint
Đã tìm ra nguyên nhân, việc tiếp theo có thể giải quyết theo 2 cách:
- Thêm eval expression filelds vào dataset trong data model như sau
![1617268582687.png 1617268582687.png](https://cdn.securityzone.vn/2021/04/2322_545b2f255626188748233e47e26b7f70.png)
- Edit lại field rule với ý tưởng ưu tiên chọn field rule_name nếu không có tồn tại thì lấy giá trị của field rule
![1617268574399.png 1617268574399.png](https://cdn.securityzone.vn/2021/04/2321_06cae5aa74523986aabc1eee74e5b3fb.png)
Tiếp theo save lại và kiểm tra (mất từ 1 – 2 phút để apply)
![1617268569572.png 1617268569572.png](https://cdn.securityzone.vn/2021/04/2320_0590a1b70f42e3678e246aa9c9ad18d9.png)
Ngoài ra, một số log của FW khác, file rule và rule_nam trên splunk đã đồng nhất nên không cần bị trường hợp như v
![1617269981154.png 1617269981154.png](https://cdn.securityzone.vn/2021/04/2324_bd57623ce9111d0aabd2d23accc0cca2.png)
Kết quả thành công, chúc các bạn thành công.
Last edited: