説明
ユーザー名、電子メール アドレス、電話番号、ロールなどのアイデンティティに関する詳細情報は、Splunk Enterprise Security のアイデンティティ ルックアップ CSV ファイルに保存されます。ID ルックアップ CSV ファイルは、Active Directory、LDAP、カスタム ID リストなどのさまざまなデータ ソースから収集および抽出された ID データを含むルックアップ ファイルです。ID ルックアップ CSV ファイルは、ID 情報でイベントを強化し、ID 相関検索に基づいて注目すべきイベントを生成するために使用されます。Splunk Enterprise Security の [資産とアイデンティティ管理] ページを使用して、アイデンティティ ルックアップ CSV ファイルを表示および管理できます。
参考文献
Splunk Enterprise Security で資産と ID を管理する
ID ルックアップ CSV ファイル

説明/参照: https://docs.splunk.com/Documentation/ES/6.1.0/Install/InstallTechnologyAdd-ons

説明
「脅威インテリジェンス フレームワークは、インテリジェンス ファイルとデータのダウンロードに通常必要な設定の大部分を処理するモジュール式入力 (脅威インテリジェンス ダウンロード) を提供します。このモジュール式入力にアクセスするには、Inputs.conf ファイル内に " という名前のスタンザを作成するだけです。脅威リスト」。

説明
ユーザー名が ID リストの「ID」列と一致しない場合、Splunk Enterprise Security は
次は「メール」列です。「電子メール」列には、ID に関連付けられた電子メール アドレスが含まれます。電子メールアドレスがユーザー名と一致する場合、Splunk Enterprise Security はユーザーに ID を割り当てます。電子メールアドレスが一致しない場合、Splunk Enterprise Security は次に「nickname」列をチェックし、次に「ip」列、最後に「last_name」列と「first_name」列をチェックします。列の順序は、identity_manager.conf ファイルのidentity_match設定によって決まります。参照 = ID 相関identity_manager.conf

参照：
https://docs.splunk.com/Documentation/ES/6.1.0/User/Howurgencyisassigned