Konfigurieren von QRadar® für den Empfang von LEEF-Ereignissen von Check Point

Standardmäßig werden Check Point LEEF-Ereignisse dem traditionellen Ereigniszuordnungsschema OPSEC LEA zugeordnet. Wenn Sie die Art und Weise ändern möchten, wie IBM QRadar Ereignisse zuordnet, können Sie den DSM-Editor verwenden, um die traditionelle Ereigniszuordnung zu inaktivieren.

Vorgehensweise

  1. Klicken Sie auf die Registerkarte Verwaltung .
  2. Klicken Sie im Abschnitt Datenquellen auf DSM-Editor.
  3. Wählen Sie im Fenster Protokollquellentyp auswählen in der Liste Check Point aus und klicken Sie auf Auswählen.
  4. Legen Sie auf der Registerkarte Konfiguration DSM-Parameterkonfiguration anzeigen auf onfest.
  5. Wählen Sie in der Liste Ereigniskollektor den Ereigniskollektor für die Protokollquelle aus.
  6. Setzen Sie Traditionelle Ereigniszuordnung inaktivieren auf on.
  7. Aktivieren Sie SmartDefense -Signaturereignis-IDs auf on.
    Der Wert im Feld signature wird als Ereignis-ID für SmartDefenseverwendet. Standardmäßig verwenden Ereignisse für Check Point SmartDefense den Wert im Feld attack für das Parsing.
  8. Klicken Sie auf Speichern und schließen Sie den DSM-Editor.