Ereignismap für IBM Guardium-Ereignisse erstellen

Die Ereigniszuordnung ist für einige IBM® Guardium ® -Ereignisse erforderlich. Aufgrund der anpassbaren Spezifik von Richtlinienregeln enthalten die meisten Ereignisse mit Ausnahme der Standardrichtlinienereignisse keine vordefinierte QID-Zuordnung ( IBM QRadar Identifier) zum Kategorisieren von Sicherheitsereignissen.

Informationen zu dieser Task

Sie können jedes Ereignis für Ihr Gerät einzeln einer Ereigniskategorie in QRadarzuordnen. Mithilfe von Zuordnungsereignissen kann QRadar wiederkehrende Ereignisse von Ihren Netzeinheiten identifizieren, verbinden und verfolgen. Bis Sie ein Ereignis zuordnen, werden alle Ereignisse, die auf der Registerkarte Protokollaktivität für IBM Guardium angezeigt werden, als unbekannt kategorisiert. Unbekannte Ereignisse werden leicht identifiziert, da in der Spalte Ereignisname und in den Spalten Untergeordnete Kategorie 'Unbekannt' angezeigt wird.

Wenn Ihr Gerät Ereignisse an QRadarweiterleitet, kann es einige Zeit dauern, bis alle Ereignisse für ein Gerät kategorisiert sind. Einige Ereignisse werden möglicherweise nicht sofort von der Ereignisquellenappliance oder Software generiert. Es ist hilfreich zu wissen, wie man schnell nach unbekannten Ereignissen suchen. Wenn Sie wissen, wie Sie nach unbekannten Ereignissen suchen, empfehlen wir Ihnen, diese Suche zu wiederholen, bis Sie zufrieden sind, dass die meisten Ihrer Ereignisse identifiziert wurden.

Vorgehensweise

  1. Melden Sie sich an QRadar an.
  2. Klicken Sie auf die Registerkarte Protokollaktivität .
  3. Klicken Sie auf Filter hinzufügen.
  4. Wählen Sie in der ersten Liste Protokollquelleaus.
  5. Wählen Sie in der Liste Protokollquellengruppe die Protokollquellengruppe oder Andereaus.

    Protokollquellen, die keiner Gruppe zugeordnet sind, werden als Sonstige kategorisiert.

  6. Wählen Sie in der Liste Protokollquelle Ihre IBM Guardium-Protokollquelle aus.
  7. Klicken Sie auf Filter hinzufügen.

    Die Registerkarte Protokollaktivität wird mit einem Filter für Ihre Protokollquelle angezeigt.

  8. Wählen Sie in der Liste Anzeigen den Eintrag Letzte Stundeaus.

    Alle Ereignisse, die vom IBM Guardium-DSM in der letzten Stunde generiert wurden, werden angezeigt. Ereignisse, die in der Spalte Ereignisname oder Untergeordnete Kategorie als unbekannt angezeigt werden, erfordern eine Ereigniszuordnung in QRadar.

    Anmerkung: Sie können Ihren vorhandenen Suchfilter speichern, indem Sie auf Kriterien speichernklicken.

    Sie können nun die Ereignismap ändern.