Ereignismap ändern

Ändern Sie eine Ereignismap, um Ereignisse manuell in eine QRadar Identifier -Map (QID) zu kategorisieren.

Informationen zu dieser Task

Jedes Ereignis, das einer Protokollquelle zugeordnet ist, kann einer neuen QRadar Identifier (QID) zugeordnet werden.

Hinweis: Ereignisse ohne definierte Protokollquelle können keinem Ereignis zugeordnet werden. Ereignisse ohne ProtokollquellenanzeigeSIM Generic Login der Spalte Protokollquelle .

Vorgehensweise

  1. Doppelklicken Sie in der Spalte Ereignisname auf ein unbekanntes Ereignis für McAfee Web Gateway.

    Die detaillierten Ereignisinformationen werden angezeigt.

  2. Klicken Sie auf Ereignis zuordnen.
  3. Wählen Sie im Teilfenster 'Durchsuchen nach' QRadar Identifier eine der folgenden Suchoptionen zum Eingrenzen der Ereigniskategorien für eine QRadar Identifier (QID) aus:

    • Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorisierung aus.

    • Wählen Sie in der Liste Low-Level-Kategorie eine Low-Level-Ereigniskategorisierung aus.

    • Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.

    In der Liste Protokollquellentyp können Sie nach QIDs aus anderen Protokollquellen suchen. Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn Ereignisse einer anderen vorhandenen Netzeinheit ähneln. Beispiel: McAfee Web Gateway stellt Richtlinienereignisse bereit. Sie können ein anderes Produkt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.

    Um eine QID nach Name zu suchen, geben Sie einen Namen in das Feld QID/Name ein.

    Das Feld QID/Name bietet die Möglichkeit, die vollständige Liste der QIDs für ein bestimmtes Wort, z. B. eine Richtlinie, zu filtern.

  4. Klicken Sie auf Suchen.

    Eine Liste mit QIDs wird angezeigt.

  5. Wählen Sie die QID aus, die Sie Ihrem unbekannten Ereignis zuordnen möchten.
  6. Klicken Sie auf OK.

    QRadar ordnet alle zusätzlichen Ereignisse, die von Ihrem Gerät weitergeleitet werden, derselben QID zu, die den Ereignisnutzdaten entspricht. Die Ereignisanzahl erhöht sich jedes Mal, wenn das Ereignis durch QRadaridentifiziert wird.

    Wenn Sie ein Ereignis mit einer neuen QID-Zuordnung ( QRadar Identifier ) aktualisieren, werden vergangene Ereignisse, die in QRadar gespeichert sind, nicht aktualisiert. Nur neue Ereignisse werden mit der neuen QID kategorisiert.