Ereignismap ändern

Das Ändern einer Ereignismap bietet Ihnen die Möglichkeit, Ereignisse manuell in eine QID-Map ( QRadar Identifier ) zu kategorisieren.

Informationen zu dieser Task

Jedes Ereignis, das einer Protokollquelle zugeordnet ist, kann einer neuen QRadar Identifier (QID) zugeordnet werden.

Anmerkung: Ereignisse ohne definierte Protokollquelle können keinem Ereignis zugeordnet werden. Ereignisse ohne Protokollquelle zeigen SIM Generic Log in der Spalte Protokollquelle an.

Vorgehensweise

  1. Doppelklicken Sie in der Spalte Ereignisname auf ein Ereignis Unbekannt für Symantec DLP.

    Die detaillierten Ereignisinformationen werden angezeigt.

  2. Klicken Sie auf Map-Ereignis.
  3. Wählen Sie im Teilfenster QID suchen eine der folgenden Suchoptionen aus, um die Ereigniskategorien für eine IBM QRadar -ID (QID) einzugrenzen:
    1. Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorisierung aus.

      Eine vollständige Liste der übergeordneten und untergeordneten Ereigniskategorien oder Kategoriedefinitionen finden Sie im Abschnitt "Ereigniskategorien" in IBM QRadar Administration Guide.

  4. Wählen Sie in der Liste Untergeordnete Kategorie eine untergeordnete Ereigniskategorisierung aus.
  5. Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.

    Die Liste Protokollquellentyp bietet Ihnen die Möglichkeit, nach QIDs aus anderen Protokollquellen zu suchen. Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn Ereignisse einer anderen vorhandenen Netzeinheit ähneln. Beispiel: Symantec stellt Richtlinien-und Datenverlustschutzereignisse bereit. Sie können ein anderes Produkt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.

  6. Um eine QID anhand des Namens zu suchen, geben Sie einen Namen in das Feld QID/Name ein.

    Das Feld QID/Name bietet Ihnen die Möglichkeit, die vollständige Liste der QIDs für ein bestimmtes Wort, z. B. Richtlinie, zu filtern.

  7. Klicken Sie auf Suche.

    Eine Liste mit QIDs wird angezeigt.

  8. Wählen Sie die QID aus, die Sie Ihrem unbekannten Ereignis zuordnen wollen.
  9. Klicken Sie auf OK.

    Ordnet alle zusätzlichen Ereignisse, die von Ihrem Gerät weitergeleitet werden, derselben QID zu, die den Ereignisnutzdaten entspricht. Die Ereignisanzahl erhöht sich jedes Mal, wenn das Ereignis durch QRadaridentifiziert wird.

    Wenn Sie ein Ereignis mit einer neuen QID-Zuordnung ( QRadar Identifier ) aktualisieren, werden vergangene Ereignisse, die in QRadar gespeichert sind, nicht aktualisiert. Nur neue Ereignisse werden mit der neuen QID kategorisiert.