Da Ihr Gerät Ereignisse an IBM
QRadarweiterleitet, kann es einige Zeit dauern, bis alle Ereignisse für eine Einheit kategorisiert sind, da einige Ereignisse möglicherweise nicht sofort von der Ereignisquellenappliance oder Software generiert werden.
Informationen zu dieser Task
Es ist hilfreich zu wissen, wie Sie schnell nach unbekannten Ereignissen suchen können. Wenn Sie wissen, wie Sie nach unbekannten Ereignissen suchen, sollten Sie diese Suche wiederholen, bis Sie sicher sind, dass Sie die meisten Ihrer Ereignisse identifizieren können.
Vorgehensweise
- Melden Sie sich an QRadar an.
- Klicken Sie auf die Registerkarte Protokollaktivität .
- Klicken Sie auf Filter hinzufügen.
- Wählen Sie in der ersten Liste Protokollquelleaus.
- Wählen Sie in der Liste Protokollquellengruppe die Protokollquellengruppe oder Andereaus.
Protokollquellen, die keiner Gruppe zugeordnet sind, werden als Sonstigekategorisiert.
- Wählen Sie in der Liste Protokollquelle Ihre Symantec DLP-Protokollquelle aus.
- Klicken Sie auf Filter hinzufügen.
Die Registerkarte Protokollaktivität wird mit einem Filter für Ihre Protokollquelle angezeigt.
- Wählen Sie in der Liste Anzeigen den Eintrag Letzte Stundeaus.
Alle Ereignisse, die vom Symantec DLP DSM in der letzten Stunde generiert wurden, werden angezeigt. Ereignisse, die als unbekannt in der Spalte Ereignisname oder Untergeordnete Kategorie angezeigt werden, erfordern eine Ereigniszuordnung in QRadar.
Anmerkung: Sie können Ihren vorhandenen Suchfilter speichern, indem Sie auf Kriterien speichernklicken.
Nächste Schritte
Sie können jetzt die Ereignismap ändern.