Ereignismap ändern

Durch das Ändern einer Ereignismap können Sie Ereignisse manuell in eine QID-Map ( IBM QRadar Identifier) kategorisieren.

Informationen zu dieser Task

Jedes Ereignis, das einer Protokollquelle zugeordnet ist, kann einer neuen QRadar -ID (QID) zugeordnet werden. Standardmäßig kategorisiert das Universal LEEF DSM alle Ereignisse als unbekannt.

Hinweis: Ereignisse ohne definierte Protokollquelle können keinem Ereignis zugeordnet werden. Ereignisse ohne Protokollquelle zeigen das generische SIM-Protokoll in der Spalte Protokollquelle an.

Vorgehensweise

  1. Doppelklicken Sie in der Spalte "Ereignisname" auf ein unbekanntes Ereignis für Ihr Universal LEEF DSM.

    Die detaillierten Ereignisinformationen werden angezeigt.

  2. Klicken Sie auf Ereignis zuordnen.
  3. Wählen Sie im Teilfenster 'QID suchen' eine der folgenden Suchoptionen aus, um die Ereigniskategorien für eine QRadar -ID (QID) einzugrenzen:
    1. Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorisierung aus.

      Eine vollständige Liste der übergeordneten und untergeordneten Ereigniskategorien oder Kategoriedefinitionen finden Sie im Abschnitt "Ereigniskategorien" in IBM QRadar Administration Guide.

  4. Wählen Sie in der Liste Low-Level-Kategorie eine Low-Level-Ereigniskategorisierung aus.
  5. Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.

    In der Liste Protokollquellentyp können Sie nach QIDs aus anderen einzelnen Protokollquellen suchen. Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn die Ereignisse aus Ihrem Universal LEEF DSM einer anderen vorhandenen Netzeinheit ähneln. Wenn Ihr Universal LEEF DSM beispielsweise Firewallereignisse bereitstellt, können Sie Cisco ASA als ein anderes Firewallprodukt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.

  6. Um eine QID nach Name zu suchen, geben Sie einen Namen in das Feld QID/Name ein.

    Im Feld "QID/Name" können Sie die vollständige Liste der QIDs für ein bestimmtes Wort filtern, z. B. MySQL.

  7. Klicken Sie auf Suchen.

    Eine Liste mit QIDs wird angezeigt.

  8. Wählen Sie die QID aus, die Sie Ihrem unbekannten Universal LEEF DSM-Ereignis zuordnen möchten.
  9. Klicken Sie auf OK.

    QRadar ordnet alle zusätzlichen Ereignisse, die von Ihrem Gerät weitergeleitet werden, derselben QID zu, die den Ereignisnutzdaten entspricht. Die Ereignisanzahl erhöht sich jedes Mal, wenn das Ereignis durch QRadaridentifiziert wird.

    Hinweis Wenn Sie ein Ereignis mit einer neuen QID-Zuordnung ( QRadar Identifier) aktualisieren, werden vergangene Ereignisse, die in QRadar gespeichert sind, nicht aktualisiert. Nur neue Ereignisse werden mit der neuen QID kategorisiert.