Universal CEF-Ereignisse enthalten keine vordefinierte QRadar
Identifier -Zuordnung (QID) zum Kategorisieren von Sicherheitsereignissen. Sie müssen nach unbekannten Ereignissen aus der Universal CEF-Protokollquelle suchen und sie Kategorien der oberen und unteren Ebene zuordnen.
Vorbereitende Schritte
Stellen Sie sicher, dass Sie das Universal CEF DSM installiert und die Protokollquelle dafür in QRadarhinzugefügt haben.
Informationen zu dieser Task
Standardmäßig kategorisiert das Universal CEF DSM alle Ereignisse als unbekannt. Alle Universal CEF-Ereignisse zeigen den Wert unknown in den Spalten Ereignisname und Untergeordnete Kategorie auf der Registerkarte Protokollaktivität an. Sie müssen die QID-Zuordnung ändern, um jedes Ereignis für Ihr Gerät einzeln einer Ereigniskategorie in QRadarzuzuordnen. Mithilfe von Zuordnungsereignissen kann QRadar Ereignisse von Ihren Netzeinheiten identifizieren, verbinden und verfolgen.
Weitere Informationen zur Ereigniszuordnung finden Sie im IBM
QRadar User Guide.
Vorgehensweise
- Melden Sie sich bei QRadaran.
- Klicken Sie auf die Registerkarte Protokollaktivität .
- Klicken Sie auf Filter hinzufügen.
- Wählen Sie in der ersten Liste Protokollquelleaus.
- Wählen Sie in der Liste Protokollquellengruppe die Option Andereaus.
- Wählen Sie in der Liste Protokollquelle Ihre Universal-CEF-Protokollquelle aus.
- Klicken Sie auf Filter hinzufügen.
- Wählen Sie in der Liste Anzeigen den Eintrag Letzte Stundeaus.
- Optional: Klicken Sie auf Kriterien speichern , um den vorhandenen Suchfilter zu speichern.
- Doppelklicken Sie in der Spalte Ereignisname auf ein unbekanntes Ereignis für Ihr Universal CEF DSM.
- Klicken Sie auf Ereignis zuordnen.
- Wählen Sie im Teilfenster 'Nach QID suchen' eine der folgenden Suchoptionen aus, um die Ereigniskategorien für eine QRadar
Identifier (QID) einzugrenzen:
- Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorie aus. Eine vollständige Liste der übergeordneten und untergeordneten Ereigniskategorien oder Kategoriedefinitionen finden Sie im Abschnitt "Ereigniskategorien" in IBM
QRadar Administration Guide.
- Wählen Sie in der Liste Low-Level-Kategorie eine Low-Level-Ereigniskategorie aus.
- Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.
Tipp: Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn die Ereignisse aus Ihrem Universal CEF DSM einer anderen vorhandenen Netzeinheit ähneln. Wenn Ihr Universal CEF beispielsweise Firewallereignisse bereitstellt, können Sie Cisco ASA als weiteres Firewallprodukt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.
- Um eine QID nach Name zu suchen, geben Sie einen Namen in das Feld QID/Name ein.
- Klicken Sie auf Suchen.
- Wählen Sie die QID aus, die Sie Ihrem unbekannten Universal CEF DSM-Ereignis zuordnen wollen und klicken Sie auf OK.