Typen von Referenzdatensammlungen
IBM QRadar verfügt über verschiedene Typen von Referenzdatensammlungen, die verschiedene Ebenen der Datenkomplexität verarbeiten können. Die gängigsten Typen sind Referenzsets und Referenzzuordnungen.
Wenn Sie dieselben Referenzdaten in QRadar SIEM und QRadar Risk Managerverwenden möchten, verwenden Sie ein Referenzset. Sie können keine anderen Typen von Referenzdatensammlungen mit QRadar Risk Managerverwenden.
| Typ der Datensammlung | Beschreibung | Verwendung | Beispiele |
|---|---|---|---|
| Referenzset | Eine Sammlung eindeutiger Werte. | Verwenden Sie ein Referenzset, um einen Eigenschaftswert mit einer Liste, z. B. aus IP-Adressen oder Benutzernamen, abzugleichen. | Erstellen Sie mit dem Parameter LoginID ein Referenzset, um zu prüfen, ob eine Anmelde-ID, die für die Anmeldung bei QRadar verwendet wurde, einem Benutzer zugewiesen wurde. |
| Referenzzuordnung | Eine Sammlung von Daten, die einem Wert einen eindeutigen Schlüssel zuordnen. | Verwenden Sie eine Referenzzuordnung, um eine eindeutige Kombination von zwei Eigenschaftswerten zu überprüfen. | Zum Korrelieren der Benutzeraktivität in Ihrem Netzwerk erstellen Sie eine Referenzzuordnung, die den Parameter LoginID als Schlüssel und den Wert Username verwendet. |
| Referenzzuordnung von Gruppen | Eine Sammlung von Daten, die mehreren Werten einen Schlüssel zuordnen. Jeder Schlüssel ist eindeutig und wird einem einzigen Referenzset zugeordnet. | Verwenden Sie eine Referenzzuordnung von Sets, um eine Kombination von zwei Eigenschaftswerten im Abgleich mit einer Liste zu überprüfen. | Um den berechtigten Zugriff auf ein Patent zu testen, erstellen Sie eine Zuordnung von Gruppen, die eine benutzerdefinierte Ereigniseigenschaft für Patent ID als Schlüssel und den Parameter Username als Wert verwendet. Mit dieser Zuordnung von Sets können Sie eine Liste mit autorisierten Benutzern füllen. |
| Referenzzuordnung von Zuordnungen | Eine eine Sammlung von Daten, die einen Schlüssel einem anderen Schlüssel zuordnen, der dann einem einzelnen Wert zugeordnet wird. Jeder Schlüssel ist eindeutig und wird einer einzigen Referenzzuordnung zugeordnet. | Verwenden Sie eine Referenzzuordnung von Zuordnungen, um eine Kombination von drei Eigenschaftswerten zu überprüfen. | Erstellen Sie zum Testen von Verstößen gegen die Netzbandbreite eine Map mit Maps, die den Parameter Source IP als ersten Schlüssel, den Parameter Application als zweiten Schlüssel und den Parameter Total Bytes als Wert verwenden. |
| Referenztabelle | Eine eine Sammlung von Daten, die einen Schlüssel einem anderen Schlüssel zuordnen, der dann einem einzelnen Wert zugeordnet wird. Dem zweiten Schlüssel wird ein Datentyp zugeordnet. |
Verwenden Sie eine Referenztabelle, um eine Kombination von drei Eigenschaftswerten zu überprüfen, wenn eine der Eigenschaften ein bestimmter Datentyp ist. | Erstellen Sie eine Referenztabelle, die Username als ersten Schlüssel, Source IP als zweiten Schlüssel mit einem zugeordneten cidr-Datentyp und Source Port als Wert speichert. |