Ereignismap ändern

Das Ändern einer Ereignismap ermöglicht die manuelle Kategorisierung von Ereignissen in eine QID-Map ( IBM QRadar Identifier). Jedes Ereignis, das einer Protokollquelle zugeordnet ist, kann einer neuen QRadar -ID (QID) zugeordnet werden.

Informationen zu dieser Task

IBM® Guardium®-Ereignisse, die keine definierte Protokollquelle haben, werden nicht auf ein Ereignis abgebildet. Ereignisse ohne Protokollquelle zeigen SIM Generic Log in der Spalte Protokollquelle an.

1. Doppelklicken Sie in der Spalte Ereignisnameauf ein unbekanntes Ereignis für IBM Guardium.

   Die detaillierten Ereignisinformationen werden angezeigt.

2. Klicken Sie auf Ereignis zuordnen.
3. Wählen Sie im Teilfenster QID suchen eine der folgenden Suchoptionen aus, um die Ereigniskategorien für eine QRadar -ID (QID) einzugrenzen:

   • Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorisierung aus.

   • Eine vollständige Liste der übergeordneten und untergeordneten Ereigniskategorien oder Kategoriedefinitionen finden Sie im Abschnitt "Ereigniskategorien" in IBM QRadar Administration Guide.

   • Wählen Sie in der Liste Low-Level-Kategorie eine Low-Level-Ereigniskategorisierung aus.

   • Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.

   In der Liste Protokollquellentyp können Sie nach QIDs aus anderen Protokollquellen suchen. Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn Ereignisse einer anderen vorhandenen Netzeinheit ähneln. Wenn beispielsweise IBM Guardium Richtlinienereignisse bereitstellt, können Sie ein anderes Produkt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.

4. Um eine QID nach Name zu suchen, geben Sie einen Namen in das Feld QID/Name ein.

   Das Feld QID/Name bietet die Möglichkeit, die vollständige Liste der QIDs für ein bestimmtes Wort, z. B. eine Richtlinie, zu filtern.

5. Klicken Sie auf Suchen.

   Eine Liste mit QIDs wird angezeigt.

6. Wählen Sie die QID aus, die Sie Ihrem unbekannten Ereignis zuordnen wollen.
7. Klicken Sie auf OK.

   QRadar ordnet alle zusätzlichen Ereignisse, die von Ihrem Gerät weitergeleitet werden, derselben QID zu, die den Ereignisnutzdaten entspricht. Die Ereignisanzahl erhöht sich jedes Mal, wenn das Ereignis durch QRadaridentifiziert wird.

   Wenn Sie ein Ereignis mit einer neuen QID-Zuordnung ( QRadar Identifier) aktualisieren, werden vergangene Ereignisse, die in QRadar gespeichert sind, nicht aktualisiert. Nur neue Ereignisse werden mit der neuen QID kategorisiert.