Ereignismap für Akamai Kona ändern

Sie können Ereignisse manuell einer externen Einheit im QID-Zuordnungstool (QID = IBM QRadar Identifier) zuordnen. Jedes Ereignis, das einer Protokollquelle zugeordnet ist, kann einer neuen QRadar -ID (QID) zugeordnet werden.

Informationen zu dieser Task

Akamai Kona-Ereignisse, für die keine Protokollquelle definiert ist, können nicht über ein zugeordnetes Ereignis einer QID-Zuordnung ( QRadar Identifier) zugeordnet werden. Ereignisse ohne Protokollquelle werden als SIM Generic Log in der Spalte Protokollquelle angezeigt.

1. Doppelklicken Sie in der Spalte Ereignisname auf ein unbekanntes Ereignis für Akamai Kona.

   Die detaillierten Ereignisinformationen werden angezeigt.

2. Klicken Sie auf Map-Ereignis.
3. Wählen Sie im Teilfenster QID suchen eine der folgenden Suchoptionen aus, um die Ereigniskategorien für eine QRadar -ID (QID) einzugrenzen:

   • Wählen Sie in der Liste Übergeordnete Kategorie eine übergeordnete Ereigniskategorisierung aus.

   • Eine vollständige Liste der übergeordneten und untergeordneten Ereigniskategorien oder Kategoriedefinitionen finden Sie im Abschnitt "Ereigniskategorien" in IBM QRadar Administration Guide.

   • Wählen Sie in der Liste Untergeordnete Kategorie eine untergeordnete Ereigniskategorisierung aus.

   • Wählen Sie in der Liste Protokollquellentyp einen Protokollquellentyp aus.

   Die Liste Protokollquellentyp bietet die Möglichkeit, nach QIDs aus anderen Protokollquellen zu suchen. Die Suche nach QIDs nach Protokollquelle ist nützlich, wenn Ereignisse einer anderen vorhandenen Netzeinheit ähneln. Beispielsweise stellt Akamai Kona alle Ereignisse bereit. Sie können ein anderes Produkt auswählen, das wahrscheinlich ähnliche Ereignisse erfasst.

4. Um eine QID anhand des Namens zu suchen, geben Sie einen Namen in das Feld QID/Name ein.

   Das Feld QID/Name bietet die Option, die vollständige Liste der QIDs für ein bestimmtes Wort, z. B. eine Richtlinie, zu filtern.

5. Klicken Sie auf Suche.

   Eine Liste mit QIDs wird angezeigt.

6. Wählen Sie die QID aus, die Sie Ihrem unbekannten Ereignis zuordnen möchten.
7. Klicken Sie auf OK.

   QRadar ordnet alle zusätzlichen Ereignisse, die von Ihrem Gerät weitergeleitet werden, derselben QID zu, die den Ereignisnutzdaten entspricht. Die Ereignisanzahl erhöht sich jedes Mal, wenn das Ereignis durch QRadaridentifiziert wird.

   Wenn Sie ein Ereignis mit einer neuen QID-Zuordnung ( QRadar Identifier) aktualisieren, werden vergangene Ereignisse, die in QRadar gespeichert sind, nicht aktualisiert. Nur neue Ereignisse werden mit der neuen QID kategorisiert.