Creación de correlación de sucesos para sucesos DLP de Symant

La correlación de sucesos es necesaria para un número de sucesos DLP de Symantec. Debido a la naturaleza personalizable de las reglas de política, la mayoría de los sucesos, excepto los sucesos de política predeterminados, no contienen una correlación predefinida de QRadar Identifier (QID) para categorizar los sucesos de seguridad.

Puede correlacionar individualmente cada suceso para el dispositivo con una categoría de suceso en QRadar. La correlación de sucesos permite a QRadar identificar, fusionar y realizar un seguimiento de los sucesos que se repitan desde los dispositivos de red. Hasta que correlacione un suceso, todos los sucesos que se muestran en la pestaña Actividad de registro para Symantec DLP se clasifican como desconocidos. Los sucesos desconocidos se identifican fácilmente como la columna Nombre de suceso y las columnas Categoría de nivel bajo muestran Desconocido.