Configuración de QRadar® para recibir eventos LEEF de Check Point

De forma predeterminada, los sucesos LEEF de Check Point se correlacionan con el esquema de correlación de sucesos LEA de OPSEC heredado. Si desea cambiar la forma en que IBM QRadar correlaciona sucesos, puede utilizar el Editor de DSM para inhabilitar la correlación de sucesos heredados.

Procedimiento

  1. Pulse la pestaña Admin .
  2. En la sección Orígenes de datos , pulse Editor de DSM.
  3. En la ventana Seleccionar tipo de origen de registro , seleccione Punto de comprobación en la lista y pulse Seleccionar.
  4. En la pestaña Configuración , establezca Visualizar configuración de parámetros de DSM en on.
  5. En la lista Recopilador de sucesos , seleccione el recopilador de sucesos para el origen de registro.
  6. Establezca Inhabilitar correlación de sucesos heredados en en.
  7. Establezca Enable SmartDefense Signature Event IDs en on.
    El valor del campo firma se utiliza como ID de suceso para SmartDefense. De forma predeterminada, los sucesos de Check Point SmartDefense utilizan el valor del campo attack para el análisis.
  8. Pulse Guardar y cierre el Editor de DSM.