Creación de una correlación de sucesos para sucesos de IBM Guardium
La correlación de sucesos es necesaria para algunos sucesos de IBM® Guardium ®. Debido a la naturaleza personalizable de las reglas de política, la mayoría de los sucesos, excepto los sucesos de política predeterminados, no contienen una correlación predefinida de IBM QRadar Identifier (QID) para categorizar los sucesos de seguridad.
Acerca de esta tarea
Puede correlacionar individualmente cada suceso para el dispositivo con una categoría de suceso en QRadar. La correlación de sucesos permite a QRadar identificar, fusionar y realizar un seguimiento de los sucesos recurrentes desde los dispositivos de red. Hasta que correlacione un suceso, todos los sucesos que se muestran en la pestaña Actividad de registro para IBM Guardium se clasifican como desconocidos. Los sucesos desconocidos se identifican fácilmente como la columna Nombre de suceso y las columnas Categoría de nivel bajo muestran Desconocido.
A medida que el dispositivo reenvía sucesos a QRadar, puede tardar tiempo en categorizar todos los sucesos de un dispositivo. Es posible que el dispositivo de origen de sucesos o el software no generen algunos sucesos inmediatamente. Es útil saber cómo buscar rápidamente sucesos desconocidos. Cuando sepa cómo buscar eventos desconocidos, le sugerimos que repita esta búsqueda hasta que esté satisfecho de que la mayoría de sus eventos están identificados.