Modificación de la correlación de sucesos

La modificación de una correlación de sucesos permite la categorización manual de sucesos en una correlación de IBM QRadar Identifier (QID). Cualquier suceso categorizado en un origen de registro se puede volver a correlacionar con un nuevo identificador de QRadar (QID).

Acerca de esta tarea

IBM® Los eventos del mapa de eventos de Guardium® que no tienen un origen de registro definido no se asignan a un evento. Los sucesos sin un origen de registro muestran Registro genérico SIM en la columna Origen de registro .

1. En la columna Nombre de suceso, efectúe una doble pulsación en un suceso desconocido para IBM Guardium.

   Se visualiza la información detallada del suceso.

2. Pulse Correlacionar suceso.
3. En el panel Buscar QID , seleccione cualquiera de las siguientes opciones de búsqueda para acotar las categorías de sucesos para un QRadar Identificador (QID):

   • En la lista Categoría de alto nivel , seleccione una categorización de sucesos de alto nivel.

   • Para obtener una lista completa de categorías de sucesos de alto y bajo nivel o definiciones de categorías, consulte la sección Categorías de sucesos de IBM QRadar Administration Guide.

   • En la lista Categoría de nivel bajo , seleccione una categorización de sucesos de nivel bajo.

   • En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.

   La lista Tipo de origen de registro proporciona la opción de buscar QID de otros orígenes de registro. La búsqueda de QID por origen de registro es útil cuando los sucesos son similares a otro dispositivo de red existente. Por ejemplo, IBM Guardium proporciona sucesos de política, puede seleccionar otro producto que probablemente capture sucesos similares.

4. Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .

   El campo QID/Nombre proporciona la opción de filtrar la lista completa de QID para una palabra específica, por ejemplo, política.

5. Haga clic en Buscar.

   Se visualiza una lista de QID.

6. Seleccione el QID que desea asociar al suceso desconocido.
7. Pulse Aceptar.

   QRadar correlaciona los sucesos adicionales que se reenvían desde el dispositivo con el mismo QID que coincide con la carga útil del suceso. El recuento de sucesos aumenta cada vez que QRadaridentifica el suceso.

   Si actualiza un suceso con una nueva correlación de QRadar Identifier (QID), los sucesos pasados almacenados en QRadar no se actualizarán. Sólo los sucesos nuevos se categorizan con el nuevo QID.