Modificación de la correlación de sucesos

Modifique una correlación de sucesos para categorizar manualmente los sucesos en una correlación QRadar Identifier (QID).

Acerca de esta tarea

Cualquier suceso categorizado en un origen de registro se puede volver a correlacionar con un nuevo QRadar Identifier (QID).

Nota: los sucesos que no tienen un origen de registro definido no se pueden correlacionar con un suceso. Sucesos sin una visualización de origen de registroSIM Generic Logen la columna Origen de registro .

Procedimiento

  1. En la columna Nombre de suceso , efectúe una doble pulsación en un suceso desconocido para la pasarela web McAfee .

    Se visualiza la información detallada del suceso.

  2. Pulse Correlacionar suceso.
  3. En el panel Examinar QRadar Identifier , seleccione cualquiera de las siguientes opciones de búsqueda para acotar las categorías de sucesos para un QRadar Identifier (QID):

    • En la lista Categoría de alto nivel , seleccione una categorización de sucesos de alto nivel.

    • En la lista Categoría de nivel bajo , seleccione una categorización de sucesos de nivel bajo.

    • En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.

    La lista Tipo de origen de registro proporciona la opción de buscar QID de otros orígenes de registro. La búsqueda de QID por origen de registro es útil cuando los sucesos son similares a otro dispositivo de red existente. Por ejemplo, la Pasarela web McAfee proporciona sucesos de política, puede seleccionar otro producto que probablemente capture sucesos similares.

    Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .

    El campo QID/Nombre proporciona la opción de filtrar la lista completa de QID para una palabra específica, por ejemplo, política.

  4. Haga clic en Buscar.

    Se visualiza una lista de QID.

  5. Seleccione el QID que desea asociar al suceso desconocido.
  6. Pulse Aceptar.

    QRadar correlaciona los sucesos adicionales que se reenvían desde el dispositivo con el mismo QID que coincide con la carga útil del suceso. El recuento de sucesos aumenta cada vez que QRadaridentifica el suceso.

    Si actualiza un suceso con una correlación QRadar Identifier (QID) nueva, los sucesos pasados almacenados en QRadar no se actualizan. Sólo los sucesos nuevos se categorizan con el nuevo QID.