Modificación de la correlación de sucesos

La modificación de una correlación de sucesos le ofrece la opción de categorizar manualmente los sucesos en una correlación QRadar Identifier (QID).

Acerca de esta tarea

Cualquier suceso categorizado en un origen de registro se puede volver a correlacionar con un nuevo QRadar Identifier (QID).

Nota: Los sucesos que no tienen un origen de registro definido no se pueden correlacionar con un suceso. Los sucesos sin un origen de registro muestran el registro genérico SIM en la columna Origen de registro .

Procedimiento

  1. En la columna Nombre de suceso , efectúe una doble pulsación en un suceso desconocido para Symantec DLP.

    Se visualiza la información detallada del suceso.

  2. Pulse Suceso de correlación.
  3. En el panel Buscar QID , seleccione cualquiera de las siguientes opciones de búsqueda para acotar las categorías de sucesos para un IBM QRadar Identificador (QID):
    1. En la lista Categoría de alto nivel , seleccione una categorización de sucesos de alto nivel.

      Para obtener una lista completa de categorías de sucesos de alto y bajo nivel o definiciones de categorías, consulte la sección Categorías de sucesos de IBM QRadar Administration Guide.

  4. En la lista Categoría de bajo nivel , seleccione una categorización de sucesos de bajo nivel.
  5. En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.

    La lista Tipo de origen de registro le ofrece la opción de buscar QID de otros orígenes de registro. La búsqueda de QID por origen de registro es útil cuando los sucesos son similares a otro dispositivo de red existente. Por ejemplo, Symantec proporciona sucesos de prevención de pérdida de datos y políticas, puede seleccionar otro producto que probablemente capture sucesos similares.

  6. Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .

    El campo QID/Nombre le proporciona la opción de filtrar la lista completa de QID para una palabra específica, por ejemplo, política.

  7. Pulse Buscar.

    Se visualiza una lista de QID.

  8. Seleccione el QID que desea asociar a su suceso desconocido.
  9. Pulse Correcto.

    Correlaciona los sucesos adicionales que se reenvían desde el dispositivo con el mismo QID que coincide con la carga útil del suceso. El recuento de sucesos aumenta cada vez que QRadaridentifica el suceso.

    Si actualiza un suceso con una correlación QRadar Identifier (QID) nueva, los sucesos pasados almacenados en QRadar no se actualizan. Sólo los sucesos nuevos se categorizan con el nuevo QID.