Modificación de una correlación de sucesos

La modificación de una correlación de sucesos le permite categorizar manualmente los sucesos en una correlación de IBM QRadar Identifier (QID).

Acerca de esta tarea

Cualquier suceso categorizado en un origen de registro se puede volver a correlacionar con un nuevo identificador de QRadar (QID). De forma predeterminada, el Universal LEEF DSM categoriza todos los sucesos como desconocidos.

Nota: los sucesos que no tienen un origen de registro definido no se pueden correlacionar con un suceso. Los sucesos sin un origen de registro muestran el registro genérico SIM en la columna Origen de registro.

Procedimiento

  1. En la columna Nombre de suceso, efectúe una doble pulsación en un suceso desconocido para el DSM LEEF Universal.

    Se visualiza la información detallada del suceso.

  2. Pulse Correlacionar suceso.
  3. En el panel Examinar para QID, seleccione cualquiera de las opciones de búsqueda siguientes para acotar las categorías de sucesos para un identificador de QRadar (QID):
    1. En la lista Categoría de alto nivel , seleccione una categorización de sucesos de alto nivel.

      Para obtener una lista completa de categorías de sucesos de alto y bajo nivel o definiciones de categorías, consulte la sección Categorías de sucesos de IBM QRadar Administration Guide.

  4. En la lista Categoría de nivel bajo , seleccione una categorización de sucesos de nivel bajo.
  5. En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.

    La lista Tipo de origen de registro le permite buscar QID de otros orígenes de registro individuales. La búsqueda de QID por origen de registro es útil cuando los sucesos de Universal LEEF DSM son similares a otro dispositivo de red existente. Por ejemplo, si Universal LEEF DSM proporciona sucesos de cortafuegos, puede seleccionar Cisco ASA, como otro producto de cortafuegos que probablemente capture sucesos similares.

  6. Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .

    El campo QID/Nombre le permite filtrar la lista completa de QID para una palabra específica, por ejemplo, MySQL.

  7. Haga clic en Buscar.

    Se visualiza una lista de QID.

  8. Seleccione el QID que desea asociar al suceso DSM LEEF Universal desconocido.
  9. Pulse Aceptar.

    QRadar correlaciona los sucesos adicionales reenviados desde el dispositivo con el mismo QID que coincide con la carga útil del suceso. El recuento de sucesos aumenta cada vez que QRadaridentifica el suceso.

    Nota: Si actualiza un suceso con una nueva correlación de identificador de QRadar (QID), los sucesos pasados almacenados en QRadar no se actualizan. Sólo los sucesos nuevos se categorizan con el nuevo QID.