Modificación de la correlación de sucesos para Akamai Kona

Puede correlacionar manualmente sucesos con un dispositivo externo en la herramienta de correlación IBM QRadar Identifier (QID). Cualquier suceso categorizado en un origen de registro se puede volver a correlacionar con un nuevo identificador de QRadar (QID).

Acerca de esta tarea

Los sucesos de Akamai Kona que no tienen un origen de registro definido no se pueden correlacionar con una correlación de QRadar Identifier (QID) mediante un suceso correlacionado. Los sucesos sin un origen de registro se visualizan como Registro genérico SIM en la columna Origen de registro .

1. En la columna Nombre de suceso , efectúe una doble pulsación en un suceso desconocido para Akamai Kona.

   Se visualiza la información detallada del suceso.

2. Pulse Suceso de correlación.
3. En el panel Buscar QID , seleccione cualquiera de las siguientes opciones de búsqueda para acotar las categorías de sucesos para un QRadar Identificador (QID):

   • En la lista Categoría de alto nivel , seleccione una categorización de sucesos de alto nivel.

   • Para obtener una lista completa de categorías de sucesos de alto y bajo nivel o definiciones de categorías, consulte la sección Categorías de sucesos de IBM QRadar Administration Guide.

   • En la lista Categoría de bajo nivel , seleccione una categorización de sucesos de bajo nivel.

   • En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.

   La lista Tipo de origen de registro ofrece la opción de buscar QID de otros orígenes de registro. La búsqueda de QID por origen de registro es útil cuando los sucesos son similares a otro dispositivo de red existente. Por ejemplo, Akamai Kona proporciona todos los eventos. Puede seleccionar otro producto que probablemente capture sucesos similares.

4. Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .

   El campo QID/Nombre proporciona la opción de filtrar la lista completa de QID para una palabra específica, por ejemplo, política.

5. Pulse Buscar.

   Se visualiza una lista de QID.

6. Seleccione el QID que desea asociar al suceso desconocido.
7. Pulse Correcto.

   QRadar correlaciona los sucesos adicionales que se reenvían desde el dispositivo con el mismo QID que coincide con la carga útil del suceso. El recuento de sucesos aumenta cada vez que QRadaridentifica el suceso.

   Si actualiza un suceso con una nueva correlación de QRadar Identifier (QID), los sucesos pasados almacenados en QRadar no se actualizarán. Sólo los sucesos nuevos se categorizan con el nuevo QID.