Configuración de la correlación de sucesos para sucesos de Universal CEF

Los sucesos CEF universales no contienen una correlación de QRadar Identifier (QID) predefinida para categorizar los sucesos de seguridad. Debe buscar sucesos desconocidos del origen de registro de Universal CEF y correlacionarlos con categorías de nivel alto y bajo.

Antes de empezar

Asegúrese de que ha instalado Universal CEF DSM y ha añadido un origen de registro para el mismo en QRadar.

Acerca de esta tarea

De forma predeterminada, Universal CEF DSM categoriza todos los sucesos como desconocidos. Todos los sucesos de Universal CEF muestran un valor desconocido en las columnas Nombre de suceso y Categoría de nivel bajo en la pestaña Actividad de registro . Debe modificar la correlación de QID para correlacionar individualmente cada suceso para el dispositivo con una categoría de suceso en QRadar. La correlación de sucesos permite a QRadar identificar, fusionar y realizar el seguimiento de sucesos desde los dispositivos de red.

Para obtener más información sobre la correlación de sucesos, consulte IBM QRadar User Guide.

Procedimiento

  1. Inicie sesión en QRadar.
  2. Pulse la pestaña Actividad de registro .
  3. Pulse Añadir filtro.
  4. En la primera lista, seleccione Origen de registro.
  5. En la lista Grupo de orígenes de registro , seleccione Otros.
  6. En la lista Origen de registro , seleccione el origen de registro de Universal CEF.
  7. Pulse Añadir filtro.
  8. En la lista Ver , seleccione Última hora.
  9. Opcional: Pulse Guardar criterios para guardar el filtro de búsqueda existente.
  10. En la columna Nombre de suceso , efectúe una doble pulsación en un suceso desconocido para el Universal CEF DSM.
  11. Pulse Correlacionar suceso.
  12. En el panel Examinar para QID, seleccione cualquiera de las siguientes opciones de búsqueda para acotar las categorías de sucesos para un QRadar Identifier (QID):
    • En la lista Categoría de alto nivel , seleccione una categoría de suceso de alto nivel. Para obtener una lista completa de categorías de sucesos de alto y bajo nivel o definiciones de categorías, consulte la sección Categorías de sucesos de IBM QRadar Administration Guide.
    • En la lista Categoría de nivel bajo , seleccione una categoría de suceso de nivel bajo.
    • En la lista Tipo de origen de registro , seleccione un tipo de origen de registro.
      Sugerencia: Buscar QID por origen de registro es útil cuando los sucesos de Universal CEF DSM son similares a los de otro dispositivo de red existente. Por ejemplo, si Universal CEF proporciona sucesos de cortafuegos, puede seleccionar Cisco ASA, como otro producto de cortafuegos que probablemente captura sucesos similares.
    • Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre .
  13. Haga clic en Buscar.
  14. Seleccione el QID que desea asociar al suceso de Universal CEF DSM desconocido y pulse Aceptar.