Modificación de la correlación de sucesos

Puede correlacionar manualmente un suceso normalizado o en bruto con una categoría de alto nivel y de bajo nivel (o QID).

Antes de empezar

Esta acción manual se utiliza para correlacionar sucesos de origen de registro desconocidos con sucesos QRadar conocidos para que se puedan categorizar y procesar adecuadamente.

Acerca de esta tarea

A efectos de normalización, QRadar correlaciona automáticamente sucesos de orígenes de registro con categorías de alto y bajo nivel.

Para obtener más información sobre las categorías de sucesos, consulte la publicación IBM QRadar Guía de administración.

Si los sucesos se reciben de orígenes de registro que el sistema no puede categorizar, los sucesos se categorizan como desconocidos. Dichos sucesos se producen por distintos motivos, incluyendo:
  • Sucesos definidos por el usuario: Algunos orígenes de registro, como Snort, le permiten crear sucesos definidos por el usuario.
  • Nuevos sucesos o sucesos más antiguos -Los orígenes de registro de proveedor pueden actualizar su software con releases de mantenimiento para dar soporte a nuevos sucesos que QRadar podría no dar soporte.
Nota: El icono Correlacionar suceso está inhabilitado para los sucesos cuando la categoría de alto nivel es Auditoría SIM o el tipo de origen de registro es SOAP (Simple Object Access Protocol).

Procedimiento

  1. Pulse la pestaña Actividad de registro .
  2. Opcional. Si está viendo sucesos en modalidad continua, pulse el icono de Pausa para detener la modalidad continua.
  3. Efectúe una doble pulsación en el suceso que desea correlacionar.
  4. Pulse Correlacionar suceso.
  5. Si conoce el QID que desea correlacionar con este suceso, escriba el QID en el campo Especificar QID .
  6. Si no conoce el QID que desea correlacionar con este suceso, puede buscar un QID específico:
    1. Elija una de las opciones siguientes: Para buscar un QID por categoría, seleccione la categoría de alto nivel en el recuadro de lista Categoría de alto nivel. Para buscar un QID por categoría, seleccione la categoría de bajo nivel en el recuadro de lista Categoría de bajo nivel. Para buscar un QID por tipo de origen de registro, seleccione un tipo de origen de registro en el recuadro de lista Tipo de origen de registro. Para buscar un QID por nombre, escriba un nombre en el campo QID/Nombre.
    2. Haga clic en Buscar.
    3. Seleccione el QID con el que desea asociar este suceso.
  7. Pulse Aceptar.