Claves de suceso personalizadas

Los proveedores y socios pueden definir sus propias claves de suceso personalizadas e incluirlas en la carga útil del formato LEEF.

Utilice atributos de par de valores de clave personalizados en una carga útil de suceso cuando no haya ninguna clave predeterminada para representar información sobre un suceso para el dispositivo. Cree atributos de suceso personalizados sólo cuando no haya una correlación aceptable con un atributo de suceso predefinido. Por ejemplo, si el dispositivo supervisa el acceso, puede requerir el nombre de archivo al que accede un usuario donde no existe ningún atributo de nombre de archivo en LEEF de forma predeterminada.

Nota: Las claves y valores de atributo de suceso sólo pueden aparecer una vez en cada carga útil. El uso de un par de clave-valor dos veces en la misma carga útil puede hacer que IBM® Security QRadar® ignore el valor de la clave duplicada.

Las claves de suceso personalizadas son no normalizadas, lo que significa que los pares de clave-valor especializados que incluya en el suceso LEEF no se visualizan de forma predeterminada en la pestaña Actividad de registro de QRadar. Para ver atributos personalizados y sucesos no normalizados en la pestaña Actividad de registro de QRadar, debe crear una propiedad de suceso personalizada. Los datos de sucesos no normalizados siguen formando parte del suceso LEEF, se pueden buscar en QRadary se pueden visualizar en la carga útil del suceso. Para obtener más información sobre la creación de una propiedad de suceso personalizado, consulte IBM QRadar Administration Guide.