Configuration de QRadar® pour recevoir les événements LEEF de Check Point

Par défaut, les événements Check Point LEEF sont mappés avec le schéma de mappage d'événement OPSEC LEA existant. Si vous souhaitez modifier la manière dont IBM QRadar mappe les événements, vous pouvez utiliser l'éditeur DSM pour désactiver le mappage d'événements existant.

Procédure

  1. Cliquez sur l'onglet Admin .
  2. Dans la section Sources de données , cliquez sur Editeur DSM.
  3. Dans la fenêtre Sélectionner le type de source de journal , sélectionnez Check Point dans la liste, puis cliquez sur Sélectionner.
  4. Dans l'onglet Configuration , définissez Afficher la configuration des paramètres DSM sur sur.
  5. Dans la liste Collecteur d'événements , sélectionnez le collecteur d'événements pour la source de journal.
  6. Définissez Désactiver le mappage des événements existants sur on.
  7. Définissez Enable SmartDefense Signature Event IDs sur on.
    La valeur de la zone signature est utilisée comme ID d'événement pour SmartDefense. Par défaut, les événements de Check Point SmartDefense utilisent la valeur de la zone attack pour l'analyse syntaxique.
  8. Cliquez sur Sauvegarder et fermez l'éditeur DSM.