Création d'une mappe d'événements pour les événements IBM Guardium
Le mappage d'événements est nécessaire pour certains événements IBM® Guardium ®. En raison de la nature personnalisable des règles de politique, la plupart des événements, à l'exception des événements de politique par défaut, ne contiennent pas de mappe IBM QRadar Identifier (QID) prédéfinie pour catégoriser les événements de sécurité.
A propos de cette tâche
Vous pouvez mapper chaque événement de votre dispositif à une catégorie d'événement dans QRadar. Les événements de mappage permettent à QRadar d'identifier, de fusionner et de suivre les événements récurrents provenant de vos périphériques réseau. Tant que vous n'avez pas mappé un événement, tous les événements affichés dans l'onglet Activité du journal d' IBM Guardium sont catégorisés comme étant inconnus. Les événements inconnus sont facilement identifiés car la colonne Nom de l'événement et les colonnes Catégorie de niveau inférieur affichent Inconnu.
Au fur et à mesure que votre terminal transfère des événements à QRadar, il peut être long de classer tous les événements d'un terminal. Certains événements peuvent ne pas être générés immédiatement par le dispositif ou le logiciel de la source d'événement. Il est utile de savoir comment rechercher rapidement des événements inconnus. Lorsque vous savez comment rechercher des événements inconnus, nous vous suggérons de répéter cette recherche jusqu'à ce que vous sachiez que la plupart de vos événements sont identifiés.