Modification de la mappe d'événements

Modifiez une mappe d'événements pour catégoriser manuellement les événements dans une mappe QRadar Identifier (QID).

A propos de cette tâche

Tout événement classé dans une source de journal peut être remappé à un nouveau QRadar Identifier (QID).

Remarque: les événements qui n'ont pas de source de journal définie ne peuvent pas être mappés à un événement. Evénements sans affichage de source de journalSIM Generic Logdans la colonne Source de journal .

Procédure

  1. Dans la colonne Nom de l'événement , cliquez deux fois sur un événement inconnu pour la passerelle Web McAfee .

    Les informations détaillées sur les événements s'affichent.

  2. Cliquez sur Mapper l'événement.
  3. Dans le panneau Rechercher QRadar Identifier , sélectionnez l'une des options de recherche suivantes pour restreindre les catégories d'événement d'un QRadar Identifier (QID):

    • Dans la liste Catégorie de niveau supérieur, sélectionnez une catégorisation d'événements de niveau supérieur.

    • Dans la liste Catégorie de niveau inférieur, sélectionnez une catégorisation d'événements de niveau inférieur.

    • Dans la liste Type de source de journal, sélectionnez un type de source de journal.

    La liste Type de source de journal permet de rechercher des QID à partir d'autres sources de journal. La recherche de QID par source de journal est utile lorsque les événements sont similaires à un autre périphérique réseau existant. Par exemple, McAfee Web Gateway fournit des événements de règles, et vous pourriez sélectionner un autre produit susceptible de capturer des événements similaires.

    Pour rechercher un QID par nom, entrez un nom dans la zone QID/Nom.

    La zone QID/Nom permet de filtrer la liste complète des QID pour obtenir un mot spécifique, par exemple règle.

  4. Cliquez sur Rechercher.

    Une liste de QID s'affiche.

  5. Sélectionnez le QID à associer à l'événement inconnu.
  6. Cliquez sur OK.

    QRadar mappe tous les événements supplémentaires transmis à partir de votre unité avec le QID qui correspond à la charge de l'événement. Le nombre d'événements augmente chaque fois que l'événement est identifié par QRadar.

    Si vous mettez à jour un événement avec une nouvelle mappe QRadar Identifier (QID), les anciens événements stockés dans QRadar ne sont pas mis à jour. Seuls les nouveaux événements sont catégorisés avec le nouveau QID.