Modification de la mappe d'événements

La modification d'une mappe d'événements vous permet de catégoriser manuellement les événements dans une mappe QRadar Identifier (QID).

A propos de cette tâche

Tout événement classé dans une source de journal peut être remappé à un nouveau QRadar Identifier (QID).

Remarque: Les événements qui n'ont pas de source de journal définie ne peuvent pas être mappés à un événement. Les événements sans source de journal affichent le journal générique SIM dans la colonne Source du journal.

Procédure

  1. Dans la colonne Nom de l'événement , cliquez deux fois sur un événement inconnu pour Symantec DLP.

    Les informations détaillées sur les événements s'affichent.

  2. Cliquez sur Evénement de mappe.
  3. Dans le panneau Rechercher QID , sélectionnez l'une des options de recherche suivantes pour restreindre les catégories d'événement d'un identificateur IBM QRadar (QID):
    1. Dans la liste Catégorie de niveau supérieur , sélectionnez une catégorisation d'événement de haut niveau.

      Pour obtenir une liste complète des catégories d'événements de niveau supérieur et de niveau inférieur ou des définitions de catégories, reportez-vous à la section Catégories d'événements de IBM QRadar Administration Guide.

  4. Dans la liste Catégorie de niveau inférieur , sélectionnez une catégorisation d'événement de bas niveau.
  5. Dans la liste Type de source de journal , sélectionnez un type de source de journal.

    La liste Type de source de journal vous permet de rechercher des QID à partir d'autres sources de journal. La recherche de QID par source de journal est utile lorsque les événements sont similaires à un autre périphérique réseau existant. Par exemple, Symantec fournit des événements de prévention des pertes de données et de règles, vous pouvez sélectionner un autre produit susceptible de capturer des événements similaires.

  6. Pour rechercher un QID par nom, entrez un nom dans la zone QID/Nom .

    La zone QID/Nom vous permet de filtrer la liste complète des QID pour un mot spécifique, par exemple, la règle.

  7. Cliquez sur Rechercher.

    Une liste de QID s'affiche.

  8. Sélectionnez l'ID QID que vous souhaitez associer à votre événement inconnu.
  9. Cliquez sur OK.

    Mappe tous les événements supplémentaires qui sont transmis à partir de votre périphérique avec le même QID qui correspond à la charge de l'événement. Le nombre d'événements augmente chaque fois que l'événement est identifié par QRadar.

    Si vous mettez à jour un événement avec une nouvelle mappe QRadar Identifier (QID), les anciens événements stockés dans QRadar ne sont pas mis à jour. Seuls les nouveaux événements sont catégorisés avec le nouveau QID.