Lorsque votre dispositif transmet des événements à IBM
QRadar, du temps peut être nécessaire pour catégoriser tous les événements d'un dispositif, car certains événements peuvent ne pas être générés immédiatement par le dispositif ou le logiciel source d'événement.
A propos de cette tâche
Il est utile de savoir comment rechercher rapidement les événements inconnus. Lorsque vous savez comment rechercher des événements inconnus, il est conseillé de répéter cette recherche jusqu'à ce que vous sachiez que vous pouvez identifier la plupart de vos événements.
Procédure
- Connectez-vous à QRadar.
- Cliquez sur l'onglet Activité du journal .
- Cliquez sur Ajouter un filtre.
- Dans la première liste, sélectionnez Source de journal.
- Dans la liste Groupe de sources de journal , sélectionnez le groupe de sources de journal ou Autre.
Les sources de journal qui ne sont pas affectées à un groupe sont catégorisées sous la forme Autre.
- Dans la liste Source de journal , sélectionnez votre source de journal Symantec DLP.
- Cliquez sur Ajouter un filtre.
L'onglet Activité de journal s'affiche avec un filtre pour votre source de journal.
- Dans la liste Vue , sélectionnez Dernière heure.
Tous les événements générés par le DSM Symantec DLP au cours de la dernière heure sont affichés. Les événements qui s'affichent sous la forme Inconnu dans la colonne Nom de l'événement ou dans la colonne Catégorie de niveau inférieur requièrent un mappage d'événements dans QRadar.
Remarque: Vous pouvez sauvegarder votre filtre de recherche existant en cliquant sur Sauvegarder les critères.
Etape suivante
Vous pouvez maintenant modifier la mappe d'événements.