Les événements Universal CEF ne contiennent pas de mappe QRadar
Identifier (QID) prédéfinie pour catégoriser les événements de sécurité. Vous devez rechercher des événements inconnus à partir de la source de journal Universal CEF et les mapper à des catégories de niveau élevé et de bas niveau.
Avant de commencer
Vérifiez que vous avez installé Universal DSM CEF et que vous avez ajouté une source de journal dans QRadar.
A propos de cette tâche
Par défaut, Universal CEF DSM classe tous les événements comme étant inconnus. Tous les événements Universal CEF affichent la valeur Inconnu dans les colonnes Nom de l'événement et Catégorie de bas niveau de l'onglet Activité de journal. Vous devez modifier la mappe QID pour mapper chaque événement de votre dispositif à une catégorie d'événement dans QRadar. Les événements de mappage permettent à QRadar d'identifier, de fusionner et de suivre les événements récurrents provenant de vos dispositifs réseau.
Pour plus d'informations sur le mappage d'événements, voir le IBM
QRadar User Guide.
Procédure
- Connectez-vous à QRadar.
- Cliquez sur l'onglet Activité du journal .
- Cliquez sur Ajouter un filtre.
- Dans la première liste, sélectionnez Source de journal.
- Dans la liste Groupe de sources de journal , sélectionnez Autre.
- Dans la liste Source de journal , sélectionnez votre source de journal Universal CEF.
- Cliquez sur Ajouter un filtre.
- Dans la liste Vue , sélectionnez Dernière heure.
- Facultatif: Cliquez sur Sauvegarder les critères pour sauvegarder votre filtre de recherche existant.
- Dans la colonne Nom de l'événement , cliquez deux fois sur un événement inconnu pour votre DSM Universal CEF.
- Cliquez sur Mapper l'événement.
- Dans le panneau de recherche de QID, sélectionnez l'une des options de recherche suivantes pour restreindre les catégories d'événement d'un QRadar
Identifier (QID):
- Dans la liste Catégorie de haut niveau, sélectionnez une catégorisation d'événements de haut niveau. Pour obtenir la liste complète des catégories d'événements de haut niveau et de bas niveau ou des définitions de catégorie, reportez-vous à la section relative aux catégories d'événements du IBM
QRadar Administration Guide.
- Dans la liste Catégorie de bas niveau, sélectionnez une catégorie d'événements de bas niveau.
- Dans la liste Type de source de journal, sélectionnez un type de source de journal.
Astuce: La recherche de QID par source de journal est utile lorsque les événements de votre DSM Universal CEF sont similaires à un autre périphérique réseau existant. Par exemple, si votre Universal CEF fournit des événements de pare-feu, vous pouvez sélectionner Cisco ASA comme autre produit de pare-feu qui capture également des événements similaires.
- Pour rechercher un QID par nom, entrez un nom dans la zone QID/Nom.
- Cliquez sur Rechercher.
- Sélectionnez le QID que vous souhaitez associer à votre événement Universal CEF DSM inconnu et cliquez sur OK.