Types d'ensembles de données de référence

IBM QRadar possède différents types d'ensembles de données de référence qui peuvent gérer différents niveaux de complexité des données. Les types les plus courants sont les ensembles de référence et les cartes de référence.

Si vous souhaitez utiliser les mêmes données de référence dans QRadar SIEM et QRadar Risk Manager, utilisez un ensemble de références. Vous ne pouvez pas utiliser d'autres types d'ensembles de données de référence avec QRadar Risk Manager.

Tableau 1. Types d'ensembles de données de référence
Type d'ensemble	Descriptif	Procédures d'utilisation	Exemples
Jeu de références	Un ensemble de valeurs uniques.	Utilisez un ensemble de références pour comparer une valeur de propriété à une liste, telle que des adresses IP ou des noms d'utilisateur.	Pour vérifier si une ID de connexion utilisée pour se connecter à QRadar est affectée à un utilisateur, créez un ensemble de références avec le paramètre LoginID .
Mappage de références	Ensemble de données qui mappe une clé unique à une valeur.	Utilisez une mappe de référence pour vérifier une combinaison unique de deux valeurs de propriété.	Pour corréler l'activité d'utilisateur sur votre réseau, créez une mappe de référence qui utilise le paramètre LoginID comme clé et Username comme valeur.
Mappage de références d'ensembles	Ensemble de données qui mappe une clé à plusieurs valeurs. Chaque clé est unique et se mappe à un ensemble de références.	Utilisez une mappe de référence d'ensembles pour vérifier une combinaison de deux valeurs de propriété sur une liste.	Pour tester l'accès autorisé à un brevet, créez une mappe d'ensembles qui utilise une propriété d'événement personnalisée pour Patent ID comme clé et le paramètre Username comme valeur. Utilisez la mappe des ensembles pour remplir une liste d'utilisateurs autorisés.
Mappage de références de mappes	Ensemble de données qui mappe une clé à une autre clé, qui est alors mappée à une valeur unique. Chaque clé est unique et elle est mappée à une carte de référence.	Utilisez une mappe de référence de mappes pour vérifier une combinaison de trois valeurs de propriété.	Pour tester les violations de bande passante du réseau, créez une mappe des mappes qui utilise le paramètre Source IP comme première clé, le paramètre Application comme seconde clé et le paramètre Total Bytes comme valeur.
Table de référence	Ensemble de données qui mappe une clé à une autre clé, qui est alors mappée à une valeur unique. La deuxième clé est affectée à un type de données.	Utilisez une table de référence pour vérifier une combinaison de trois valeurs de propriété lorsque l'une des propriétés est un type de données spécifique.	Créez une table de référence qui stocke Username comme première clé, Source IP comme seconde clé avec un type de données cidr affecté, et Source Port comme valeur.