Modification de mappage d'événement

Vous pouvez mapper manuellement un événement normalisé ou brut à une catégorie de niveau supérieur ou inférieur (ou QID).

Avant de commencer

Cette action manuelle est utilisée pour mapper des événements de source de journal inconnus à des événements QRadar connus afin qu'ils puissent être catégorisés et traités de manière appropriée.

A propos de cette tâche

A des fins de normalisation, QRadar mappe automatiquement les événements des sources de journal vers les catégories de niveau supérieur et inférieur.

Pour plus d'informations sur les catégories d'événement, voir IBM QRadar -Guide d'administration.

Lorsque QRadar reçoit des événements de sources de journal que le système ne parvient pas à classer, ces événements sont classés comme étant inconnus. Ces événements peuvent survenir pour plusieurs raisons, notamment :
  • Evénements définis par l'utilisateur - Certaines sources de journal comme Snort, vous permettent de créer des événements définis par l'utilisateur.
  • Nouveaux événements ou événements plus anciens -Les sources de journal fournisseur peuvent mettre à jour leurs logiciels avec des éditions de maintenance pour prendre en charge de nouveaux événements qu' QRadar peut ne pas prendre en charge.
Remarque: l'icône Mapper l'événement est désactivée pour les événements lorsque la catégorie de niveau supérieur est Audit SIM ou que le type de source de journal est Simple Object Access Protocol (SOAP).

Procédure

  1. Cliquez sur l'onglet Activité du journal .
  2. Facultatif. Si vous affichez des événements en mode de diffusion en flux, cliquez sur l'icône Pause pour mettre en pause ce mode.
  3. Cliquez deux fois sur l'événement que vous souhaitez mapper.
  4. Cliquez sur Mapper l'événement.
  5. Si vous connaissez le QID que vous souhaitez mapper à cet événement, entrez le QID dans la zone Entrez QID .
  6. Si vous ne connaissez pas le QID à mapper à cet événement, vous pouvez rechercher un QID particulier :
    1. Choisissez l'une des options suivantes: Pour rechercher un QID par catégorie, sélectionnez la catégorie de niveau supérieur dans la zone de liste Catégorie de niveau supérieur. Pour rechercher un QID par catégorie, sélectionnez la catégorie de niveau inférieur dans la zone de liste Catégorie de niveau inférieur. Pour rechercher un QID par type de source de journal, sélectionnez un type de source de journal dans la zone de liste Type de la source de journal. Pour rechercher un QID par nom, entrez un nom dans la zone QID/Nom.
    2. Cliquez sur Rechercher.
    3. Sélectionnez le QID auquel vous souhaitez associer cet événement.
  7. Cliquez sur OK.