イベントを手動で QRadar
Identifier (QID) マップに分類するには、イベント・マップを変更します。
このタスクについて
ログ・ソースに分類されたすべてのイベントは、新しい QRadar
Identifier (QID) に再マップできます。
注: ログ・ソースが定義されていないイベントは、イベントにマップできません。 ログ・ソースのないイベントの表示SIM Generic Log「ログ・ソース」 列に表示されます。
手順
- 「イベント名」 列で、 McAfee Web Gateway の不明なイベントをダブルクリックします。
- 「イベントのマップ」をクリックします。
- 「 QRadar
Identifier の参照」ペインから、以下のいずれかの検索オプションを選択して、 QRadar
Identifier (QID) のイベント・カテゴリーを絞り込みます。
「上位カテゴリー」リストから、上位イベント・カテゴリーを選択します。
「下位カテゴリー」リストから、下位イベント・カテゴリーを選択します。
「ログ・ソース・タイプ」リストから、ログ・ソース・タイプを選択します。
「ログ・ソース・タイプ」リストでは、他のログ・ソースからの QID を検索できます。 イベントが既存の別のネットワーク・デバイスからのイベントに類似している場合、ログ・ソースで QID を検索すると便利です。 例えば、McAfee Web Gateway がポリシー・イベントを提供する場合、類似するイベントをキャプチャーする可能性のある別の製品を選択することがあります。
名前で QID を検索するには、「QID/名前」フィールドに名前を入力します。
「QID/名前」フィールドでは、特定の単語 (例: policy) で QID の完全なリストをフィルタリングできます。
- 「検索」をクリックします。
- 不明なイベントに関連付ける QID を選択します。
- 「OK」をクリックします。
QRadar イベント・ペイロードと一致する同じ QID を持つデバイスから転送されるすべての追加イベントがマップされます。 イベント・カウントは、イベントが QRadarによって識別されるたびに増加します。
新しい QRadar
Identifier (QID) マップを使用してイベントを更新した場合、 QRadar に保管されている過去のイベントは更新されません。 新しいイベントだけが新しい QID によって分類されます。