不明イベントの検出

デバイスがイベントを IBM QRadarに転送すると、イベント・ソース・アプライアンスまたはソフトウェアによって一部のイベントが即時に生成されない場合があるため、デバイスのすべてのイベントを分類するのに時間がかかることがあります。

このタスクについて

不明イベントを迅速に検索する方法を把握しておくと有益です。不明イベントの検索方法が分かっている場合は、ほぼすべてのイベントを識別できたと判断できるまで、この検索を繰り返すことをお勧めします。

QRadarにログインします。
「ログ・アクティビティー」タブをクリックします。
「フィルターの追加」をクリックします。
最初のリストから、「ログ・ソース」を選択します。
「ログ・ソース・グループ」リストから、ログ・ソース・グループまたは「その他」を選択します。

グループに割り当てられていないログ・ソースは「その他」に分類されます。
「ログ・ソース」リストから、Symantec DLP ログ・ソースを選択します。
「フィルターの追加」をクリックします。

「ログ・アクティビティー」タブに、ログ・ソース用のフィルターが表示されます。
「表示」リストから、「直近 1 時間」を選択します。

Symantec DLP DSM によって過去 1 時間に生成されたイベントがすべて表示されます。「イベント名」列または「下位カテゴリー」列に unknown として表示されるイベントは、 QRadarでのイベント・マッピングを必要とします。

注: 「条件の保存」をクリックすると、既存の検索フィルターを保存できます。

これで、イベント・マップの変更を行うことができるようになりました。