イベント・マップを変更すると、イベントを IBM
QRadar ID (QID) マップに手動でカテゴリー化できます。
このタスクについて
ログ・ソースに分類済みの任意のイベントを、新しい QRadar ID (QID) に再マップできます。 デフォルトでは、Universal LEEF DSM はすべてのイベントを「不明」として分類します。
注: ログ・ソースが定義されていないイベントは、イベントにマップできません。 ログ・ソースのないイベントの場合、「ログ・ソース」列に「SIM 汎用ログ (SIM Generic Log)」と表示されます。
手順
- 「イベント名」列で、Universal LEEF DSM の不明イベントをダブルクリックします。
- 「イベントのマップ」をクリックします。
- 「QID の参照 (Browse for QID)」ペインから、以下のいずれかの検索オプションを選択して、 QRadar ID (QID) のイベント・カテゴリーを絞り込みます。
- 「上位カテゴリー」 リストから、上位イベント・カテゴリーを選択します。
上位レベルおよび下位レベルのイベント・カテゴリーまたはカテゴリー定義の全リストについては、 IBM
QRadar Administration Guideの「イベント・カテゴリー」セクションを参照してください。
- 「下位カテゴリー」 リストから、下位イベント・カテゴリーを選択します。
- 「ログ・ソース・タイプ」 リストから、ログ・ソース・タイプを選択します。
「ログ・ソース・タイプ」リストでは、他のログ・ソースからの QID を検索することができます。 Universal LEEF DSM からのイベントが既存の別のネットワーク・デバイスからのイベントと類似している場合、ログ・ソースで QID を検索すると便利です。 例えば、Universal LEEF DSM がファイアウォール・イベントを提供している場合、類似するイベントをキャプチャーする可能性のある別のファイアウォール製品として Cisco CA を選択できます。
- QID を名前で検索するには、 「QID/ 名前」 フィールドに名前を入力します。
「QID/名前」フィールドでは、特定の単語 (例: MySQL) で QID の完全なリストをフィルタリングできます。
- 「検索」をクリックします。
- 不明な Universal LEEF DSM イベントに関連付ける QID を選択します。
- 「OK」をクリックします。
QRadar は、イベント・ペイロードと一致する同じ QID を持つデバイスから転送されるすべての追加イベントをマップします。 QRadar がイベントを識別するたびにイベント数が増加します。
注: 新しい QRadar Identifier (QID) マップでイベントを更新しても、 QRadar に保管されている過去のイベントは更新されません。 新しいイベントだけが新しい QID によって分類されます。