イベントのマッピングの変更

正規化されたイベントまたはロー・イベントを上位または下位のカテゴリー (QID) に手動でマッピングできます。

始める前に

この手動アクションは、不明なログ・ソース・イベントを既知の QRadar イベントにマップして、適切に分類および処理できるようにするために使用されます。

このタスクについて

正規化の目的で、 QRadar は、ログ・ソースからのイベントを上位カテゴリーと下位カテゴリーに自動的にマップします。

イベント・カテゴリーについて詳しくは、「 IBM QRadar 管理ガイド」を参照してください。

システムがカテゴリー化できないログ・ソースからイベントを受信する場合、 そのイベントは不明とカテゴリー化されます。 このようなイベントには以下のものがあり、いくつかの理由で発生します。
  • ユーザー定義のイベント - Snort など一部のログ・ソースでは、 ユーザー定義のイベントを作成できます。
  • 新規イベントまたは古いイベント -ベンダーのログ・ソースは、 QRadar がサポートしない可能性がある新規イベントをサポートするために、保守リリースでソフトウェアを更新する場合があります。
注: 上位カテゴリーが SIM 監査であるか、ログ・ソース・タイプが Simple Object Access Protocol (SOAP) である場合は、イベントに対して 「イベントのマップ」 アイコンが無効になります。

手順

  1. 「ログ・アクティビティー」 タブをクリックします。
  2. オプションです。 イベントをストリーム・モードで表示している場合は、「一時停止」アイコンをクリックしてストリーミングを一時停止します。
  3. マッピングするイベントをダブルクリックします。
  4. 「イベントのマップ」をクリックします。
  5. このイベントにマップする QID が分かっている場合は、 「QID の入力 (Enter QID)」 フィールドに QID を入力します。
  6. このイベントにマップする QID がわかっていない場合、 以下のようにして特定の QID を検索することができます。
    1. 以下のいずれかのオプションを選択します。 カテゴリーによって QID を検索するには、「上位カテゴリー」リスト・ボックスから上位カテゴリーを選択します。 カテゴリーで QID を検索するには、 「下位カテゴリー」リスト・ボックスから下位カテゴリーを選択します。 ログ・ソース・タイプで QID を検索するには、 「ログ・ソース・タイプ」リスト・ボックスからログ・ソース・タイプを選択します。 名前で QID を検索するには、「QID/名前」フィールドに名前を入力します。
    2. 「検索」をクリックします。
    3. このイベントを関連付ける 「QID」 を選択します。
  7. 「OK」をクリックします。