IBM Guardium イベント用のイベント・マップの作成

イベント・マッピングは、一部の IBM® Guardium ® イベントに必要です。ポリシー・ルールはカスタマイズ可能であるため、デフォルト・ポリシー・イベントを除くほとんどのイベントには、セキュリティー・イベントをカテゴリー化するための事前定義 IBM QRadar ID (QID) マップが含まれていません。

このタスクについて

ご使用のデバイスの各イベントを、 QRadarでイベント・カテゴリーに個別にマップすることができます。マッピング・イベントにより、QRadarは、ネットワーク・デバイスから繰り返し発生するイベントを識別し、合体し、追跡できます。イベントをマップするまで、 IBM Guardium の「ログ・アクティビティー」タブに表示されるすべてのイベントは、不明として分類されます。不明なイベントは「イベント名」列に示され、「下位カテゴリー」列に「不明」と表示されるため、簡単に分かります。

デバイスがイベントを QRadarに転送すると、デバイスのすべてのイベントを分類するのに時間がかかる場合があります。一部のイベントは、イベント・ソース・アプライアンスまたはソフトウェアによって即時に生成されない場合があります。不明イベントを迅速に検索する方法を把握しておくと有益です。不明イベントの検索方法が分かっている場合は、ほとんどのイベントが識別されて満足できる状態になるまで、この検索を繰り返すことをお勧めします。

手順

QRadarにログインします。
「ログ・アクティビティー」タブをクリックします。
「フィルターの追加」をクリックします。
最初のリストから、「ログ・ソース」を選択します。
「ログ・ソース・グループ」リストから、ログ・ソース・グループまたは「その他」を選択します。

グループに割り当てられていないログ・ソースは「その他」に分類されます。
「ログ・ソース」リストから、 IBM Guardium ログ・ソースを選択します。
「フィルターの追加」をクリックします。

「ログ・アクティビティー」タブに、ログ・ソース用のフィルターが表示されます。
「表示」リストから、「直近 1 時間」を選択します。

過去 1 時間に IBM Guardium DSM によって生成されたすべてのイベントが表示されます。「イベント名」列または「下位カテゴリー」列に不明として表示されるイベントは、 QRadarでのイベント・マッピングを必要とします。

注: 「条件の保存」をクリックすると、既存の検索フィルターを保存できます。

これで、イベント・マップを変更する準備ができました。