Check Point에서 LEEF 이벤트를 수신하도록 QRadar® 구성하기

기본적으로 Check Point LEEF 이벤트는 레거시 OPSEC LEA 이벤트 맵핑 스키마에 맵핑됩니다. IBM QRadar 가 이벤트를 맵핑하는 방법을 변경하려는 경우 DSM 편집기를 사용하여 레거시 이벤트 맵핑을 사용 안함으로 설정할 수 있습니다.

프로시저

  1. 관리 탭을 클릭하십시오.
  2. 데이터 소스 섹션에서 DSM 편집기를 클릭하십시오.
  3. 로그 소스 유형 선택 창의 목록에서 체크포인트 를 선택하고 선택을 클릭하십시오.
  4. 구성 탭에서 DSM 매개변수 구성 표시 를 on으로 설정하십시오.
  5. 이벤트 콜렉터 목록에서 로그 소스의 이벤트 콜렉터를 선택하십시오.
  6. 레거시 이벤트 맵핑 사용 안함 을 on으로 설정하십시오.
  7. SmartDefense 서명 이벤트 ID 사용 을 on으로 설정하십시오.
    signature 필드의 값은 SmartDefense의 이벤트 ID로 사용됩니다. 기본적으로 Check Point SmartDefense 의 이벤트는 구문 분석을 위해 공격 필드의 값을 사용합니다.
  8. 저장 을 클릭하고 DSM 편집기를 닫으십시오.