Universal CEF 이벤트에 대한 이벤트 맵핑 구성

유니버셜 CEF 이벤트에는 보안 이벤트를 분류하기 위한 사전 정의된 QRadar Identifier (QID) 맵이 포함되어 있지 않습니다. Universal CEF 로그 소스에서 알 수 없는 이벤트에 대해 검색하고 상위 및 하위 레벨 카테고리에 맵핑해야 합니다.

시작하기 전에

Universal CEF DSM을 설치하고 QRadar에서 이에 대한 로그 소스를 추가했는지 확인하십시오.

이 태스크에 대한 정보

기본적으로 Universal CEF DSM은 모든 이벤트을 알 수 없음으로 분류합니다. 모든 Universal CEF 이벤트는 로그 보기 탭의 이벤트 이름 및 하위 레벨 카테고리 컬럼에서 알 수 없음 값을 조회합니다. 디바이스의 각 이벤트를 QRadar의 이벤트 카테고리에 개별적으로 맵핑하도록 QID맵을 수정해야 합니다. 맵핑 이벤트를 사용하면 QRadar 가 네트워크 디바이스에서 이벤트를 식별, 통합 및 추적할 수 있습니다.

이벤트 맵핑에 대한 자세한 정보는 IBM QRadar User Guide를 참조하십시오.

프로시저

  1. QRadar에 로그인하십시오.
  2. 로그 보기 탭을 클릭하십시오.
  3. 필터 추가를 클릭하십시오.
  4. 첫 번째 목록에서 로그 소스를 선택하십시오.
  5. 로그 소스 그룹 목록에서 기타를 선택하십시오.
  6. 로그 소스 목록에서 Universal CEF 로그 소스를 선택하십시오.
  7. 필터 추가를 클릭하십시오.
  8. 보기 목록에서 마지막 시간을 선택하십시오.
  9. 선택사항: 기준 저장 을 클릭하여 기존 검색 필터를 저장하십시오.
  10. 이벤트 이름 컬럼에서 Universal CEF DSM에 대한 알 수 없는 이벤트를 두 번 클릭하십시오.
  11. 이벤트 맵핑을 클릭하십시오.
  12. QID 찾아보기 분할창에서 다음 검색 옵션 중 하나를 선택하여 QRadar Identifier (QID) 의 이벤트 카테고리를 좁히십시오.
    • 상위 레벨 카테고리 목록에서 상위 레벨 이벤트 카테고리를 선택하십시오. 상위 레벨 및 하위 레벨 이벤트 카테고리 또는 카테고리 정의의 전체 목록은 IBM QRadar Administration Guide의 이벤트 카테고리 섹션을 참조하십시오.
    • 하위 레벨 카테고리 목록에서 하위 레벨 이벤트 카테고리를 선택하십시오.
    • 로그 소스 유형 목록에서 로그 소스 유형을 선택하십시오.
      팁: Universal CEF DSM의 이벤트가 다른 기존 네트워크 디바이스와 유사한 경우 로그 소스별로 QID를 검색하는 것이 유용합니다. 예를 들어, Universal CEF에서 방화벽 이벤트를 제공하는 경우 유사한 이벤트를 캡처하는 다른 방화벽 제품으로 Cisco ASA를 선택할 수 있습니다.
    • 이름별로 QID를 검색하려면 QID/이름 필드에 이름을 입력하십시오.
  13. 검색을 클릭하십시오.
  14. 알 수 없는 Universal CEF DSM 이벤트에 연관시킬 QID를 선택하고 확인을 클릭하십시오.