Configuração do QRadar® para receber eventos LEEF da Check Point

Por padrão, os eventos do Check Point LEEF são mapeados para o esquema de mapeamento de eventos OPSEC LEA anterior. Se desejar mudar a maneira como o IBM QRadar mapeia eventos, será possível usar o Editor DSM para desativar o mapeamento de eventos anteriores.

Procedimento

  1. Clique na guia Admin .
  2. Na seção Origens de Dados , clique em Editor de DSM.
  3. A partir da janela Selecionar Tipo de Fonte de Log , selecione Check Point a partir da lista e clique em Selecionar.
  4. Na guia Configuração , configure Exibir Configuração de Parâmetros DSM para em.
  5. A partir da lista Coletor de Eventos , selecione o coletor de eventos para a fonte de log.
  6. Set Desativar mapeamento de eventos legados para on.
  7. Configure Ativar SmartDefense IDs de Evento de Assinatura para em.
    O valor no campo signature é usado como o ID do evento para SmartDefense. Por padrão, os eventos para Check Point SmartDefense usam o valor no campo attack para análise.
  8. Clique em Salvar e feche o Editor de DSM.