Como criar um mapa de eventos para eventos IBM Guardium

O mapeamento de eventos é necessário para alguns eventos do IBM® Guardium ®. Devido à natureza customizável das regras de política, a maioria dos eventos, exceto os eventos de política padrão, não contém um mapa IBM QRadar Identificador (QID) predefinido para categorizar eventos de segurança.

Sobre esta tarefa

Você pode mapear individualmente cada evento para o seu dispositivo para uma categoria de evento no QRadar. Os eventos de mapeamento permitem ao QRadar identificar, unir e acompanhar eventos recorrentes de seus dispositivos de rede. Até que você mapeie um evento, todos os eventos exibidos na guia Atividade de log para o IBM Guardium são categorizados como desconhecidos. Os eventos desconhecidos são facilmente identificados porque as colunas Nome do evento e Categoria de baixo nível exibem Desconhecido.

Conforme seu dispositivo encaminha eventos para o QRadar, pode levar tempo para categorizar todos os eventos para um dispositivo. Alguns eventos podem não ser gerados imediatamente pelo dispositivo ou software de origem de eventos.. É útil saber como procurar rapidamente eventos desconhecidos. Quando você sabe como procurar eventos desconhecidos, sugerimos que repita essa procura até que esteja satisfeito que a maioria de seus eventos são identificados.

Procedimento

  1. Efetue login no QRadar.
  2. Clique na aba Atividade do Log .
  3. Clique em Adicionar Filtro.
  4. A partir da primeira lista, selecione Log Source.
  5. A partir da lista Log Source Group , selecione o grupo de origem de log ou Outro.

    As origens de log que não estão designadas a um grupo são categorizadas como Outro.

  6. A partir da lista Fonte de Log , selecione sua fonte de log do Guardium IBM .
  7. Clique em Adicionar Filtro.

    A guia Atividade de log é exibida com um filtro para sua origem de log.

  8. A partir da lista Visualizar , selecione Última Hora.

    Quaisquer eventos que são gerados pelo IBM Guardium DSM na última hora são exibidos. Eventos que são exibidos como desconhecidos na coluna Nome do evento ou na coluna Categoria de nível baixo requerem mapeamento de eventos em QRadar.

    Nota: Você pode salvar o seu filtro de pesquisa existente clicando em Salvar Criterios.

    Agora você está pronto para modificar o mapa de eventos.