Modificando o mapa de eventos

A modificação de um mapa de eventos fornece a opção de categorizar eventos manualmente para um mapa do QRadar Identifier (QID)

Sobre esta tarefa

Qualquer evento categorizado para uma origem de log pode ser remapeado para um novo QRadar Identifier (QID).

Nota: Os eventos que não possuem uma fonte de log definida não podem ser mapeados para um evento. Os eventos sem uma origem de log exibem o Log genérico SIM na coluna Origem de log.

Procedimento

  1. Na coluna Nome do Evento , dê um duplo clique em um evento desconhecido para o Symantec DLP.

    As informações de eventos detalhadas são exibidas.

  2. Clique em Evento do Map.
  3. Na área de janela Procurar QID , selecione qualquer uma das opções de procura a seguir para limitar as categorias de eventos para um IBM QRadar Identificador (QID):
    1. A partir da lista Categoria de Alto Nível , selecione uma categorização de eventos de alto nível.

      Para obter uma lista completa de categorias de eventos de alto nível e de baixo nível ou definições de categoria, consulte a seção de Categorias de Eventos do IBM QRadar Administration Guide.

  4. A partir da lista Categoria de baixo nível , selecione uma categorização de evento de baixo nível.
  5. A partir da lista Tipo de Fonte de Registro , selecione um tipo de fonte de log.

    A lista Tipo de origem de log fornece a opção de procurar QIDs de outras origens de log. A procura de QIDs por origem de log é útil quando os eventos são semelhantes a outro dispositivo de rede existente. Por exemplo, a Symantec fornece eventos de política e prevenção contra perda de dados; você pode selecionar outro produto que provavelmente capture eventos semelhantes.

  6. Para pesquisar um QID por nome, digite um nome no campo QID/Nome .

    O campo QID/Nome fornece a opção de filtrar a lista completa de QIDs para uma palavra específica, por exemplo, política.

  7. Clique em Pesquisa.

    Uma lista de QIDs é exibida.

  8. Selecione o QID que você deseja associar ao evento desconhecido.
  9. Clique em OK.

    Mapeia quaisquer eventos adicionais que são encaminhados por seu dispositivo com o mesmo QID que corresponde à carga útil do evento. A contagem de eventos aumenta cada vez que o evento é identificado por QRadar

    Se você atualizar um evento com um novo mapa QRadar Identifier (QID), os eventos passados armazenados no QRadar não serão atualizados. Somente os novos eventos serão categorizados com o novo QID.