Modificando um mapa de eventos

A modificação de um mapa de eventos permite categorizar manualmente os eventos em um mapa do Identificador do IBM QRadar (QID).

Sobre esta tarefa

Qualquer evento categorizado para uma origem de log pode ser remapeado para um novo QRadar Identifier (QID). Por padrão, o DSM Universal LEEF categoriza todos os eventos como desconhecidos.

Nota: Os eventos que não possuem uma fonte de log definida não podem ser mapeados para um evento. Os eventos sem uma origem de log exibem o Log genérico SIM na coluna Origem de log.

Procedimento

  1. Na coluna Nome do evento, dê um clique duplo em um evento desconhecido para seu DSM Universal LEEF.

    As informações de eventos detalhadas são exibidas.

  2. Clique em Mapear Evento.
  3. Na área de janela Procurar QID, selecione qualquer uma das opções de procura a seguir para limitar as categorias de eventos para um QRadar Identificador (QID):
    1. A partir da lista Categoria de alto nível , selecione uma categorização de eventos de alto nível.

      Para obter uma lista completa de categorias de eventos de alto nível e de baixo nível ou definições de categoria, consulte a seção de Categorias de Eventos do IBM QRadar Administration Guide.

  4. A partir da lista Categoria de Baixo Nível , selecione uma categorização de eventos de baixo nível.
  5. A partir da lista Tipo de Fonte de Log , selecione um tipo de fonte de log.

    A lista Tipo de origem de log permite procurar QIDs de outras origens de log individuais. A procura de QIDs por origem de log é útil quando os eventos do DSM Universal LEEF são semelhantes aos de outro dispositivo de rede existente. Por exemplo, se o seu DSM Universal LEEF fornecer eventos de firewall, você poderá selecionar o Cisco ASA, como outro produto de firewall que provavelmente captura eventos semelhantes.

  6. Para pesquisar um QID por nome, digite um nome no campo QID/Name .

    O campo QID/Nome fornece permite filtrar a lista completa de QIDs para uma palavra específica, por exemplo, MySQL.

  7. Clique em Pesquisar.

    Uma lista de QIDs é exibida.

  8. Selecione o QID que você deseja associar ao evento do DSM Universal LEEF desconhecido.
  9. Clique em OK.

    O QRadar mapeia quaisquer eventos adicionais que são encaminhados por seu dispositivo com o mesmo QID que corresponde à carga útil do evento. A contagem de evento aumenta cada vez que o evento é identificado pelo QRadar.

    Nota: se você atualizar um evento com um novo mapa QRadar Identificador (QID), os eventos passados armazenados no QRadar não serão atualizados. Somente os novos eventos serão categorizados com o novo QID.