Eventos Encaminhados

O IBM QRadar DLC Protocol traz eventos encaminhados de uma ou mais IBM Disconnected Log Collector instâncias para IBM QRadar.

Os eventos encaminhados a partir de tipos de origem de log que são autodetectáveis são autodetectados como se os eventos fossem enviados diretamente para QRadar. O tipo de protocolo para esses eventos encaminhados é Encaminhado, independentemente de qual protocolo a instância Disconnected Log Collector usada para coletá-los. Se os eventos forem enviados usando Transport Layer Security sobre o Transmission Control Protocol ( TLS sobre TCP ), o Identificador da Fonte de Log da fonte de log detectada automaticamente incluirá o UUID da instância de Disconnected Log Collector encaminhamento. Por exemplo, 192.0.2.0277f291f-dca9-4c59-978a-9d6deb0223b0. Esse formato ajuda a assegurar a separação adequada dos dados de evento.

Os eventos encaminhados de tipos de origem de log que não são autodetectáveis por padrão requerem alguma configuração. É possível criar origens de log para esses eventos, singularmente ou em massa, usando a janela Origens de log do QRadar, o app Log Source Management ou a API de REST de origens de log. Você deve configurar o parâmetro Configuração de Protocolo de fontes de log para Encaminhado para eventos que são encaminhados por uma instância Disconnected Log Collector . Se os eventos forem enviados usando TLS em vez de TCP, o Identificador da Fonte de Log deve incluir o UUID da instância de Disconnected Log Collector encaminhamento.

Alternativamente, em QRadar 7.3.2, você pode configurar Log Source Autodetecção para tipos de origem de log que não são autodetectáveis por padrão. Você pode configurar a detecção automática para qualquer tipo de fonte de registro (personalizada ou fornecida pelo IBM® ) usando a guia Configuração do DSM Editor.

Para obter mais informações sobre a inclusão de fontes de log singularmente, em massa, ou usando Detecção de Autodetecção de Origem, consulte o Guia de Configuração do DSM.