Modificar um mapa de eventos permite a categorização manual de eventos para um mapa de Identificador do IBM
QRadar (QID). Qualquer evento categorizado para uma origem de log pode ser remapeado para um novo Identificador do QRadar (QID).
Sobre esta tarefa
IBM® Os eventos do mapa de eventos do Guardium® que não têm uma origem de log definida não são mapeados para um evento. Os eventos sem uma origem de log exibem Log genérico
SIM na coluna Origem de log.
Procedimento
- Na coluna Nome do Evento, clique duas vezes em um evento desconhecido para o IBM Guardium.
As informações de eventos detalhadas são exibidas.
- Clique em Mapear Evento.
- Na área de janela Procurar QID , selecione qualquer uma das opções de procura a seguir para limitar as categorias de eventos para um QRadar Identificador (QID):
Na lista Categoria de alto nível, selecione uma categorização
de evento de alto nível.
Para obter uma lista completa de categorias de eventos de alto nível e de baixo nível ou definições de categoria, consulte a seção de Categorias de Eventos do IBM
QRadar Administration Guide.
Na lista Categoria de baixo nível, selecione uma
categorização de evento de baixo nível.
Na lista Tipo de origem de log, selecione um tipo de
origem de log.
A lista Tipo de origem de log fornece a opção para procurar
QIDs de outras origens de log. A procura de QIDs por origem de log é útil quando os eventos
são semelhantes a outro dispositivo de rede existente. Por exemplo, o IBM Guardium fornece eventos de política, você pode selecionar outro produto que provavelmente capta eventos semelhantes.
- Para pesquisar um QID por nome, digite um nome no campo QID/Name .
O campo QID/Nome fornece a opção para filtrar a lista completa
de QIDs para uma palavra específica, por exemplo, política.
- Clique em Pesquisar.
Uma lista de QIDs é exibida.
- Selecione o QID que você deseja associar ao evento desconhecido.
- Clique em OK.
QRadar Mapeia quaisquer eventos adicionais que são encaminhados por seu dispositivo com o
mesmo QID que corresponde à carga útil do evento. A contagem de eventos aumenta cada vez que o evento é identificado por QRadar
Se você atualizar um evento com um novo mapa QRadar Identificador (QID), os eventos passados que são armazenados no QRadar não serão atualizados. Somente os novos
eventos serão categorizados com o novo QID.