Mapeamento de campo de caso

A lista de campos de caso que podem ser mapeados é originado diretamente do SOAR A lista é atualizada automaticamente sempre que você acessar a página Modelo de Mapeamento de Caso . Quaisquer mudanças nos campos de caso no SOAR, incluindo campos customizados, são mostradas automaticamente na página Modelo de Mapeamento de Caso

Os campos de ofensa QRadar que podem ser mapeados incluem todos os campos de ofensa normalizados, além de campos que armazenam campos de ID que são convertidos em valores de texto. A sintaxe para mapear o campo de ofensa para um campo de caso é {{offense.<fieldname>}}

Antes de definir os mapeamentos, é possível usar a API interativa do QRadar para testar a saída dos campos de ofensa Para obter mais informações sobre como usar a Interactive API for Developers, consulte a Documentação da API de REST no IBM Docs

No formulário de modelo, um asterisco vermelho indica que ele é um campo obrigatório, portanto, deve-se especificar um mapeamento Ao mapear um campo, um ícone de atualização () aparece próximo a ele para indicar que o campo é atualizado sempre que a ofensa é atualizada. Se você não desejar que o campo seja atualizado, clique no ícone de atualização para bloqueá-lo, Quando um campo é bloqueado, ele é atualizado apenas uma vez quando o caso é criado O campo bloqueado não é atualizado quando ele é alterado no QRadar, mas é possível modificar o campo bloqueado de dentro do SOAR