ESM: Registerkarte „Erkennung“

Document created by RSA Information Design and Development on May 14, 2018Last modified by RSA Information Design and Development on May 14, 2018
Version 2Show Document
  • View in full screen mode
 

Klicken Sie zum Öffnen dieser Registerkarte in NetWitness auf ADMIN > „Ereignisquellen“. Die Registerkarte „Erkennung“ wird angezeigt.

Auf der Registerkarte „Erkennung“ sehen Sie alle Ereignisquellen, die NetWitness unter den einzelnen Adressen erkannt hat, samt Angaben zu ihrem Typ und der Wahrscheinlichkeit, mit der das System sie vollständig korrekt identifiziert hat. Wenn die erkannten Ereignisquellentypen korrekt sind, können Sie bestätigen, dass diese Ereignisquelle herausgefiltert werden soll. Wenn sie falsch sind, können Sie die zulässigen Ereignisquellentypen für eine bestimmte Adresse festlegen, damit zukünftige Protokolle mit dem richtigen Parser analysiert werden.

Workflow

Dieser Workflow veranschaulicht den allgemeinen Prozess zur Konfiguration von Ereignisquellen.

Workflow shows the overall process for configuring event sources.

Was möchten Sie tun?

                       
RolleIch möchte…Dokumentation
Administrator

bestätigen, dass die erkannten Ereignisquellentypen korrekt sind.

Bestätigen und Zuordnen von Ereignisquellen

Administrator die Parser zuordnen, die für eine Ereignisquelle verwendet werden sollen, wenn die erkannten Typen nicht vollständig korrekt sind.

Bestätigen und Zuordnen von Ereignisquellen

Verwandte Themen

Parser-Zuordnungen verwalten

Ansicht „Details“

Überblick

Das Beispiel unten zeigt eine Liste mit Adressen und den für sie erkannten Ereignisquellentypen. Unter „Ereignisquelltypen“ werden alle Ereignisquellen aufgeführt, die erkannt wurden.

Dies ist ein Beispiel für die Registerkarte.

                                             
1Zeigt den Bereich „Ereignisquelle“ mit geöffneter „Erkennung“-Registerkarte an
2Schaltfläche „Details anzeigen“ zum Aufrufen von Details zur ausgewählten Ereignisquelle
3Zeigt die Adresse der ausgewählten Ereignisquelle an
4Zeigt den Discovery Score der ausgewählten Ereignisquelle an
5Zeigt an, ob die ausgewählte Ereignisquelle bestätigt wurde
6Zeigt den ausgewählten Typ der Ereignisquellenzuordnung als „Automatisch“, „Manuell zugeordnet“ oder „Ohne“ an. Änderungen an der Zuordnung werden nur hier angezeigt.
7Zeigt die Hostnamen der Log Collector-Instanzen an, von denen die Ereignisquellen gehostet werden
8Zeigt die Hostnamen der Log Decoder-Instanzen an, von denen die Ereignisquellen gehostet werden
9Zeigt die erkannten Ereignisquellentypen samt ihres Discovery Score an
10Zeigt die Filter „Bestätigte anzeigen“ und „Zugeordnete anzeigen“ an, mit Optionen zur Bestätigung und Zuordnung der ausgewählten Ereignisquellen

Symbolleiste und Funktionen

Die Registerkarte „Erkennung“ enthält die folgenden Funktionen:

                                           
FeldBeschreibung

Tools


Das folgende Element ist auf der Symbolleiste verfügbar:

Details anzeigen: Ruft Details zur ausgewählten Ereignisquelle ab

Ereignisquelle

Die IP-Adresse, IPv6-Adresse oder der Hostname der Ereignisquelle

Discovery Score

Zeigt den allgemeinen Discovery Score der betreffenden Adresse an. Dabei gilt: Je höher der Score, desto zuverlässiger die Erkennung. Der Discovery Score kann einen Wert zwischen 0 (geringste Zuverlässigkeit) bis 100 (höchste Zuverlässigkeit) haben.

Bestätigt Zur Auswahl stehen Ja (Sie haben die Ereignisquelle bestätigt) oder Nein (Sie haben die Ereignisquelle nicht bestätigt)

Zugeordnet

Zur Auswahl stehen Ja (Sie haben die Ereignisquelle zugeordnet) oder Nein (Sie haben die Ereignisquelle nicht zugeordnet)
Log Collectors

Log Collectors, die Protokolle von dieser Ereignisquellenadresse erhalten haben

Log Decoder Log Decoder, die Protokolle von dieser Ereignisquellenadresse erhalten haben
Ereignisquelltypen Die analysierten Typen der Ereignisquellenadresse und der entsprechenden Discovery Score für jeden Typ.

Hinweis: Discovery Scores sind nur für Log Decoder ab Version 11.0.0.0 verfügbar. Für Log Decoder, die älter sind als Version 11.0.0.0, wird als Discovery Score „Nicht verfügbar“ angezeigt.

In der folgenden Tabelle wird die Sortierreihenfolge für Discovery Scores beschrieben. Öffnen können Sie das Drop-down-Menü „Sortierreihenfolge“ durch Klicken auf den Abwärtspfeil in der Spalte „Ereignisquellen“.

                       
FeldBeschreibung

Aufsteigend sortieren

Zum Sortieren der Spalte nach Discovery Score in aufsteigender Reihenfolge

Absteigend sortieren

Zum Sortieren der Spalte nach Discovery Score in absteigender Reihenfolge

Spalten

Zum Aus- oder Einblenden einer oder mehrerer Spalten, wie im folgenden Beispiel zu sehen

Example of event source sorting drop-down menu.

 

You are here
Table of Contents > Referenzen > ESM: Registerkarte „Discovery“

Attachments

    Outcomes