ESM: Bestätigen und Zuordnen von Ereignisquellen

Document created by RSA Information Design and Development on May 14, 2018Last modified by RSA Information Design and Development on Apr 28, 2019
Version 3Show Document
  • View in full screen mode
 

In RSA NetWitness® Platform 11.1 hat RSA die automatische Zuordnung eingeführt. Das System ordnet eingehende Ereignisse automatisch anhand früherer Protokolle, die von dieser Adresse erhalten wurden, einem Typ zu und reduziert damit die Anzahl der Elemente, für die Ihre Aufmerksamkeit im Erkennungsworkflow erforderlich ist. Die Benutzeroberfläche gibt an, dass eine Adresse im Erkennungsworkflow automatisch zugeordnet wurde.

Bestätigen von Ereignisquellentypen

Über die Registerkarte „Discovery“ können Sie die Ereignisquellentypen überprüfen, die NetWitness für jede Adresse ermittelt hat, und die Zuverlässigkeit des Systems hinsichtlich der Wahrscheinlichkeit, dass sie korrekt identifiziert wurden. Wenn die erkannten Ereignisquellentypen korrekt sind, können Sie bestätigen, dass diese Ereignisquelle standardmäßig aus der Ansicht herausgefiltert werden soll. Wenn sie falsch sind, können Sie die zulässigen Ereignisquellentypen für eine bestimmte Adresse festlegen, damit zukünftige Protokolle mit dem richtigen Parser analysiert werden.

So bestätigen Sie Ereignisquellen:

  1. Navigieren Sie zu ADMINISTRATION > Ereignisquellen.

    Die Registerkarte „Erkennung“ wird angezeigt.

  2. Wählen Sie eine oder mehrere Ereignisquellen aus.
  3. Klicken Sie auf Bestätigung umschalten.

Beachten Sie Folgendes:

  • Sobald die Ereignisquellen bestätigt wurden, werden sie nicht mehr in der Spalte „Ereignisquelltyp(en)“ angezeigt.
  • Die Schaltfläche Bestätigung umschalten verhält sich folgendermaßen:

    • Wenn der bestätigte Zustand für alle ausgewählten Ereignisquellen identisch ist, werden alle Werte umgeschaltet. Das heißt, wenn Sie nur Ereignisquellen mit Ja in der Spalte „Bestätigt“ auswählen, wird der Wert für alle in Nein geändert. Entsprechend wird der Wert für alle ausgewählten Ereignisquellen in Ja geändert, wenn für alle der Wert Nein ausgewählt ist.
    • Wenn Sie mehrere Ereignisquellen auswählen und für einige der Wert Ja und für andere der Wert Nein ausgewählt ist, werden durch Klicken auf Bestätigung umschalten alle Werte für die ausgewählten Ereignisquellen auf Ja festgelegt.

Hinweis: Bestätigte Ereignisquellen werden standardmäßig nicht angezeigt.

Manuelles Zuordnen von Kartenereignissen

Wenn die erkannten Ereignisquellentypen nicht vollständig korrekt sind, können Sie die Parser zuordnen, um zusätzliche Informationen zu erhalten.

So ordnen Sie eine oder mehrere Ereignisquellen zu:

  1. Navigieren Sie zu ADMINISTRATION > Ereignisquellen.

    Die Registerkarte „Erkennung“ wird angezeigt.

  2. Wählen Sie eine oder mehrere Ereignisquellen aus.
  3. Klicken Sie auf Map button.

    Das Dialogfeld „Parser-Zuordnungen verwalten“ wird angezeigt.

  4. Fügen Sie Parser-Zuordnungen hinzu oder entfernen Sie sie und ändern Sie die Prioritätsreihenfolge basierend auf den Bedürfnissen Ihrer Organisation. Nähere Informationen finden Sie unter Parser-Zuordnungen verwalten .

Hinweis: Discovery Scores für die zugeordneten Ereignisquellen werden in der Spalte „Ereignisquelltyp(en)“ vom niedrigsten zum höchsten Discovery Score aufgeführt. Discovery Scores reichen von 0 (geringstes Vertrauen) bis 100 (stärkstes Vertrauen).

Anzeigen von Protokollen von einer Log Decoder-Version vor 11.0

In RSA NetWitness® Platform 11.0 besteht nun die Möglichkeit, eine kleine Auswahl der letzten Protokolle für bestimmte Geräte auf den jeweiligen Detail-Registerkarten der Ansicht „Erkennung“ anzuzeigen. Standardmäßig besitzen Log Decoder vor Version 11.0 nicht die erforderliche Konfiguration zum Aktivieren dieser Funktion. Dies ist jedoch durch Vornehmen einiger geringfügiger Änderungen möglich. Weitere Informationen finden Sie unter Anzeigen von Protokollen von einer Log Decoder-Version vor 11.0.

You are here
Table of Contents > Managen von Ereignisquellengruppen > Bestätigen und Zuordnen von Ereignisquellen

Attachments

    Outcomes