IBM Security QRadar Guide D'utilisation page 176

Tableau 45. Paramètres de la page Event, Flow et Common Rule Response (suite)
Paramètre
Ensure that the dispatched event is
part of an offense
164
IBM Security QRadar - Guide d'utilisation
Description
Cochez cette case si vous souhaitez, à la suite de cette règle, que
l'événement soit transmis au composant Magistrate. Si aucune violation n'a
été créée sur l'onglet Offenses, une nouvelle violation est créée. Si une
violation existe, cet événement est ajouté.
Lorsque vous cochez cette case, les options suivantes s'affichent :
Index offense based on
Dans la zone de liste, sélectionnez le paramètre sur lequel vous
souhaitez indexer la violation. La valeur par défaut est l'adresse IP
source.
Pour les règles d'événements, les options incluent l'adresse IP de
destination, l'adresse IPv6 de destination, l'adresse MAC de
destination, le port de destination, le nom de l'événement, le nom
d'hôte, le journal source, la règle, l'adresse IP source, l'adresse IPv6
source, l'adresse MAC source, le port source ou le nom
d'utilisateur.
Pour les règles de flux, les options incluent l'ID de l'application,
l'ASN de destination, l'adresse IP de destination, l'identité de
l'adresse IP de destination, le port de destination, le nom de
l'événement, règle, l'ASN source, l'adresse IP source, l'identité de
l'adresse IP source ou le port source.
Pour les règles communes, les options comprennent l'adresse IP de
destination, l'identité de l'adresse IP de destination, le port de
destination, la règle, l'adresse IP source, l'identité de l'adresse IP
source et le port source.
Include detected events by <index> from this point forward, for
second(s), in the offense
Cochez cette case puis entrez le nombre de secondes pendant
lesquelles vous souhaitez inclure les événements détectés par
<index> dans l'onglet Offenses. Cette zone indique le paramètre
sur lequel la violation est indexée. La valeur par défaut est
l'adresse IP source.
Offense Naming
Sélectionnez l'une des options suivantes :
This information should contribute to the name of the associated
offense(s)
Sélectionnez cette option si vous souhaitez que le nom
défini sous Event Name contribue au nom de la violation.
This information should set or replace the name of the associated
offense(s)
Sélectionnez cette option si vous souhaitez que le nom
défini sous Event Name corresponde au nom de la
violation.
This information should not contribute to the naming of the
associated offense(s)
Sélectionnez cette option si vous ne souhaitez pas que le
nom défini sous Event Name contribue au nom de la
violation.