Se gli eventi TIE vengono visualizzati in ePO ma non nell'interfaccia utente SIEM in cui altre origini dati ePO visualizzano gli eventi, potrebbe essere necessario modificare le impostazioni di autorizzazione per Argomenti TIE in ePO.

Le seguenti impostazioni devono essere riconfigurate se si dispone di:

• Aggiunto TIE a ePO.
• Impostazioni di autorizzazione modificate di recente in TIE.
• Interruzione della ricezione degli eventi TIE nel McAfee SIEM.

ePO deve consentire a TIE di comunicare gli eventi alla McAfee SIEM sul proprio argomento nel tessuto DXL. Se è possibile consultare gli eventi TIE nella console ePO ma nessuno di questi eventi viene segnalato a SIEM, è necessario configurare il Autorizzazioni per argomenti per TIE in ePO.

Procedura per impostare le autorizzazioni dell'argomento TIE in ePO

1. Accedere alla console ePO utilizzando il admin account.
2. Selezionare Impostazioni del server.
3. Selezionare Autorizzazioni per argomenti DXL dalla barra laterale.
4. Individuare il Notifica di reputazione server TIE gruppo di argomenti.
5. Verificare che il Ricevere colonna è Tutti i sistemi o un Tag specifico per SIEM Event Receiver (CER).
6. Se queste impostazioni non vengono visualizzate nella Notifica di reputazione server TIE gruppo di argomenti, fare clic su Modifica.
   1. Selezionare la casella di controllo accanto a Notifica di reputazione server TIE argomento.
   2. Utilizzare il Azioni menu e selezionare Limita tag di ricezione.
   3. Deselezionare tutto per consentire a tutti i sistemi di ricevere le notifiche o utilizzare un Tag specifico per SIEM Event Receiver (CER).
7. Selezionare Attività server ed eseguire il Gestisci broker DXL attività.
8. Eseguire il Attiva Agent attività in Receiver (CER) dalla console ePO.
9. Con una sessione SSH sul Receiver Event SIEM, riavviare il Receiver Servizi eseguendo NitroStop e NitroStart. È inoltre possibile provare a riavviare solo il servizio di raccolta eseguendo killall collectorsctl fino a quando il collectorsctl processo chiuso. Successivamente, riavviare il collectorsctl processo eseguendo collectorsctl -- +laux.
10. Attendere 10 – 15 minuti, quindi verificare che gli eventi TIE nell'interfaccia utente di SIEM siano visualizzati.

Procedura per impostare le autorizzazioni per l'argomento MAR in ePO

1. Accedere alla console ePO utilizzando il admin account.
2. Selezionare Impostazioni del server.
3. Selezionare Autorizzazioni per argomenti DXL dalla barra laterale.
4. Individuare il API Active Response server gruppo di argomenti.
5. Verificare che il Invia restrizioni e Ricevi restrizioni le colonne sono Tutti i sistemi o un Tag specifico per SIEM Event Receiver (ERC) selezionato.
6. Se queste impostazioni non vengono visualizzate nella API Active Response server gruppo di argomenti, fare clic su Modifica.
   1. Selezionare la casella di controllo accanto a API Active Response server argomento.
   2. Utilizzare il Azioni menu e selezionare Limita tag del ricevitore.
   3. Deselezionare tutto per consentire a tutti i sistemi di ricevere le notifiche o utilizzare un Tag specifico per SIEM Event Receiver (CER).
   4. Verificare che sia Invia restrizioni e Limitazioni del destinatario sono configurati correttamente.
7. Selezionare Attività server ed eseguire il Gestisci broker DXL attività.
8. Eseguire il Attiva Agent attività in Receiver (CER) dalla console ePO.
9. Con una sessione SSH sul Receiver Event SIEM, riavviare il Receiver Servizi eseguendo NitroStop e NitroStart. È inoltre possibile provare a riavviare solo il servizio di raccolta eseguendo killall collectorsctl fino a quando il collectorsctl processo chiuso. Successivamente, riavviare il collectorsctl processo eseguendo collectorsctl -- +laux.
10. Attendere 10 – 15 minuti, quindi verificare che gli eventi TIE nell'interfaccia utente di SIEM siano visualizzati.