本文介绍有关需要从 ePO 将 TIE 事件发送到 McAfee SIEM 所需权限的相关信息。

如果在 ePO 中显示了 TIE 事件，而不是在其他 ePO 数据来源显示事件所在的 SIEM 用户界面中显示，则您可能需要在 ePO 中为TIE 主题编辑权限设置。

如果您拥有以下设置，则必须进行重新配置：

• 已将 TIE 添加到 ePO。
• TIE 中最近更改的权限设置。
• 已停止在 McAfee SIEM 中接收 TIE 事件。

ePO 必须允许 TIE 将事件与 McAfee SIEM 在 DXL 结构中自己的主题进行通信。 如果您可以在 ePO 控制台中查看 TIE 事件，但这些事件都不会报告给 SIEM，则您需要在 ePO 中为 TIE 配置主题权限。

在 ePO 中设置 TIE 主题权限的步骤

1. 使用 admin 帐户登录 ePO 控制台。
2. 选择服务器设置。
3. 从侧边栏选择DXL 主题授权。
4. 找到TIE 服务器信誉通知主题组。
5. 验证接收列具有所有系统或特定于 SIEM 事件接收器 (ERC) 的标记。
6. 如果这些设置未显示在TIE 服务器信誉通知主题组，请单击编辑。
   1. 选中TIE 服务器信誉通知主题旁边的复选框。
   2. 使用操作菜单，然后选择限制接收标记。
   3. 取消选择所有内容以允许所有系统获取通知或使用特定于 SIEM 事件接收器 (ERC) 的标记。
7. 选择服务器任务并运行管理 DXL 代理任务。
8. 在 ePO 控制台的接收器 (ERC) 上执行唤醒代理任务。
9. 通过 SIEM 事件接收器上的 SSH 会话，通过运行 NitroStop 和 NitroStart 重新启动接收器服务。 您还可以通过运行killall collectorsctl直到collectorsctl进程关闭，来尝试仅重新启动收集器服务。 下一步，通过运行 collectorsctl -- +laux重新启动collectorsctl进程。
10. 等待 10–15 分钟，然后验证 SIEM GUI 中的 TIE 事件是否已显示。

在 ePO 中设置 MAR 主题权限的步骤

1. 使用 admin 帐户登录 ePO 控制台。
2. 选择服务器设置。
3. 从侧边栏选择DXL 主题授权。
4. 找到Active Response 服务器 API主题组。
5. 验证发送限制和接收限制列具有所有系统或一个特定于选定的 SIEM 事件接收器 (ERC) 的标记。
6. 如果这些设置未显示在Active Response 服务器 API主题组，请单击编辑。
   1. 选中Active Response 服务器 API主题旁边的复选框。
   2. 使用操作菜单，然后选择限制接收标记。
   3. 取消选择所有内容以允许所有系统获取通知或使用特定于 SIEM 事件接收器 (ERC) 的标记。
   4. 确认发送限制和接收器限制已正确配置。
7. 选择服务器任务并运行管理 DXL 代理任务。
8. 在 ePO 控制台的接收器 (ERC) 上执行唤醒代理任务。
9. 通过 SIEM 事件接收器上的 SSH 会话，通过运行 NitroStop 和 NitroStart 重新启动接收器服务。 您还可以通过运行killall collectorsctl直到collectorsctl进程关闭，来尝试仅重新启动收集器服务。 下一步，通过运行collectorsctl -- +laux重新启动collectorsctl进程。
10. 等待 10–15 分钟，然后验证 SIEM GUI 中的 TIE 事件是否已显示。