Watson nach einzelnen Indikatortypen durchsuchen

Suchen Sie in Watson nach Informationen und Angaben zu einem einzelnen Indikatortyp.

Vorbereitende Schritte

Sie müssen über QRadar® -Administratorberechtigungen verfügen, um in allen Domänen zu suchen und andere Benutzerrollen zu erstellen und Domänen zuzuordnen.

Klicken Sie auf Suchen Watson , um eine Suche zu starten.

Tipp: Das Symbol Suche Watson befindet sich neben dem Symbol QRadar Hub .

Tipp: In der Benutzerschnittstelle für dunkle Themen (2.6.0) befindet sich die Schaltfläche Suchen Watson auf der Seite Watson Untersuchungen .

1. Klicken Sie auf Watson suchen Watson , um das Fensterbereich Watson zu öffnen.
2. Zum Starten einer Schnellsuche können Sie einen der folgenden Indikatortypen in das Feld Schnellsuche mit Einzelindikator eingeben:
   • URL
   • Domäne
   • IP-Adresse - IP-Adressen im privaten IP-Bereich, Google DNS und openDNS-IP-Adressen werden nicht unterstützt.
   • Hash - unterstützte Hash-Typen sind MD5, SHA1, SHA256 und ssdeep.
   Tipp : Um Ihre Suche auf eine URL zu beschränken, geben Sie url: und die URL ein, die Sie durchsuchen möchten, wie im folgenden Beispiel: url:ibm.com. Um die Suche auf eine Domäne zu beschränken, geben Sie domain: und die Domäne, die Sie durchsuchen möchten, wie im folgenden Beispiel ein: domain:ibm.com.
   Ihre Suche gibt Informationen zurück, die sich auf den Indikatortyp beziehen.
3. Klicken Sie auf Create Investigation(Untersuchung erstellen), um eine umfassende Suche in Ihrer lokalen QRadar -Instanz und Watsonfortzusetzen.
   
4. Legen Sie das Datum und die Uhrzeit des Zeitrahmens für den lokalen Kontext fest, um überwachbare Objekte in Ihrem lokalen QRadar zu untersuchen, die während des ausgewählten Zeitrahmens erkannt wurden.
5. Wählen Sie eine oder mehrere Domänen aus. Wenn Sie mehr als eine Domäne auswählen, ist die Untersuchung auf die Ereignisse beschränkt, die von den ausgewählten Domänen stammen. Jede Domäne, die Sie auswählen, erstellt eine separate Untersuchung auf der Seite Übersicht über die Vorfälle. Jede Domäne, die Sie für die Untersuchung auswählen, belastet Ihr Tageskontingent.
   Tipp:

   Um den Multi-Tenant-Aspekt der Suche zu verwenden, müssen Sie verschiedene Domänen mit Benutzerrollen und Tenants erstellen, um diese Domäne in QRadar zu belegen. Weitere Informationen finden Sie unter Multi-Tenant-Management.

   Nachdem Sie Domänen erstellt haben, können Sie anderen Benutzern Zugriff auf QRadar Advisor with Watson in Benutzerrollen in QRadarerteilen. Die zugeordneten Benutzer können dann Suchen durchführen, indem sie sich an einer anderen Domäne anmelden.

6. Klicken Sie auf Starten , um die Untersuchung auszuführen. Die Untersuchung kann einige Minuten dauern, bis die Ergebnisse zurückgegeben werden.
   
7. Klicken Sie auf die abgeschlossene Untersuchung auf der Seite Watson -Untersuchungen , um die Ergebnisse der Analyse anzuzeigen.
8. Klicken Sie auf Diagramm der Beziehungen , um die Ergebnisse im Beziehungsdiagramm anzuzeigen.
9. Wenn etwas geändert wurde, klicken Sie auf Erneut untersuchen , um eine weitere Untersuchung zu starten.
   Eine erneute Untersuchung belastet Ihr Tageskontingent.