MITRE-Zuordnungen in einer Regel oder in einem Baustein bearbeiten

Erstellen Sie Ihre eigene Regel und logischen Baustein oder ändern Sie IBM® QRadar®-Standardzuordnungen, um Ihre angepassten Regeln und logische Bausteine nach bestimmten Taktiken und Techniken zu ordnen.

1. Wählen Sie im Berichtsabschnitt der Seite Use Case Explorer die relevante Regel aus.
   Tipp: Führen Sie eine Filterung nach Regelname, Taktik oder Technik durch, um die Regel zu finden, die Sie bearbeiten möchten, oder führen Sie eine Suche mithilfe eines regulären Ausdrucks aus. Wenn Sie nach Text in Klammern suchen, verwenden Sie den umgekehrten Schrägstrich im regulären Ausdruck. Beispiel: Multiple Login Failures from the Same Source \(Windows)\.

   

   Sie können auch den Filter Gruppe verwenden, um die Gruppe auszuwählen, die durchsucht werden soll, beispielsweise zur Authentifizierung oder Konformität.

2. Klicken Sie auf der Seite Regeln untersuchen auf das Stiftsymbol im Abschnitt MITRE ATT & CK .
3. Auf der Seite MITRE ATT&CK Mappings können Sie die Optionen für die Regelzuordnung anpassen, indem Sie entweder neue Taktiken hinzufügen oder bestehende bearbeiten.
   Tipp: Auf der Seite MITRE ATT&CK-Mappings werden nur die Mappings angezeigt, die sich direkt auf eine Regel beziehen. Im Abschnitt mit den Regeldetails auf der Seite Regeln überprüfen oder auf der Seite Use Case Explorer können Sie Zuordnungen anzeigen, die die Regel von den zugehörigen Abhängigkeiten übernommen hat.
   1. Wenn Sie Taktiken mit der Regel oder dem Baustein hinzufügen oder entfernen möchten, klicken Sie auf das Pluszeichen, wählen die entsprechenden Taktiken aus und klicken anschließend auf Anwenden.
   2. Wenn Sie Techniken für eine Taktik hinzufügen oder entfernen möchten, klicken Sie für die Taktik auf das Pluszeichen, wählen die entsprechenden Techniken aus und klicken anschließend auf Anwenden.
   3. Klicken Sie zum Hinzufügen oder Entfernen von Unterverfahren für ein Verfahren auf das Pluszeichen für das Verfahren, wählen Sie die entsprechenden Unterverfahren aus und klicken Sie anschließend auf Anwenden.
      Untertechniken werden durch einen Punkt in der ID gekennzeichnet, wie z. B. "T1003.002 Security Account Manager".
   4. Wenn Sie die Taktik und Technik in die Berechnung der Heat-Map einschließen möchten, lassen Sie das Kontrollkästchen Aktivieren ausgewählt.
   5. Wählen Sie die Vertraulichkeitsstufe für jede Taktik aus und klicken Sie auf Speichern. Sie müssen eine Vertraulichkeitsstufe festlegen, da Sie die Zuordnung andernfalls nicht speichern können.
   6. Wenn Sie auf die Standardzuordnungen für IBM wiederherstellen möchten, klicken Sie in den Spalten Taktiken oder Techniken auf das Symbol Zurücksetzen.
4. Nachdem Sie die Anpassungen Ihrer Zuordnungen abgeschlossen haben, klicken Sie auf Speichern oder Speichern und schließen, um zur Seite Use Case Explorer zurückzukehren.
5. Um die Beziehungen zwischen den Regeln und den zugehörigen Abhängigkeiten im Regelbericht anzuzeigen, gehen Sie folgendermaßen vor:
   1. Klicken Sie in der Menüleiste für den Regelbericht auf das Zahnradsymbol und fügen Sie dem Bericht die Spalte Zuordnungsquelle hinzu.
      Tipp: Suchen Sie im Fenster oder blättern Sie im Fenster abwärts, um die Spalte zu finden.
   2. Fügen Sie die Spalte Taktik oder die Spalte Taktik (nur auf Regelebene) hinzu.
      In der Spalte Taktik werden alle Taktiken angezeigt, die der Regel direkt zugeordnet sind, einschließlich der Zuordnungen zu Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

      In der Spalte Taktik (nur auf Regelebene) werden nur die Taktiken angezeigt, die der Regel direkt zugeordnet sind, ausschließlich der Abhängigkeiten von Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

   3. Fügen Sie die Spalte Technik oder die Spalte Technik (nur auf Regelebene) hinzu.
      In der Spalte Technik werden alle Techniken angezeigt, die der Regel direkt zugeordnet sind, einschließlich der Zuordnungen zu Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

      In der Spalte Technik (nur auf Regelebene) werden nur die Techniken angezeigt, die der Regel direkt zugeordnet sind, ausschließlich der Abhängigkeiten von Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

   4. Fügen Sie die Spalte Untertechnik oder die Spalte Untertechnik (nur auf Regelebene) hinzu.
      In der Spalte Untertechnik werden alle Untertechniken angezeigt, die der Regel direkt zugeordnet sind, einschließlich der Zuordnungen zu Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

      In der Spalte Untertechnik (nur auf Regelebene) werden alle Untertechniken angezeigt, die der Regel direkt zugeordnet sind, ausschließlich der Abhängigkeiten von Bausteinen und Regeln in der Liste mit den Regelabhängigkeiten.

   5. Ziehen Sie im Abschnitt Ausgewählte Spalten des Fensters die Spalten in der Reihenfolge, in der sie im Bericht angezeigt werden sollen, und klicken Sie auf Anwenden.