Sie können beim Erstellen neuer Regeln Zeit einsparen, indem Sie vorhandene Regeln kopieren. Anschließend können Sie die kopierten Regeln an die Anforderungen Ihrer Umgebung anpassen. Beispielsweise verfügen Sie über mehrere Regeln, die über die zugehörigen Tests einer Domäne zugeordnet sind, die aber einer anderen Domäne zugeordnet werden sollen. Statt jede Regel einzeln für die zweite Domäne zu kopieren, können Sie die Regeln im Stapelmodus duplizieren.
Vorgehensweise
- Klicken Sie auf der Seite Use Case Explorer auf das Symbol Ungroup table rows , um die Gruppierung der Tabellenspalten des Berichts aufzuheben, wenn sich der Bericht im gruppierten Modus befindet.
Tipp: Verwenden Sie einen der Filter, z. B. den Regelnamen, die Taktik oder das Verfahren, um die Regel zu suchen, die Sie kopieren möchten, oder suchen Sie mithilfe eines regulären Ausdrucks. Sie können auch den Filter
Gruppe verwenden, um die Gruppe auszuwählen, die durchsucht werden soll, beispielsweise zur Authentifizierung oder Konformität.
Wenn Sie nach Text in Klammern suchen, verwenden Sie den umgekehrten Schrägstrich im regulären Ausdruck. Beispiel:
Multiple Login Failures from the Same Source
\(Windows)\.
- Klicken Sie in der Berichtstabelle auf das Stiftsymbol, um Kontrollkästchen für jede Tabellenzeile anzuzeigen.
- Wählen Sie das Kontrollkästchen für jede Regel aus, die Sie kopieren möchten, und klicken Sie auf Duplizieren.
Wichtig: Informationen zur Regelgruppierung werden in neuen Regeln nicht dupliziert.
- Ändern Sie den Namen der neuen Regel in einen aussagekräftigen Namen für Ihr Unternehmen.
- Klicken Sie auf Speichern , um den Status der Duplizierung vor dem Schließen des Fensters anzuzeigen, oder klicken Sie auf Speichern und schließen.
Nächste Schritte
Wählen Sie auf der Seite Use Case Explorer eine duplizierte Regel aus und bearbeiten Sie sie im QRadar® -Regelassistenten.