Lücken in der QRadar -Regelabdeckung aus Inhaltserweiterungen ermitteln

Inhaltserweiterungen aktualisieren IBM® QRadar® -Sicherheitsinformationen oder fügen neue Inhalte wie Regeln, Berichte, Suchen, Referenzsets und angepasste Eigenschaften hinzu. Filtern Sie den Regelbericht nach Inhaltserweiterungen, um zu sehen, wie Sie die Regelabdeckung für Protokollquellen oder MITRE-Taktiken und -Verfahren in Ihrer Umgebung erhöhen können, indem Sie Inhaltserweiterungen aus dem IBM Security App Exchangeinstallieren.

1. Wechseln Sie auf der Seite Anwendungsfallexplorer zu den Filtern im Abschnitt Inhaltserweiterungsattribute . Standardmäßig filtert die App QRadar Use Case Manager die installierten Inhaltserweiterungen in Ihrer Umgebung.
   1. Wählen Sie das Kontrollkästchen Nicht installierte Inhaltserweiterungen einschließen aus, um von IBMerstellte Inhaltserweiterungen, die nicht in Ihrer Umgebung installiert sind, in Ihre Suche einzuschließen.
   2. Um nur die Inhaltserweiterungen zu filtern, die nicht in Ihrer Umgebung installiert sind, wählen Sie Nicht installierte Inhaltserweiterungen einschließen und anschließend Nur nicht installierte Inhaltserweiterungen einschließenaus.
2. Sie können das Filtern nach dem Namen einer bestimmten Inhaltserweiterung aus einer Liste der aktuell installierten Erweiterungen oder der noch nicht in Ihrer Umgebung installierten Erweiterungen vornehmen.
3. Filtern nach bestimmten Inhaltserweiterungskategorien aus dem IBM Security App Exchange.
4. Fügen Sie bei Bedarf die folgenden Spalten zum Regelbericht hinzu: Inhaltserweiterung: Inhaltserweiterungsname, Inhaltserweiterung: Inhaltskategorieund Regelattribute: Regel installiert. Wenn die Spalten nicht sofort im Bericht angezeigt werden, heben Sie die Gruppierung der Tabellenzeilen auf.
   Tipp: Inhaltserweiterungen im Bericht, die nicht in Ihrer Umgebung installiert sind, werden in der Spalte Regelname durch ein Symbol Fehlender Inhalt gekennzeichnet. Bewegen Sie den Mauszeiger über jedes Symbol, um zu sehen, welche Inhaltserweiterung die fehlenden Regeln bereitstellen kann.

   
5. Wenn Sie Einzelheiten zu einer Regel anzeigen möchten, die aktuell nicht installiert ist, klicken Sie auf den Namen der Regel. Beim Untersuchen der Regeldetails können Sie ermitteln, ob die Regel zu einer wichtigen Abdeckung in Ihrer Umgebung beitragen kann, und Sie können die Inhaltserweiterung mit der entsprechenden Regel anschließend herunterladen.
6. Um die Gruppierung der Tabellenzeilen anzupassen, klicken Sie auf das Pfeilsymbol Gruppierung konfigurieren im Symbol für die Baumstruktur ().
   1. Wählen Sie die Spalten aus, die Sie gruppieren möchten, indem Sie das entsprechende Kontrollkästchen aktivieren. Es werden nur gruppierbare Spalten, die aktuell im Bericht aufgeführt sind, in der Reihenfolge angezeigt, in der sie im Bericht erscheinen.
      Wenn Sie Ihre Auswahl treffen, wird im Fenster Configure options for grouping rows (Optionen für die Gruppierung von Zeilen konfigurieren) gezeigt, wie der Bericht aussehen könnte.
   2. Wenn im Bericht nur die Anzahl der untergeordneten Zeilen angezeigt werden soll, wählen Sie das entsprechende Kontrollkästchen aus.
   3. Treffen Sie Ihre Auswahl und klicken Sie anschließend auf Anwenden.
7. Klicken Sie zum Herunterladen der Inhaltserweiterung auf den Link in der Spalte Name der Inhaltserweiterung , um zur Seite der Erweiterung in IBM Security App Exchangezu wechseln. Wenn die App IBM QRadar Assistant 2.0.0 in Ihrer QRadar -Implementierung installiert ist, können Sie die Inhaltserweiterung von dort herunterladen.
8. Um die Berichtsergebnisse zu löschen, klicken Sie auf Filter löschen, wählen Sie im linken Teilfenster neue Filter aus, und klicken Sie anschließend auf Filter anwenden, um neue Ergebnisse anzuzeigen.