Automatische Eskalationen

QRadar® -Administratoren können eine Regel konfigurieren, um Verstöße automatisch an SOARzu eskalieren. Die Eskalationsregeln können auf Wertigkeit, Angriffstyp oder anderen Kriterien basieren.

Wenn ein neuer Angriff in QRadarerstellt wird, wird eine Nachricht zu einer QRadar SOAR -Eingangswarteschlange hinzugefügt, die angibt, dass ein potenzieller Fallkandidat identifiziert wurde.

Wenn Eskalationsregeln im QRadar SOAR -Plug-inkonfiguriert werden, werden automatisierte Tasks im Hintergrund ausgeführt, um die Warteschlange zu überwachen und den eingehenden Angriff zu eskalieren, wenn er den Eskalationsbedingungen entspricht.

Die folgenden Platzhalterzeichen werden im Abgleichausdruck unterstützt:

Muster	Bedeutung
`*`	Gleicht alles ab.
`?`	Entspricht einem einzelnen Zeichen.
`[seq]`	Entspricht einem beliebigen Zeichen in der Folge.
`[!seq]`	Entspricht einem beliebigen Zeichen, das nicht in der Folge enthalten ist.

Wenn ein Angriff mehreren Eskalationsregeln entspricht, wird die erste übereinstimmende Regel verwendet.

Eine Abbildung, die die Tabelle in der Produktschnittstelle zum Definieren automatischer Eskalationsbedingungen zeigt. Jede Tabellenzeile definiert eine Regel, die das Angriffsfeld, den abzugleichenden Ausdruck und die zu verwendende Zuordnungsvorlage enthält. — Abb. 1. Beispiel für automatische Eskalationsbedingungen

Wenn ein Angriff die Eskalationskriterien erfüllt, sucht die App in SOAR nach einem offenen Fall, der zuvor mit derselben Angriffs-ID eskaliert wurde. Wenn keine gefunden wird, wird ein neuer Fall erstellt. Auf diese Weise werden neue Angriffe automatisch und kontinuierlich neuen SOAR -Fällen zugeordnet.

Wichtig: Automatische Eskalationen erfolgen nur für QRadar, die nach der Installation der QRadar SOAR erstellt werden. Wenn eine neue Domäne erstellt wird, müssen Administratoren die App-Verbindung zurücksetzen, damit die automatische Angriffserweiterung für die neu hinzugefügte Domäne funktioniert. Weitere Informationen finden Sie unter Fehlerbehebung IBM QRadar SOAR Plug-in-App.

Wenn Unterstützung mehrerer Organisationen aktiviert ist, gelten automatische Eskalationsregeln für alle zugeordneten QRadar -Domänen. Die Domäneninformationen eines Angriffs werden verwendet, um nach der zugeordneten Organisation in SOARzu suchen. Wenn eine zugeordnete Organisation nicht gefunden wird, wird der Angriff nicht eskaliert, auch wenn eine automatische Eskalationsbedingung erfüllt ist.

Die Feldzuordnung zwischen dem Angriff und dem Fall wird durch eine Zuordnungsvorlage definiert. Die Vorlage bestimmt automatisch den Falltyp, die zugewiesenen Gruppen und alle anderen Fallfelder. Jede Falleskalationsregel kann eine andere Schablone verwenden. Weitere Informationen zur Verwendung von Vorlagen für die Zuordnung von Feldern finden Sie unter Vorlagenzuordnung.