Eskalationsworkflow konfigurieren

Sie können Angriffe automatisch eskalieren oder manuell in IBM® QRadar®eskalieren.

Vorbereitende Schritte

Automatische Eskalationen werden bei der Erstinstallation der Anwendung für neue und vorhandene offene Angriffe in QRadar ausgeführt.

Wichtig: Wenn Sie keinen Fall für alle offenen Angriffe erstellen möchten, die den Eskalationskriterien entsprechen, schließen Sie alle offenen Angriffe, die den Eskalationskriterien entsprechen, bevor Sie die automatische Eskalation aktivieren.

Informationen zu dieser Task

Auf der Registerkarte Eskalation können Sie konfigurieren, wie Angriffe an SOARgesendet werden.

Vorgehensweise

  1. Klicken Sie auf der Registerkarte QRadar Admin im Abschnitt IBM QRadar SOAR Plugin auf Konfiguration.
  2. Konfigurieren Sie auf der Registerkarte Eskalationen die Einstellungen.
    1. Wählen Sie im Abschnitt Vorlagendateien die zu verwendende Vorlage aus.

      Die Vorlage gibt an, wie die Felder aus dem QRadar -Angriff den SOAR -Fallfeldern zugeordnet werden sollen.

      Weitere Informationen finden Sie unter Vorlagenzuordnung.

    2. Geben Sie im Abschnitt Ignorierte Artefakte die Referenzsets an, die IP-Adressen enthalten, die Sie zum Erstellen von Artefakten nicht verwenden wollen.

      Sie können beispielsweise alle IP-Adressen interner Systeme zu einem Referenzset hinzufügen und dann dieses Referenzset verwenden, um eine Ignorierungsliste für die Artefakterstellung zu erstellen.

      Weitere Informationen zum Referenzieren ignorierter Artefakte finden Sie unter Fallartefaktzuordnung.

    3. Wählen Sie im Abschnitt Eskalationen ein Artefaktlimit aus.

      Jedes Mal, wenn ein Fall erstellt oder aktualisiert werden muss, wird die Anzahl der an SOAR gesendeten Artefakte durch das Artefaktlimit begrenzt. Die Begrenzung gilt getrennt für die Quell- und Ziel-IP-Adress-Artefakte. Der Standardwert ist 20. Wenn sich die Daten einer Aktualisierung mit den vorhandenen IP-Artefakten in SOAR überschneiden, werden möglicherweise weniger als die Höchstzahl gesendet.

    4. Wählen Sie im Abschnitt Eskalationen die Option Anzahl der Artefakt-Threads.

      Diese Einstellung legt die maximale Anzahl der gleichzeitigen Anfragen fest, die das Plugin zur Aktualisierung eines Falls in SOAR stellt. Wenn Artefakt-Playbooks zur Aktualisierung des Fallobjekts verwendet werden, sollte dieser Wert auf 1 gesetzt werden.

    5. Wählen Sie im Abschnitt Eskalationen die Option Maximale Anzahl von Artefakten pro Nutzlast.

      Diese Einstellung legt die maximale Anzahl von Artefakten fest, die für jede Fallaktualisierungs-Nutzlast zulässig sind.

      Das Plugin stellt eine Reihe von Anfragen an SOAR, um die Artefakte zu einem Fall hinzuzufügen. Jeder Request-Payload enthält höchstens die "Maximale Anzahl von Artefakten pro Payload" Artefakte. Kleinere Werte sind vorzuziehen.

    6. Fügen Sie im Abschnitt Bedingungen für automatische Eskalation eine Eskalationsregel hinzu, indem Sie die Regelbedingungen und die zu verwendende Schablone angeben.

      Bei Angriffsfeldern mit ganzzahligen Werten (z. B. Wertigkeit, Ausmaß, Zuverlässigkeit und Geräteanzahl) wird die Regel mit dem exakten Wert abgeglichen, den Sie im Feld Wertabgleichsausdruck angeben.

      Weitere Informationen über die Funktionsweise der automatischen Eskalation finden Sie unter Automatische Eskalation.

    7. Wählen Sie im Abschnitt Zusätzliche Eskalationsoptionen die Option Aktualisierungen von Verstößen zulassen, um SOAR-Fälle zu erstellen.
      Mit dieser Option wird jede Aktualisierungsnachricht, die keinen passenden SOAR-Fall in QRadar findet, als eine case_create -Anfrage angesehen.
    8. Wählen Sie im Abschnitt Modus für manuelle Eskalation die Methode zum Erstellen von Fällen aus.
      Wichtig: Wenn Unterstützung für mehrere Organisationen aktiviert ist, gilt diese Einstellung für alle QRadar -Domänen.
      • Wählen Sie Vorfälle sofort nach Eskalation erstellen , um den Angriff direkt an SOARzu senden.
      • Wählen Sie Vorfälle vor Eskalation prüfen aus, um die Falldetails zu überprüfen, bevor der Angriff in SOAReskaliert wird.

        Bei dieser Option werden IP-Adress-IDs während der Fallerstellung nicht als Artefakte konvertiert. Wenn im folgenden Aktualisierungszyklus IP-Adressen für die Konvertierung von IDs vorhanden sind, werden sie als Artefakte bis zum benutzerdefinierten Grenzwert zugeordnet.

      Bei beiden Optionen wird der Fall erstellt und kann in SOARbearbeitet werden.

  3. Klicken Sie auf Speichern.
    Sie müssen die Konfiguration speichern, um die Eskalationsregeln zu QRadarhinzuzufügen.
  4. Klicken Sie auf Verify and Configure.

Nächste Schritte

Konfigurieren Sie die Optionen auf der Registerkarte Vorgaben . Weitere Informationen finden Sie unter Benutzerdefinierte Aktionen.