Geplanter Suchvorgang

Mit der Option 'Geplanter Suchvorgang' können Sie eine Suche planen und die Ergebnisse anzeigen.

Sie können eine Suche planen, damit sie tagsüber oder nachts zu einem bestimmten Zeitpunkt ausgeführt wird. Wenn Sie eine Suche für die Ausführung in der Nacht planen, können Sie die Ergebnisse am Morgen überprüfen. Im Gegensatz zu Berichten können Sie die Suchergebnisse gruppieren und weiter untersuchen. Sie können die Anzahl der fehlgeschlagenen Anmeldungen in Ihrer Netzgruppe suchen. Wenn das Ergebnis normalerweise 10 ist und Sie als Ergebnis der Suche 100 erhalten, können Sie die Suchergebnisse für eine vereinfachte Überprüfung gruppieren. Sie können eine Gruppierung nach Benutzername vornehmen, um herauszufinden, bei welchem Benutzer die Anmeldung am häufigsten fehlschlug. Sie können dann die weitere Überprüfung fortsetzen.

Sie können die Suche in Ereignissen oder Datenflüssen auf der Registerkarte Berichte planen. Sie müssen eine zuvor gespeicherte Gruppe von Suchkriterien für die Zeitplanung auswählen.

  1. Bericht erstellen

    Geben Sie im Fenster Berichtsassistent die folgenden Informationen ein:

    • Der Diagrammtyp lautet Ereignisse/Protokolle oder Datenflüsse.
    • Der Bericht basiert auf einer gespeicherten Suche.
      Hinweis: QRadar unterstützt keine Berichte, die auf AQL-Suchen basieren, die Subselect-Anweisungen enthalten.
    • Angriff generieren

      Sie können die Option Einen individuellen Angriff generieren oder die Option Ergebnis zu einem bestehenden Angriff hinzufügen auswählen.

      Sie können auch eine manuelle Suche generieren.

  2. Suchergebnisse anzeigen
Sie können die Ergebnisse Ihrer geplanten Suche auf der Registerkarte Angriffe anzeigen.
  • Angriffe in geplanten Suchvorgängen werden in der Spalte Angriffstyp angegeben.

    Wenn Sie einen individuellen Angriff erstellen, wird bei jeder Ausführung des Berichts ein Angriff generiert. Wenn Sie das Ergebnis der gespeicherten Suche einem vorhandenen Angriff hinzufügen, wird bei der ersten Ausführung des Berichts ein Angriff erstellt. Nachfolgende Berichtsausführungen werden an diesen Angriff angehängt. Wenn keine Ergebnisse zurückgegeben werden, hängt das System keinen Angriff an oder erstellt keinen Angriff.

  • Um das aktuellste Suchergebnis im Fenster Zusammenfassung des Angriffs anzuzeigen, klicken Sie in der Liste der Angriffe doppelt auf einen Angriff eines geplanten Suchvorgangs. Um die Liste aller Ausführungen geplanter Suchvorgänge anzuzeigen, klicken Sie im Fenster Last 5 Search Results (Letzte 5 Suchergebnisse) auf Suchergebnisse.

Sie können den Angriff eines geplanten Suchvorgangs einem Benutzer zuweisen.