Anomalieerkennungsregel erstellen

Anomalieerkennungsregeln testen das Ergebnis gespeicherter Datenfluss- oder Ereignissuchen, um zu ermitteln, ob es in Ihrem Netz zu ungewöhnlichen Datenverkehrsmustern kommt. Verhaltensregeln testen Ereignis- und Datenflussverkehr den "saisonalen" Datenverkehrsniveaus und Trends entsprechend. Schwellenwertregeln prüfen, ob die Aktivität des Ereignis- und Datenflussverkehrs geringer, gleich groß oder größer als ein konfigurierter Schwellenwert ist oder innerhalb eines angegebenen Bereichs liegt.

1. Klicken Sie auf die Registerkarte Protokollaktivität oder Netzaktivität .
2. Führen Sie eine zusammengefasste Suche durch.

   Sie können eine Eigenschaft zu Gruppieren nach: bei einer neuen Langzeitsuche hinzufügen oder eine Eigenschaft aus der Liste Anzeige auf der aktuellen Suchseite auswählen.

3. Klicken Sie auf der Suchergebnisseite auf Konfigurieren und konfigurieren Sie dann die folgenden Optionen:
   1. Wählen Sie in der Liste Wert für Diagramm eine Eigenschaft aus.
   2. Wählen Sie Zeitreihe als Diagrammtyp in der Liste Wert zu Diagramm aus
   3. Aktivieren Sie das Kontrollkästchen Zeitreihendaten erfassen .
   4. Klicken Sie auf Speichernund geben Sie einen Namen für Ihre Suche ein.
   5. Klicken Sie auf OK.
   6. Wählen Sie die letzten 5 Minuten aus der Liste Zeitraum aus, während Sie auf das Laden des Zeitreihendiagramms warten.
   Sie müssen über Zeitreihendaten für die in der Liste Wert zu Diagramm ausgewählte Eigenschaft verfügen, um einen Regeltest für die kumulierte Eigenschaft auszuführen.
4. Wählen Sie im Menü Regeln den zu erstellenden Regeltyp aus.
   • Anomalieregel hinzufügen
   • Schwellenwertregel hinzufügen
   • Verhaltensregel hinzufügen
5. Geben Sie auf der Seite Editor für Regelteststack im Feld Hier Regelnamen eingeben einen eindeutigen Namen ein, den Sie dieser Regel zuordnen wollen.
6. Um Ihre Regel mithilfe des Standardtests anzuwenden, wählen Sie die erste Regel in der Liste Testgruppe der Anomalie aus.

   Unter Umständen müssen Sie für den Parameter für die kumulierte Eigenschaft die Eigenschaft festlegen, die Sie in der in den Suchkriterien gespeicherten Liste Wert zu Diagramm ausgewählt haben. Wenn Sie das Ergebnis früher sehen möchten, legen Sie einen niedrigeren Prozentsatz wie z. B. 10% fest. Ändern Sie die Angabe Letzte 24 Stunden und legen Sie einen kürzeren Zeitraum, beispielsweise 1 Stunde, fest. Da bei der Anomalieerkennung Tests für zusammengefasste Felder in Echtzeit durchgeführt werden, um Sie über anormale Netzaktivität zu benachrichtigen, möchten Sie möglicherweise die Zahl der Ereignisse oder Datenflüsse in Ihrem Netzverkehr erhöhen oder senken.

7. Fügen Sie einen Test zu einer Regel hinzu.
   1. Geben Sie zum Filtern der Optionen in der Liste Testgruppe den Text, nach dem gefiltert werden soll, in das Feld Filtertyp ein.
   2. Wählen Sie in der Liste Testgruppe den Testtyp aus, den Sie zu dieser Regel hinzufügen wollen.
   3. Optional: Um einen Test als ausgeschlossenen Test zu kennzeichnen, klicken Sie am Anfang des Tests im Teilfenster "Regel" auf und . und werden als und nicht alsangezeigt.
   4. Klicken Sie auf die unterstrichenen konfigurierbaren Parameter, um die Variablen des Tests anzupassen.
   5. Wählen Sie im Dialogfeld Werte für die Variable aus und klicken Sie dann auf Übergeben.
8. Inaktivieren Sie Den Wert [Ausgewählte kumulierte Eigenschaft] jeder [Gruppe] separat testen, um die insgesamt ausgewählten kumulierten Eigenschaften für jedes Ereignis oder jede Datenflussgruppe zu testen.
9. Aktivieren Sie im Fenster 'Gruppen' die Gruppen, denen Sie diese Regel zuweisen möchten.
10. Geben Sie im Feld Hinweise alle Hinweise ein, die Sie für diese Regel einschließen möchten. Klicken Sie anschließend auf Next.
11. Konfigurieren Sie auf der Seite Regelantworten die Antworten, die diese Regel generieren soll.
    Weitere Informationen zu Parametern der Seite 'Regelantwort' für Anomalieerkennungsregeln:

    Die folgende Tabelle enthält die Parameter der Seite Regelantwort, wenn der Regeltyp "Anomalie" lautet.

    Tabelle 1. Parameter der Seite "Regelantwort" zur Anomalieerkennung

    Parameter	Beschreibung
    Neues Ereignis senden	Gibt an, dass diese Regel mit dem ursprünglichen Ereignis oder Datenfluss ein neues Ereignis sendet, das wie alle anderen Ereignisse im System verarbeitet wird. Dieses Kontrollkästchen ist standardmäßig ausgewählt. Diese Auswahl kann nicht aufgehoben werden.
    Benennung des Angriffs	Wenn die Informationen zum Ereignisnamen den Namen des Angriffs ergänzen sollen, wählen Sie die Option Diese Informationen sollten den Namen des zugeordneten Angriffs ergänzen aus. Wenn der konfigurierte Ereignisname der Name des Angriffs sein soll, wählen Sie die Option Diese Informationen sollten den Namen des zugeordneten Angriffs festlegen oder ersetzen aus. Hinweis: Nachdem Sie den Namen des Angriffs ersetzt haben, ändert sich der Name erst, wenn der Angriff geschlossen wird. Ist ein Angriff beispielsweise mehreren Regeln zugeordnet, wobei jedoch die Regel, durch die der Name des Angriffs überschrieben wird, durch das zuletzt erfolgte Ereignis nicht ausgelöst wird, so wird der Angriffsname durch dieses Ereignis nicht aktualisiert. Stattdessen wird als Angriffsname weiterhin der durch die Überschreibungsregel festgelegte Name verwendet.
    Schweregrad	Der Schweregrad, den Sie dem Ereignis zuweisen möchten. Der Bereich ist 0 (niedrigster Wert) bis 10 (höchster Wert) und der Standardwert beträgt 5. Der Schweregrad wird im Teilfenster "Anmerkungen" der Ereignisdetails angezeigt.
    Zuverlässigkeit	Die Zuverlässigkeit, die Sie der Protokollquelle zuweisen möchten. Hier kann es beispielsweise darum gehen, ob die Protokollquelle zu viele redundante Informationen enthält oder zu kostenintensiv ist. Wählen Sie über die Listenfelder die Zuverlässigkeit des Ereignisses aus. Der Bereich ist 0 (niedrigster Wert) bis 10 (höchster Wert) und der Standardwert beträgt 5. Die Zuverlässigkeit wird im Teilfenster "Anmerkungen" der Ereignisdetails angezeigt.
    Relevanz	Die Relevanz, die Sie der Gewichtung des Assets zuweisen möchten. Hier kann es beispielsweise darum gehen, wie wichtig das Asset für Sie ist. Wählen Sie über die Listenfelder die Relevanz des Ereignisses aus. Der Bereich ist 0 (niedrigster Wert) bis 10 (höchster Wert) und der Standardwert beträgt 5. Die Relevanz wird im Teilfenster "Anmerkungen" der Ereignisdetails angezeigt.
    Stellen Sie sicher, dass das gesendete Ereignis Teil eines Angriffs ist.	Als Ergebnis dieser Regel wird das Ereignis an den Magistrat weitergeleitet. Ist ein Angriff vorhanden, wird dieses Ereignis hinzugefügt. Wenn auf der Registerkarte "Angriffe" kein Angriff erstellt wurde, wird ein neuer Angriff erstellt.
    Benachrichtigen	Die infolge dieser Regel generierten Ereignisse werden auf der Registerkarte Dashboard unter "Systembenachrichtigungen" angezeigt. Wenn Sie Benachrichtigungen aktivieren, konfigurieren Sie den Parameter Antwortbegrenzer.
    An lokales Systemprotokoll senden	Aktivieren Sie dieses Kontrollkästchen, wenn das Ereignisoder der Datenfluss lokal protokolliert werden soll. Standardmäßig ist das Kontrollkästchen nicht ausgewählt. Hinweis: Nur normalisierte Ereignisse können lokal auf einer QRadar -Appliance protokolliert werden. Wenn Sie unformatierte Ereignisdaten senden möchten, müssen Sie die Option An Weiterleitungsziele senden verwenden, um die Daten an einen fernen Syslog-Host zu senden.
    Zu Referenzset hinzufügen	Mit dieser Option werden Ereignisse, die infolge dieser Regel generiert werden, einem Referenzset hinzugefügt. Nur Administratoren können Daten zu einem Referenzset hinzufügen. Gehen Sie wie folgt vor, um Daten zu einem Referenzset hinzuzufügen: Wählen Sie in der ersten Liste die Eigenschaft des Ereignisses oder Datenflusses aus, die hinzugefügt werden soll. Wählen Sie in der zweiten Liste das Referenzset aus, dem Sie die angegebenen Daten hinzufügen möchten.
    Zu Referenzdaten hinzufügen	Um diese Regelantwort verwenden zu können, müssen Sie die Referenzdatensammlung erstellen.
    Aus Referenzset entfernen	Aktivieren Sie dieses Kontrollkästchen, wenn diese Regel Daten aus einem Referenzset entfernen soll. Gehen Sie wie folgt vor, um Daten aus einem Referenzset zu entfernen: Wählen Sie in der ersten Liste die Eigenschaft des Ereignisses oder Datenflusses aus, die entfernt werden soll. Wählen Sie in der zweiten Liste das Referenzset aus, aus dem Sie die angegebenen Daten entfernen möchten.
    Aus Referenzdaten entfernen	Um diese Regelantwort verwenden zu können, müssen Sie über eine Referenzdatensammlung verfügen.
    Benutzerdefinierte Aktion ausführen	Sie können Scripts schreiben, die als Reaktion auf Netzereignisse bestimmte Aktionen ausführen. Beispielsweise können Sie ein Script schreiben, um eine Firewallregel zu erstellen, die eine bestimmte Quellen-IP-Adresse von Ihrem Netz als Antwort auf wiederholte Anmeldefehler blockiert. Aktivieren Sie dieses Kontrollkästchen und wählen Sie eine benutzerdefinierte Aktion aus der Liste Auszuführende benutzerdefinierte Aktion aus. Sie können benutzerdefinierte Aktionen konfigurieren und hinzufügen, indem Sie das Symbole Aktionen definieren auf der Registerkarte Verwaltung verwenden.
    Auf dem IF-MAP-Server veröffentlichen	Wenn die IF-MAP-Parameter konfiguriert und in den Systemeinstellungen bereitgestellt wurden, wählen Sie diese Option, um die Angriffsinformationen über den IF-MAP-Server zu veröffentlichen.
    Antwortbegrenzer	Aktivieren Sie dieses Kontrollkästchen und verwenden Sie die Listenfelder, um die Antworthäufigkeit dieser Regel zu konfigurieren.
    Regel aktivieren	Aktivieren Sie dieses Kontrollkästchen, um die Regel zu aktivieren. Standardmäßig ist das Kontrollkästchen aktiviert.

    Eine SNMP-Benachrichtigung könnte wie folgt aussehen:

    "Wed Sep 28 12:20:57 GMT 2005, Custom Rule Engine Notification -
     Rule 'SNMPTRAPTst' Fired. 172.16.20.98:0 -> 172.16.60.75:0 1, Event Name:
     ICMP Destination Unreachable Communication with Destination Host is
     Administratively Prohibited, QID: 1000156, Category: 1014, Notes:
     Offense description"

    Eine syslog-Ausgabe könnte wie folgt aussehen:

    Sep 28 12:39:01 localhost.localdomain ECS:
     Rule 'Name of Rule' Fired: 172.16.60.219:12642
     -> 172.16.210.126:6666 6, Event Name: SCAN SYN FIN, QID:
     1000398, Category: 1011, Notes: Event description 

12. Klicken Sie auf Weiter.
13. Klicken Sie auf Fertigstellen.