Schnelle Suche nach IOCs mithilfe einer Lazy Search

Sie verwenden die IBM QRadar Lazy Search , um nach einem IOC (Indicator of Compromise) zu suchen, z. B. ungewöhnlichem abgehenden Netzdatenverkehr oder Anomalien bei Aktivitäten des privilegierten Benutzerkontos.

Vorbereitende Schritte

Bei der Lazy Search werden die ersten 1.000 dem Suchkriterium entsprechenden Ereignisse zurückgegeben. Wenn Sie beispielsweise im Rahmen der Untersuchung eines Malware-Ausbruchs nach einem bestimmten MD5 suchen müssen, müssen Sie hierfür nicht jedes zugehörige Ereignis prüfen. Führen Sie eine Lazy Search durch, um schnell eine begrenzte Ergebnismenge zu erhalten.

Um die Lazy Search nutzen zu können, benötigen Sie das Sicherheitsprofil für Administratoren oder ein wie folgt konfiguriertes Sicherheitsprofil für Benutzer ohne Administratorberechtigung:

• Für die Berechtigungsrangfolge muss Keine Einschränkungen festgelegt sein.
• Zugriff auf alle Netze und Protokollquellen

Die Lazy Search-Funktion kann von Benutzern mit Sicherheitsprofilen für Benutzer ohne Administratorberechtigung nicht in Netzen verwendet werden, in denen Domänen konfiguriert sind.

1. Gehen Sie wie folgt vor, um eine Lazy Search für Schnellfilter durchzuführen:
   1. Geben Sie auf der Registerkarte Protokollaktivität im Feld Schnellfilter einen Wert ein.
   2. Wählen Sie in der Liste Ansicht einen Zeitraum aus.
2. Gehen Sie wie folgt vor, um eine Lazy Search für einfache Suchen durchzuführen:
   1. Klicken Sie auf der Registerkarte "Protokollaktivität" auf Suchen > Neue Suche.
   2. Wählen Sie einen Zeitbereich für Letzte aus oder legen Sie ein bestimmtes Intervallfest.
   3. Stellen Sie sicher, dass der Wert des Felds Sortieren nach auf Start Time und der Wert des Felds Ergebnisbegrenzung auf 1000 oder einen kleineren Wert gesetzt ist. Es dürfen keine zusammengefassten Spalten in die Suche einbezogen werden.
   4. Geben Sie einen Wert für den Parameter Schnellfilter ein und klicken Sie auf Filter hinzufügen.
3. Gehen Sie wie folgt vor, um die Lazy Search komplett zu deaktivieren:
   1. Klicken Sie auf Systemeinstellungen auf der Registerkarte Verwaltung .
   2. Entfernen Sie im Fenster Systemeinstellungen alle Werte aus dem Feld Standardsuchlimit .