Vorlagen manuell erstellen

In den meisten Fällen sind die Vorlagen, die von der Fallzuordnungsvorlage generiert werden, ausreichend. Sie können jedoch eine erweiterte Vorlage verwenden. Sie können die Fallzuordnungsvorlage verwenden, um eine vorhandene Vorlage zu ändern und sie Ihren Vorstellungen anzupassen. Anschließend können Sie sie herunterladen und ändern.

Vorbereitende Schritte

Sie müssen wissen, wie Filterausdrücke geschrieben werden, die die Vorlagensprache Jinja2 verwenden. Weitere Informationen finden Sie unter Filterausdrücke.

Informationen zu dieser Task

Die Vorlage wird als JSON-Dokument wiedergegeben. Das Dokument wird entweder auf die SOAR-Plattform gebucht, um einen neuen Fall zu erstellen, oder es wird in ein URL mit Schlüssel-Wert-Parametern im SOAR-Webformat URL umgewandelt. Weitere Informationen finden Sie in der Web URL Integrationsanleitung.

Vorgehensweise

  1. Klicken Sie auf der Registerkarte QRadar Admin im Abschnitt IBM QRadar SOAR Plugin auf Konfiguration.
  2. Klicken Sie auf die Registerkarte Eskalation .
  3. Optional: Verwenden Sie die Fallzuordnungsvorlage , um eine vorhandene Vorlage zu ändern.
    1. Wählen Sie eine Vorlage aus der Liste aus und klicken Sie auf Ändern.

      Weitere Informationen zur Verwendung der Fallzuordnungsschablonefinden Sie unter Vorlagen mit dem Fallzuordnungstool erstellen.

  4. Gehen Sie wie folgt vor, um eine vorhandene Vorlage herunterzuladen und manuell zu bearbeiten:
    1. Klicken Sie auf der Registerkarte QRadar Admin im Abschnitt IBM QRadar SOAR Plugin auf Konfiguration.
    2. Wählen Sie auf der Registerkarte Eskalation im Bereich Vorlagendateien die Vorlage aus, mit der Sie beginnen möchten, und klicken Sie auf Herunterladen.
    3. Öffnen Sie mithilfe einer Texteditor-Anwendung die heruntergeladene JSON-Datei und bearbeiten Sie sie.
  5. Gehen Sie wie folgt vor, um eine völlig neue Vorlage zu erstellen:
    1. Erstellen Sie mit einem Texteditor eine neue einfache Textdatei.
    2. Erstellen Sie die Spezifikation der Fallzuordnungsvorlage mithilfe der Vorlagensprache Jinja2 .

      Stellen Sie sicher, dass Variablennamen und Zeichenfolgezuordnungen in Anführungszeichen eingeschlossen sind.

      Im folgenden Beispiel wird die Vorlage geändert, um die Zuordnung des Felds Vorfalltyp zu verschiedenen Werten basierend auf der Angriffsbeschreibung zu unterstützen.

      {
"name": "QRadar {{offense.offense_type_name}} - {{offense.offense_source}}, ID:
{{offense.id}}",
{# Set incident id from description #}
{% if "malware" in offense.description %}
"incident_type_ids": "Malware",
{% else %}
"incident_type_ids": "Other",
{% endif %}
"confirmed": 0,
"description" : "{{offense.event_count}} events in {{offense.category_count}} categories:
{{offense.description}}",
    "discovered_date": {{offense.start_time}},
    "start_date": {{offense.start_time}},
    "severity_code" : {{offense.severity | severity}}
}
"type": "IP Address",
"value": "{{e.sourceip|js}}",
"description": "Source {{e.sourceip|js}}" } {% if not loop.last %},{% endif %}
    {% endfor %} ]
}
FROZEN="incident_type_ids","name","start_date","confirmed","discovered_date"
    3. Speichern Sie die Datei mit der Erweiterung .json .
  6. Gehen Sie wie folgt vor, um die überarbeitete Vorlage wieder in die App QRadar SOAR Plug-in hochzuladen:
    1. Klicken Sie auf der Registerkarte Eskalation im Abschnitt Vorlagendateien auf Vorlage hochladen.
    2. Navigieren Sie zur Datei und klicken Sie auf Hochladen.
    3. Zum Testen der Vorlage wählen Sie sie in der Liste aus, klicken Sie auf Ändern und anschließend auf Vorlage testen.