Konfigurieren einer Regelantwort, um Daten zu einer Referenzdatensammlung hinzuzufügen
Richten Sie Regeln ein, die Referenzdaten verwenden, um Sie über verdächtige Aktivität zu benachrichtigen. Nehmen Sie beispielsweise eine Liste privilegierter Benutzer in die Referenzdaten auf und stellen Sie anschließend eine Regel auf, die ausgelöst wird, um Sie über Anomalien in Bezug auf privilegierte Benutzer informieren.
Vorbereitende Schritte
Informationen zu dieser Task
QRadar unterstützt die folgenden Datenerfassungstypen:
- Referenzset
- Eine Gruppe von Elementen, beispielsweise eine Liste mit IP-Adressen oder Benutzernamen, die sich aus Ereignissen und Datenflüssen ableiten, die in Ihrem Netz vorkommen.
- Referenzzuordnung
- Daten werden in Datensätzen gespeichert, die einem Wert einen Schlüssel zuordnen. Um beispielsweise die Benutzeraktivität in Ihrem Netz zu korrelieren, erstellen Sie eine Referenzzuordnung, die den Parameter Username als Schlüssel und den Wert Global ID des Benutzers verwendet.
- Referenzzuordnung von Gruppen
- Daten werden in Datensätzen gespeichert, die mehreren Werten einen Schlüssel zuordnen. Wenn Sie beispielsweise den autorisierten Zugriff auf ein Patent testen möchten, verwenden Sie eine benutzerdefinierte Ereigniseigenschaft für Patent ID als Schlüssel und den Parameter Username als Wert. Verwenden Sie eine Zuordnung von Gruppen, um eine Liste mit autorisierten Benutzern zu füllen.
- Referenzzuordnung von Zuordnungen
- Daten werden in Datensätzen gespeichert, die einem Schlüssel einen anderen Schlüssel zuordnen, welcher dann einem Einzelwert zugeordnet wird. Für Tests auf Verletzungen der Netzbandbreite beispielsweise können Sie eine Zuordnung von Zuordnungen erstellen. Verwenden Sie den Parameter Source IP als ersten Schlüssel, den Parameter Application als zweiten Schlüssel und den Parameter Total Bytes als Wert.
- Referenztabelle
- In einer Referenztabelle werden Daten in einer Tabelle gespeichert, die einem Schlüssel einen anderen Schlüssel zuordnet, der dann einem Einzelwert zugeordnet wird. Der zweite Schlüssel ist nicht zugewiesen. Diese Zuordnung ist vergleichbar mit einer Datenbanktabelle, bei der jede Spalte mit einem Typ verknüpft ist. Sie erstellen beispielsweise eine Referenztabelle, in der der Parameter Username als erster Schlüssel gespeichert wird und mehrere Sekundärschlüssel mit einem benutzerdefinierten Typ wie IP-Typ und dem Parameter Source IP oder Source Port als Wert vorhanden sind. Sie können eine Regelantwort konfigurieren, um mindestens einen in der Tabelle definierten Schlüssel hinzuzufügen. Sie können der Regelantwort auch benutzerdefinierte Werte hinzufügen. Der benutzerdefinierte Wert muss für den zweiten Schlüsseltypen gültig sein.