Iniciación a la app QRadar Advisor with Watson

Para que las características de los productos IBM® QRadar® funcionen correctamente, revise la tabla para mejorar el despliegue de QRadar .

La aplicación QRadar Advisor with Watson se basa en los datos del despliegue de QRadar . Para obtener la mejor información de QRadar Advisor with Watson, debería considerar ajustar su implementación de QRadar .

Nota: La aplicación QRadar Use Case Manager puede ayudarle a ajustar el sistema QRadar . Para obtener más información, consulte QRadar Use Case Manager.

La tabla siguiente incluye una lista de elementos que debe considerar ajustar para mejorar la calidad de las investigaciones de QRadar Advisor with Watson .

Tabla 1. Ajuste del QRadar despliegue y proceso
Problema	Solución
Advisor depende de la normalización de QRadar.	La aplicación QRadar Advisor with Watson utiliza propiedades estándar y propiedades personalizadas de QRadar cuando extrae datos de sucesos y flujos. Si hay observables importantes en la carga útil, debe comprobar que se están extrayendo en propiedades personalizadas y, a continuación, correlacionar esas propiedades en la aplicación QRadar Advisor with Watson . Correlación de propiedades personalizadas Propiedades de suceso y de flujo personalizadas
Las propiedades personalizadas que no funcionan causan problemas.	Asegúrese de que una propiedad personalizada funciona correctamente para todos los tipos de suceso en los orígenes de registro. Por ejemplo, si la propiedad personalizada hash de archivo obtiene datos incorrectos en ella para algunos sucesos y funciona para otros, la calidad de los resultados de la investigación en la aplicación QRadar Advisor with Watson puede sufrir.
Advisor requiere correlación personalizada.	La aplicación QRadar Advisor with Watson requiere correlaciones más allá de las propiedades personalizadas predeterminadas de la aplicación. Si sólo ha utilizado las correlaciones predeterminadas después de la instalación, es posible que al análisis de QRadar Advisor with Watson le falte una parte significativa del contexto local. Debe aumentar las correlaciones de QRadar Advisor with Watson . Correlación de propiedades personalizadas
Definir y actualizar la jerarquía de red en el sistema QRadar.	La app QRadar Advisor with Watson necesita saber qué direcciones IP son locales y qué direcciones IP no forman parte de la red local. Si su red ha cambiado, por ejemplo, si ha añadido una subred, asegúrese de que la jerarquía de red de QRadar aún es correcta. Jerarquía de red
Definir pesos de activos en el perfil de activo de QRadar.	La aplicación QRadar Advisor with Watson utiliza pesos de activo del perfil de activo en QRadar. Asegúrese de que el peso del activo en el perfil de activo de QRadar es preciso. Adición o edición de un perfil de activo
La exactitud de la regla de CRE afecta a Advisor.	Si las reglas de CRE fallan, la precisión de MITRE ATT&CK de la aplicación QRadar Advisor with Watson puede verse afectada. Además, las reglas que no se activan correctamente y crean delitos pueden causar problemas con la aplicación QRadar Advisor with Watson . Revise periódicamente y ajuste las reglas. Ajuste deQRadar Directrices para ajustar el rendimiento del sistema
Advisor utiliza bloques de creación de definición de host (BB:HostDefinition).	La aplicación QRadar Advisor with Watson , las correlaciones de MITRE ATT & CK y las reglas de CRE dependen de hosts que proporcionan funciones específicas, como servidores DNS y servidores DHCP, que se definen de forma precisa en los bloques de construcción de QRadar . Revisión de los componentes básicos
Instale y configure la aplicaciónUBA para ver información de usuario.	Si la aplicación User Behavior Analytics está instalada,QRadar Advisor with Watson utiliza conjuntos de referencia UBA y puntuaciones de riesgo UBA . Si tanto la aplicación QRadar Advisor with Watson como la aplicación UBA están instaladas, puede iniciar una investigación específica del usuario. User Behavior Analytics for QRadar
Los avisos del sistemaQRadar causan problemas.	Antes de instalar la aplicación QRadar Advisor with Watson , preste atención a los avisos del sistema QRadar y arréglelos. Pueden impedir que la aplicación funcione adecuadamente. Notificaciones del sistemaQRadar
Las instalaciones de parches de QRadar no deben combinarse con instalaciones de QRadar Advisor with Watson .	No combine las instalaciones de parches de QRadar Advisor with Watson y las instalaciones de QRadar Advisor with Watson al mismo tiempo. Esto hace que la depuración de problemas con QRadar Advisor with Watson sea más difícil. Complete la actualización de parches de QRadar, pase más tiempo en el nivel de parche nuevo para asegurarse de que funciona correctamente y solo entonces instale o actualice la aplicación QRadar Advisor with Watson.
Advisor utiliza QRadar razones de cierre de delitos.	Considere la posibilidad de añadir algunas razones de cierre que tengan sentido para el flujo de trabajo (por ejemplo, "Escalado a respuesta a incidencia" o "ajuste de regla de CRE necesario") y asegúrese de que todos los usuarios y scripts de QRadar que cierran delitos seleccionen la razón de cierre de QRadar adecuada cuando estén cerrando un delito. Razones de cierre de infracción personalizadas
Advisor depende de los valores del conjunto de referencia apropiado de las propiedades personalizadas antivirus.	El resaltado del gráfico de ejecución y bloqueo de antivirus de la aplicación QRadar Advisor with Watson depende de los valores de conjunto de referencia adecuados de las propiedades personalizadas de antivirus. Mostrar malware ejecutado y bloqueado y hashes de archivo