Análisis de eliminación de delitos
El análisis de eliminación de delitos (ODA) en la aplicación QRadar® Advisor with Watson proporciona las razones de cierre más probables que se utilizarán para un delito investigado basándose en el análisis de delitos similares anteriores.
QRadar Advisor with Watson recopila datos de delitos que se han cerrado durante las 6 horas anteriores. Para que un delito se analice con el Análisis de eliminación de delitos, debe cerrarse con una razón de cierre estándar de QRadar o una razón de cierre personalizada e investigarse mediante la aplicación QRadar Advisor with Watson .
Nota: Para que el análisis de eliminación de delitos sea preciso, debe utilizar una clave de API y una contraseña para cada entorno en el que esté ejecutando QRadar Advisor with Watson.
No hay suficientes delitos similares recientes para proporcionar un análisis de eliminación
Es posible que vea el mensajeThere are not enough recent similar offenses to provide a
disposition analysis. Este mensaje no indica un problema con la AOD y es normal en los siguientes casos:
- El análisis de eliminación de delitos debe recopilar suficientes metadatos del sistema QRadar para poder realizar un análisis de eliminación. El análisis de eliminación requiere información de cierre de 10 delitos como mínimo con las mismas descripciones de delito. Si la aplicación aún no ha visto por lo menos 10 delitos cerrados con la misma descripción que el delito que está viendo, verá este mensaje. Aunque se recopilen más metadatos en los delitos cerrados, finalmente este mensaje desaparece y se sustituye por los resultados de análisis de eliminación. Nota: no es necesario que vuelva a investigar el delito para que los resultados se actualicen. Cuando vea la investigación más tarde, los resultados de ODA se actualizarán automáticamente si se han recopilado suficientes datos.
- El Análisis de eliminación de delitos ha recopilado datos de 10 o más delitos cerrados con la misma descripción que el delito que está viendo, pero los recuentos de diferentes razones de cierre son los mismos, por lo que el Análisis de eliminación de delitos no puede hacer una recomendación. Por ejemplo, si los delitos con la misma descripción se han cerrado cinco veces como falso positivo, cinco veces como escalada, cinco veces como violación de política y cinco veces como sin problema, el ODA no puede hacer una recomendación de las tres principales razones de cierre y muestra este mensaje hasta que se recopilan más datos.
- El análisis de eliminación de delitos está soportado para delitos investigados por QRadar Advisor with Watson en la etapa 2 (Watson Enriquecido) o en la etapa 3 (Contexto local expandido). Si el delito sólo se investiga automáticamente en la etapa 1 (Minería local), verá este mensaje independientemente de la cantidad de datos que se recopilen. Siempre puede volver a investigar el delito manualmente para ver los resultados.
- El análisis de eliminación de delitos solo está soportado si los delitos se cierran en el sistema QRadar con razones de cierre QRadar estándar o personalizadas. Si los delitos no se cierran en QRadar, el Análisis de eliminación de delitos no puede recopilar metadatos y mostrar siempre este mensaje para todos los delitos.
- El administrador de QRadar Advisor with Watson restablece el modelo de datos desde la pestaña Admin de QRadar . El restablecimiento del modelo de datos hace que el análisis de eliminación de delitos muestre este mensaje hasta que se puedan recopilar de nuevo suficientes datos.
- El administrador de QRadar Advisor with Watson ha cambiado las credenciales de XFE configuradas para QRadar Advisor with Watson a un nuevo conjunto de credenciales. Los datos de Análisis de eliminación de delitos se recopilan por la clave API XFE y el cambio de las credenciales de API XFE puede hacer que este mensaje se visualice hasta que se recopilen suficientes datos para las nuevas credenciales.
- Si ha investigado un delito con la versión 1.X.X y luego actualiza a la versión 2.0.0 o posterior, los delitos investigados por 1.X.X siempre muestran este mensaje. El análisis de eliminación de delitos sólo está soportado para delitos investigados por QRadar Advisor with Watson 2.0.0 y posteriores.
Restablecer el modelo de formación
Si se aplican las condiciones siguientes, debe restablecer el modelo de formación de
análisis de eliminación de delitos:
- Puede realizar cambios importantes a la configuración de QRadar como implementar o ajustar reglas CRE o añadir nuevos orígenes de registro. Realizar cambios importante a al configuración de QRadar puede puede invalidar la formación actual.
- Ha cambiado la forma en que se utilizan las razones de cierre de delitos del sistema QRadar. Por ejemplo, si añade nuevos motivos de cierre personalizados para sustituir los motivos actuales, si descubre que no todos los usuarios de QRadar están utilizando los motivos de cierre de una manera coherente o si tiene cierres de delitos masivos con motivos de cierre inadecuados.
Para restablecer el modelo de entrenamiento de eliminación de delitos en QRadar 7.3.3 o posterior, en el menú de navegación QRadar , pulse y, a continuación, pulse Restablecer modelo de entrenamiento.
