Búsqueda de Watson para tipos de indicador únicos

Busque Watson para ver información y encontrar pruebas en un único tipo de indicador.

Antes de empezar

Debe tener privilegios de administrador de QRadar® para buscar en todos los dominios y para crear otros roles de usuario y asignar dominios.

Pulse Buscar Watson para iniciar una búsqueda.

Consejo: El icono Buscar Watson se encuentra junto al icono QRadar Hub .

Sugerencia: En la interfaz de usuario de tema oscuro (2.6.0), el botón Buscar Watson se encuentra en la página Watson .

1. Pulse Buscar Watson para abrir el panel Buscar Watson .
2. Para iniciar una búsqueda rápida, puede especificar uno de los siguientes tipos de indicador en el campo Búsqueda rápida de indicador único :
   • URL
   • Dominio
   • Dirección IP: No se soportan las direcciones IP en el rango de IP privada, DNS de Google y direcciones IP de openDNS.
   • Hash: Los tipos de hash soportados incluyen MD5, SHA1, SHA256 y ssdeep.
   Consejo : Para restringir la búsqueda a un e URL, escriba url: y el e URL o que desee buscar como en el siguiente ejemplo: url:ibm.com. Para restringir la búsqueda a un dominio, escriba domain: y el dominio en el que desea buscar como en el ejemplo siguiente, domain:ibm.com.
   La búsqueda devuelve la información que se ha encontrado sobre el tipo de indicador.
3. Para continuar con una búsqueda detallada en la instancia local de QRadar y Watson, pulse Crear investigación.
   
4. Establezca la fecha y hora del marco de tiempo de contexto local para investigar los observables del QRadar local que se han descubierto durante el marco de tiempo seleccionado.
5. Seleccione uno o varios dominios. Si selecciona más de un dominio, la investigación está limitada a los sucesos que proceden de los dominios seleccionados. Cada dominio que selecciona crea una investigación independiente en la página Visión general de incidente. Cada dominio que seleccione para la investigación cuenta para la cuota diaria.
   Sugerencia:

   Para utilizar el aspecto multiarrendatario de la búsqueda, debe crear diferentes dominios con roles de usuario y arrendatarios para ocupar dicho dominio en QRadar. Para obtener más información, consulte Multitenant Management.

   Después de crear dominios, puede asignar a otros usuarios acceso a QRadar Advisor with Watson en Roles de usuario en QRadar. Los usuarios asignados pueden entonces ejecutar búsquedas iniciando la sesión en un dominio diferente.

6. Pulse Iniciar para ejecutar la investigación. La investigación puede tardar varios minutos en devolver resultados.
   
7. Pulse la investigación completada en la página Watson para ver los resultados del análisis.
8. Pulse Relaciones de gráfico para ver los resultados en el gráfico de relaciones.
9. Si algo ha cambiado, pulse Volver a investigar para iniciar otra investigación.
   La reinvestigación cuenta para la cuota diaria.