Personalice la aplicación Cyber Adversario Framework Mapping para correlacionar cualquier regla personalizada de QRadar® con un MITRE ATT & CK.
Antes de empezar
Con 2.6.0, QRadar Use
Case Manager se instala con QRadar Advisor with Watson y la versión de QRadar Use
Case Manager se actualiza a 2.3.1. Use Case Manager incluye la correlación y la visualización de MITRE ATT&CK. Debe seguir las instrucciones para QRadar Use
Case Manager. Para obtener más información, consulte QRadar Use Case Manager.
Atención: Si utiliza QRadar Advisor with Watson 2.5.3 o anterior, puede utilizar la aplicación Cyber Adversario Framework Mapping Application que se incluye con QRadar Advisor with Watson. No utilice QRadar Use
Case Manager y la aplicación Cyber Adversario Framework Mapping al mismo tiempo o se encontrará con problemas de desincronización.
Las instrucciones siguientes se aplican a la aplicación Cyber Adversary Framework Mapping. Debe completar los pasos para crear una señal de servicio autorizada antes de continuar. Para obtener más información, consulte Configuración de la aplicación Cyber Adversario Framework Mapping.
Acerca de esta tarea
Con la aplicación Cyber Adversario Framework Mapping, puede crear sus propias correlaciones de reglas o modificar las correlaciones predeterminadas de IBM para correlacionar las reglas personalizadas con tácticas y técnicas específicas. Por ejemplo, si ve una regla que se ha desencadenado, puede correlacionar determinadas tácticas y técnicas
con dicha regla.
Nota: La aplicación QRadar Advisor with Watson y posterior correlaciona automáticamente las tácticas de MITRE ATT & CK con las reglas de CRE.
Procedimiento
- En el menú de navegación (
), pulse Admin.
- En QRadar 7.3.3 o posterior, pulse .
- Para sobrescribir las correlaciones predeterminadas de IBM , filtre el nombre de regla, la táctica o la técnica para encontrar la regla que desea editar.
- Pulse el icono Editar correlación en la columna Acciones para personalizar el nivel de confianza, las tácticas y las técnicas asociadas a la regla. Las tácticas, técnicas y confianza se muestran en el gráfico de relaciones de QRadar Advisor with Watson .
- Pulse Correlacionar tácticas y técnicas con regla.
- Seleccione las tácticas que desea asociar a la regla. Para saber más sobre la táctica seleccionada, haga clic en el enlace "Más información sobre..." .
- Seleccione técnicas asociadas.
- Pulse Establecer confianza.
- Opcional: Cambie el nivel de confianza para la táctica.
- Pulse Actualizar regla.
- Añada otra correlación de reglas o pulse Guardar correlación.
Nota: Pulse el icono Eliminar correlación en la columna Acciones para restablecer todo al valor predeterminado.
- Pulse Añadir correlación para correlacionar más reglas que no se listan en la lista predeterminada.
- Seleccione o busque un Grupo. Se muestran todas las reglas asociadas con un grupo tal como se define en el sistema QRadar .
Nota: Es posible que vea un grupo vacío debido a las razones siguientes:
- Algunos grupos pueden estar vacíos porque están vacíos en el sistema QRadar .
- La regla que desea seleccionar ya está asociada con la táctica.
- Seleccione un Nombre de regla en la lista asociada con el grupo seleccionado. Las tácticas, técnicas y confianza se muestran en el gráfico de relaciones de QRadar Advisor with Watson .
- Pulse Correlacionar tácticas y técnicas con regla.
- Seleccione las tácticas que desea asociar a la regla. Para saber más sobre la táctica seleccionada, haga clic en el enlace "Más información sobre..." .
- Seleccione técnicas asociadas.
- Pulse Establecer confianza.
- Opcional: Cambie el nivel de confianza para la táctica.
- Pulse Actualizar regla.
- Pulse Guardar correlación.
- Para eliminar todas las correlaciones personalizadas y restablecerlas en las correlaciones predeterminadas de IBM , pulse Restablecer.
Nota: Pulse el icono Eliminar correlación en la columna Acciones para restablecer todo al valor predeterminado.
