Ajuste de las reglas activas que generan delitos

Ajuste de las reglas más activas que pueden tener un impacto importante sobre la reducción de los falsos positivos. Para investigar los delitos de IBM® QRadar®, debe ver las reglas que han creado el delito.

1. En el menú principal de QRadar Use Case Manager , pulse Reglas activas.
2. Aplique filtros a las reglas activas para ajustar su investigación.
   1. Filtre las reglas que han empezado a contribuir a los delitos de acuerdo con el calendario o con un periodo de tiempo. La fecha predeterminada es en los últimos tres días. Cambie el periodo de tiempo o elija filtrar las reglas que empezaron a contribuir a los delitos entre fechas y horas específicas.
   2. Seleccione parámetros para excluir delitos de los resultados como, por ejemplo, delitos ocultos o cerrados. En los delitos que están marcados para el seguimiento se añade un distintivo para seguir investigando. Es posible que tenga delitos que desee retener independientemente del periodo de retención; estos delitos están protegidos para evitar que se eliminen de QRadar después de que transcurra el periodo de retención. Los delitos inactivos se pueden eliminar de la visualización para que los informes resulten más claros.
   3. Seleccione la razón de cierre de un delito. Por ejemplo, puede filtrar para ver qué reglas han generado los delitos que se han cerrado como falsos positivos. Es probable que las reglas con muchos falsos positivos necesiten ajustes. Los delitos que se han cerrado como irrelevantes normalmente no se consideran críticos para la organización.
   4. Pulse Aplicar filtros.
3. Revise los gráficos Delitos por regla, Delitos por categoría y regla, Delitos cerrados por razón y regla, Tendencia de recuento de sucesos por reglay Tendencia de creación de delitos por regla .
   Sugerencia: El gráfico Tendencia de creación de delitos por regla está soportado en QRadar 7.4.1 Fixpack 2 o posterior.
   1. Pase el cursor sobre los segmentos del gráfico para ver más detalles sobre un delito.
   2. Oculte o muestre leyendas del gráfico.
   3. Pulse las teclas de leyenda para ajustar la visualización del gráfico.
   4. Utilice el zoom para acercarse para investigar más.
   5. Expanda los gráficos de barras y líneas temporales a la pantalla completa.
   6. Exportar gráficos de barras y líneas temporales a formatos CSV, PNG o JPG.
   7. Ver datos de gráficos de barras y líneas temporales en formato tabular. A continuación, exporte los datos en formato CSV para ver fuera de línea o compartir con los compañeros.
4. En la tabla, ajuste las reglas eligiendo entre los métodos siguientes:
   1. Alterne entre las reglas más activas o todas las reglas de la lista.
   2. Añada más reglas para investigar seleccionando un grupo de reglas o una regla individual en la lista.
      Sugerencia: La columna Recuento de sucesos del informe indica cuántos sucesos ha contado la regla asociada a los delitos en la columna Recuento de delitos . La columna Recuento de sucesos está soportada en QRadar 7.4.1 Fixpack 2 o posterior.
5. Pulse Investigar.
   1. Vea un breve vídeo para aprender a utilizar el asistente de reglas.
   2. Revise cada regla individual y los componentes básicos que contribuyen a la regla activa. Para cada regla, puede investigarla más si pulsa en Mostrar árbol de dependencias o Editar en el asistente de reglas.
   3. Utilice el diagrama de visualización para ajustar con más precisión las opciones relacionadas de la regla o el componente básico, como los tipos de origen de registro, las propiedades personalizadas o los conjuntos de referencia.
   4. Revise los delitos generados por cada regla activa.
   5. Revise los valores de los distintos grupos de pruebas y ajuste si es necesario.
   6. Revise las correlaciones de MITRE ATT&CK para la regla y edite si es necesario.
   7. Para añadir atributos de regla personalizados a la regla o bloque de construcción seleccionado, consulte el paso 10 en Investigación de reglas y bloques de construcción de QRadar.
   8. Para investigar reglas de QRadar User Behavior Analytics , consulte Investigación de reglas de análisis de comportamiento de usuario.
   9. Para volver a la página Reglas activas , pulse Reglas activas en las indicaciones de ruta.
6. Para exportar los datos de las reglas seleccionadas en el informe a un form CSV, que puede procesar o ver posteriormente en Excel, seleccione las casillas correspondientes y haga clic en Exportar.