Ajuste de las reglas activas que generan sucesos de CRE

El informe de sucesos del motor de reglas personalizadas (CRE) muestra qué reglas activas generan sucesos de CRE. En muchos casos, se configura una respuesta de regla para generar sucesos de CRE, junto con el delito o sin él. El informe muestra qué regla ha generado más qué sucesos de CRE. En general, si el suceso se genera muchas veces al día, la regla se activa con demasiada frecuencia. Piense en ajustarla. Por ejemplo, 1 o 2 IP de origen del informe están relacionadas con todos los sucesos de CRE generados por la regla. Podría ser necesario añadir la IP de origen a uno de los componentes básicos de definición de host a los que hace referencia la regla. Seleccione la regla y pulse Investigar para ver qué definición de host actualizar.

Acerca de esta tarea

También puede utilizar este informe para probar las reglas. En este caso, la respuesta de la regla no incluye la creación del delito, solo la asignación de sucesos de CRE. Si el informe muestra que la regla se activa con demasiada frecuencia, piense en ajustarla. Si utiliza sucesos de CRE para probar la regla y el número de sucesos de CRE generados es de solo unos pocos a la semana, cambie la respuesta de la regla para generar un delito.

Las etiquetas de filtro no aplicadas aparecen en la fila de filtros con un color de fondo más claro. Tras aplicar los filtros, el color de fondo de las etiquetas pasa a ser más oscuro.

1. En el menú principal, pulse Informe de CRE.
2. Filtre las reglas de acuerdo con el calendario o con un periodo de tiempo. La fecha predeterminada es en los últimos tres días. Cambie el periodo de tiempo o elija filtrar las reglas que empezaron a contribuir a los delitos entre fechas y horas específicas.
3. Seleccione el número de resultados que desea devolver y pulse Aplicar filtros.
4. Revise los sucesos de CRE por regla y los informes Sucesos de CRE por categoría y regla .
   1. Pase el cursor sobre los segmentos del gráfico para ver más detalles sobre un delito.
   2. Oculte o muestre leyendas del gráfico.
   3. Pulse las claves de leyenda en el informe Sucesos de CRE por regla para ajustar la visualización del gráfico.
   4. Utilice el zoom para acercarse para investigar más.
   5. Expandir el gráfico Sucesos de CRE por categoría y regla a pantalla completa.
   6. Exporta los eventos CRE por categoría y tabla de reglas a formatos CSV, PNG o JPG.
   7. Vea los datos del gráfico Sucesos de CRE por categoría y regla en formato tabular. A continuación, exporte los datos en formato CSV para ver fuera de línea o compartir con los compañeros.
5. Ajustar las reglas eligiendo entre los métodos siguientes:
   1. Alterne entre las reglas más activas o todas las reglas de la lista.
   2. Añada otra regla para investigar seleccionando un grupo de reglas o una regla individual en la lista.
6. Pulse Investigar.
   1. Revise cada regla individual y los componentes básicos que contribuyen al suceso de CRE. Para cada regla, puede investigarla más si pulsa en Mostrar árbol de dependencias o Editar en el asistente de reglas.
   2. Utilice el diagrama de visualización para ajustar con más precisión las opciones relacionadas de la regla o el componente básico, como los tipos de origen de registro, las propiedades personalizadas o los conjuntos de referencia.
   3. Revise los sucesos generados por la regla actual que haya seleccionado.
   4. Para renovar de forma instantánea las reglas desde QRadar®, pulse el icono Renovar . De lo contrario, la aplicación actualiza automáticamente los datos de la consola cada 15 minutos.
   5. Revise los valores de umbral de las pruebas y ajuste si es necesario.
   6. Revise los valores de los distintos grupos de pruebas y ajuste si es necesario.
   7. Revise las correlaciones de MITRE ATT&CK para la regla y edite si es necesario.
   8. Para añadir atributos de regla personalizados a la regla o bloque de construcción seleccionado, consulte el paso 9 en Investigación de reglas y bloques de construcción de QRadar.
   9. Para investigar reglas de QRadar User Behavior Analytics , consulte Investigación de reglas de análisis de comportamiento de usuario.
   10. Para volver a la página Sucesos de CRE , pulse Informe de CRE en las indicaciones de ruta.
7. Para exportar los datos de las reglas seleccionadas en el informe a un form CSV e para procesarlos o visualizarlos en Excel, seleccione las casillas correspondientes y haga clic en Exportar.