Configuración de la aplicación QRadar Network Threat Analytics

Después de instalar la aplicación IBM® QRadar® Network Threat Analytics , debe configurarla para añadir la señal de servicio autorizado que se utiliza para la autenticación con QRadar.

Inmediatamente después de configurar la aplicación QRadar Network Threat Analytics con la señal de servicio autorizado, comienza el proceso de línea base. La aplicación revisa todos los datos de flujo existentes y crea una línea base de red con la que se comparan todos los registros de flujo futuros. Cuando el despliegue tiene muchos registros de flujo, la línea base es más representativa de los tipos de tráfico de flujo que normalmente se observan en la red.

Importante: El tiempo que se tarda en crear la línea base de red depende del volumen y la complejidad de los datos de red y del rendimiento de la instancia de QRadar . El indicador de estado de línea base de red en la página Configuración de la aplicación se aproxima al progreso. Puede tardar bastante rato en completarse.

Antes de empezar

Debe haber iniciado la sesión como administrador.

Debe tener una señal de seguridad de QRadar que esté configurada con el perfil de seguridad y el rol de usuario de Admin . Para obtener más información, consulte Creación de una señal de servicio autorizado.

Asegúrese de que el despliegue de QRadar tenga al menos una semana de datos de flujo continuo.

Procedimiento

Pulse la pestaña Análisis de amenazas de red .
En la ventana Aplicación no configurada , pulse Admin > Análisis de amenazas de red > Configuración.

Si no ve el enlace, confirme que ha iniciado la sesión con privilegios de administrador.
En el campo Señal de servicio autorizado , proporcione la señal QRadar .

Opcional: Configure el resto de los valores de la aplicación.

Valor	Descripción
Periodo de tiempo predeterminado	Hace referencia al intervalo de tiempo que se ha establecido para la aplicación cuando se carga por primera vez. En función de la cantidad de tráfico en la red, puede configurar este valor para que se ajuste a la cantidad de tráfico que desea retirar.
Separador datos de red predeterminado	Novedades en 1.2.0 Seleccione qué vista se muestra cuando se abre por primera vez la página Datos de red .
Latitud predeterminada para coordenadas desconocidas	Novedades en 1.2.0 Establece la ubicación latitudinal para el tráfico categorizado como Ubicación desconocida. Todo el tráfico de red que no se ajusta a la jerarquía de red definida, o el tráfico que tiene una dirección IP que no tiene una geolocalización conocida, se agrupa. En la vista de mapa, el tráfico desconocido parece originarse en una ubicación común.
Longitud predeterminada para coordenadas desconocidas	Novedades en 1.2.0 Establece la ubicación longitudinal para el tráfico categorizado como Ubicación desconocida.
Puntuación de generación de sucesos	Establece la puntuación mínima necesaria para que un resultado cree un suceso. Puede cambiar esta puntuación para que los sucesos solo se generen para los resultados de puntuación más alta en el sistema.
Retención de hallazgos	Establece el número de días para almacenar los resultados.

Haga clic en Enviar.

Resultados

Se aplica la señal de servicio autorizado y se inicia el proceso de línea base. QRadar Network Threat Analytics no tiene que permanecer abierto durante el proceso de línea base.

Cada vez que envía un cambio de configuración, el estado de la línea base cambia brevemente a Recuperar estado. Este mensaje aparece cada vez que envía un cambio de configuración, incluso cuando la línea base no se ve afectada.

Qué hacer a continuación

Los resultados no aparecen en la página de inicio hasta que se completa el proceso de línea base. Durante este tiempo, puede utilizar la interfaz del producto para explorar flujos. Una vez completada la primera línea base, puede explorar los resultados y los nuevos flujos que se puntúan con respecto a la línea base, incluso cuando la línea base de red se está actualizando.

Si es necesario, puede desinstalar de forma segura la aplicación mientras el proceso de línea base está en curso. La línea base de red no se conserva y el proceso se vuelve a iniciar al volver a instalar la aplicación.