Visión general de la correlación histórica
Puede configurar un perfil de correlación histórica para especificar los datos históricos que desea analizar y el conjunto de reglas contra el que desea probar. Cuando se desencadena una regla, se crea un delito. Debe asignar el delito para la investigación y la corrección.
Selección de datos
El perfil utiliza una búsqueda guardada para recopilar los datos históricos de sucesos y flujos a utilizar en la ejecución. Asegúrese de que el perfil de seguridad otorga permiso para ver los sucesos y los flujos que desea incluir en la correlación histórica ejecutada.
Selección y manejo de reglas
La consola de QRadar sólo procesa los datos en relación con las reglas especificadas en el perfil de correlación histórica.
Las reglas comunes prueban datos en sucesos y flujos. Debe tener permiso para ver sucesos y flujos para poder añadir reglas comunes al perfil. Cuando un usuario que carece de permiso para ver sucesos y flujos edita un perfil, las reglas comunes se eliminan automáticamente del perfil.
Puede incluir reglas inhabilitadas en un perfil de correlación histórica. Cuando se ejecuta el perfil, la regla inhabilitada se evalúa contra los sucesos y flujos entrantes. Si la regla se desencadena y la acción de regla es generar un delito, el delito se crea incluso aunque la regla esté inhabilitada. Para evitar la generación de distracciones innecesarias, las respuestas de regla, como por ejemplo la generación de informes y las notificaciones de correo se ignoran durante la correlación histórica.
Puesto que el proceso de correlación histórica se produce en una sola ubicación, las reglas que están incluidas en el perfil se tratan como reglas globales. El proceso no hace que una regla local se convierta en global, pero maneja la regla como si fuera global durante la ejecución de la correlación histórica. Algunas reglas, como por ejemplo las reglas con estados, podrían no desencadenar la misma respuesta que en una correlación normal que se ejecuta en un procesador de sucesos local. Por ejemplo, una regla con estados local que hace el seguimiento de cinco inicios de sesión fallidos en un periodo de cinco minutos con el mismo nombre de usuario se comporta de forma diferente en las ejecuciones de correlación normal e histórica. En una correlación normal, esta regla local mantiene un contador para el número de inicios de sesión fallidos que recibe cada procesador de sucesos local. En la correlación histórica, esta regla mantiene un único contador para todo el sistema QRadar . En esta situación, se pueden crear delitos de forma diferente en comparación con una ejecución de correlación normal.
Creación de delitos
Las ejecuciones de correlaciones históricas crean delitos solo cuando se desencadena una regla y la acción de regla especifica que se debe crear un delito. Una correlación histórica no contribuye a un delito en tiempo real ni a un delito creado a partir de una correlación histórica anterior ejecutada, incluso cuando se utiliza el mismo perfil.
El número máximo de delitos que se pueden crear mediante una ejecución de correlación histórica es 100. La ejecución de correlación histórica se detiene cuando se alcanza el límite.
Puede ver delitos históricos en el panel de control Supervisión de amenazas y seguridad y en la pestaña Delitos al mismo tiempo que revisa los delitos en tiempo real.