| Búsqueda |
Pulse Buscar para realizar búsquedas avanzadas
en sucesos. Las opciones son:
- Nueva búsqueda: Seleccione esta opción para crear
una nueva búsqueda de sucesos.
- Editar búsqueda: Seleccione esta opción para seleccionar
y editar una búsqueda de sucesos.
- Gestionar resultados de búsqueda: seleccione
esta opción para ver y gestionar resultados de búsqueda.
|
| Búsquedas rápidas |
Desde este cuadro de lista, puede ejecutar búsquedas
guardadas anteriormente. Las opciones se muestran en el recuadro de listaBúsquedas rápidas
solo cuando ha guardado los criterios de búsqueda que especifican
la opción Incluir en Búsquedas rápidas. |
| Añadir filtro |
Pulse Añadir filtro para
añadir un filtro a los resultados de búsqueda actuales. |
| guardar criterios |
Pulse Guardar criterios para
guardar los criterios de búsqueda actuales. |
| Guardar resultados |
Pulse Guardar resultados para
guardar los resultados de búsqueda actuales. Esta opción solo se muestra
después de realizar una búsqueda. Esta opción está inhabilitada en la modalidad continua. |
| Cancelar |
Pulse Cancelar para cancelar
una búsqueda que está en curso. Esta opción está inhabilitada en la modalidad continua. |
Falso positivo
|
Pulse Falso
positivo para abrir la ventana Ajuste de falsos positivos,
que le permitirá impedir que los sucesos que se conoce que son falsos positivos
creen delitos.
Esta opción está inhabilitada en la modalidad continua. Para obtener más información sobre el ajuste de falsos positivos, consulte Ajuste de falsos positivos.
|
| Reglas |
La opción Reglas solo es visible si tiene permiso para
ver reglas.
Pulse Reglas para configurar
reglas de suceso personalizadas. Las opciones son:
- Reglas: Seleccione esta opción para ver o crear
una regla. Si solo tiene permiso para ver reglas, se visualiza la página de resumen del asistente
de reglas. Si tiene permiso para mantener reglas personalizadas, se visualiza el asistente de reglas
y puede editar la regla. Para habilitar las opciones de regla de detección de anomalías
(Añadir regla de umbral, Añadir regla conductual y Añadir regla de anomalía), debe guardar
los criterios de búsqueda agregados porque los criterios de búsqueda guardados especifican
los parámetros necesarios.
Nota: Las opciones de regla de detección de anomalías sólo están visibles si tiene el permiso Actividad de registro > Mantener reglas personalizadas .
Añadir regla de umbral: Seleccione esta opción para
crear una regla de umbral. Una regla de umbral prueba en el tráfico de sucesos la
actividad que supera un umbral configurado. Los umbrales se pueden basar en cualquier dato que se recopile QRadar. Por ejemplo, si crea una regla de umbral que indica que no pueden iniciar la sesión en el
servidor más de 220 clientes entre las 08:00 y las 17:00, las reglas generan
una alerta cuando el cliente número 221 intenta iniciar la sesión.
Cuando se selecciona la
opción Añadir regla de umbral, el asistente de reglas se visualiza,
lleno con las opciones adecuadas para crear una regla de umbral.
|
| Reglas (continuación) |
Añadir regla conductual: Seleccione esta opción para crear una
regla conductual. Una regla conductual prueba en el tráfico de sucesos la actividad anormal como, por
ejemplo, la existencia de tráfico nuevo o desconocido,
que es tráfico que cesa de repente o un cambio de porcentaje en la cantidad de tiempo que
un objeto está activo. Por ejemplo, puede crear una regla conductual para comparar
el promedio de volumen de tráfico durante los últimos
5 minutos con el promedio de volumen de tráfico durante la última hora. Si la diferencia es superior al 40 %, la regla genera una respuesta.
Cuando se selecciona la opción
Añadir regla conductual, el asistente de reglas se visualiza,
llenado previamente con las opciones adecuadas para crear una regla conductual.
Añadir regla de anomalía: Seleccione esta opción para
crear una regla de anomalía. Una regla de anomalía prueba en el tráfico de sucesos la
actividad anormal como, por ejemplo, la existencia de tráfico nuevo o desconocido,
que es tráfico que cesa de repente o un cambio de porcentaje en la cantidad de tiempo
que un objeto está activo. Por ejemplo, si un área de la red que nunca se comunica con Asia
empieza a comunicarse con hosts de ese país, una regla de anomalía genera una alerta.
Cuando se selecciona la opción Añadir regla de anomalía,
el asistente de reglas se visualiza, llenado previamente con las opciones adecuadas
para crear una regla de anomalía.
|
| Acciones |
Pulse Acciones para realizar las acciones
siguientes:
- Mostrar todo: Seleccione esta opción para eliminar
todos los filtros en los criterios de búsqueda y visualizar todos los sucesos no filtrados.
- Imprimir: Seleccione esta opción para imprimir los sucesos
que se visualizan en la página.
- Exportar a XML > Columnas visibles: Seleccione esta opción para exportar solo las columnas que son visibles en la pestaña Actividad de registro. Esta es la opción recomendada. Vea Exportación de sucesos.
- Exportar a XML > Exportación completa (todas las columnas) : Seleccione esta opción para exportar todos los parámetros de suceso. Una exportación completa puede tardar un tiempo considerable en completarse. Consulte Exportación de sucesos.
- Exportar a CSV >Columnas visibles: Seleccione esta opción para exportar solo las columnas que son visibles en la pestaña Actividad de registro. Esta es la opción recomendada. Consulte Exportación de sucesos.
- : seleccione esta opción para exportar todos los parámetros del evento. Una exportación completa puede tardar un tiempo considerable en completarse. Consulte Exportación de sucesos.
- Suprimir: Seleccione esta opción para suprimir un resultado de búsqueda. Consulte Gestión de resultados de búsqueda de sucesos y flujos.
- Notificar: seleccione esta opción para
especificar que desea recibir una notificación por correo electrónico
cuando finalicen las búsquedas seleccionadas. Esta opción solo está habilitada para las búsquedas en curso.
Nota: Las opciones Imprimir, Exportar a XML y Exportar a CSV están desactivadas en modo streaming y cuando se visualizan resultados de búsqueda parciales.
|
| Barra de herramientas de búsqueda |
- Búsqueda avanzada
- Seleccione Búsqueda avanzada en el recuadro de lista para especificar una serie de búsqueda de Ariel Query Language (AQL) para especificar los campos que desea que se devuelvan.
- Filtro rápido
- Seleccione Filtro rápido en el recuadro de lista para buscar cargas útiles
utilizando palabras o frases simples.
|
| Ver |
La vista predeterminada de la pestaña Actividad de registro es una
corriente de sucesos en tiempo real. La lista Vista contiene opciones para ver también los sucesos de periodos de tiempo específicos. Tras elegir un periodo de tiempo específico en la lista Ver, puede modificar el periodo de tiempo visualizado cambiando los valores de fecha y hora en los campos Hora de inicio y Hora de finalización. |