Visualización del rendimiento de las reglas

La visualización del rendimiento de reglas amplía el registro actual en torno a la degradación del rendimiento y las costosas reglas personalizadas en la interconexión de QRadar . Con la visualización del rendimiento de las reglas, puede determinar fácilmente la eficiencia de las reglas en el QRadar pipeline, directamente desde la página Rules.

Cuando la visualización del rendimiento de la regla está activada, la columna Rendimiento se añade a la página Reglas. La columna Rendimiento permanecerá vacía hasta que se produzca un problema de rendimiento en el motor de reglas personalizado.

Cuando los sucesos o flujos se direccionan al almacenamiento, QRadar empieza a recopilar medidas sobre reglas habilitadas para medidas de eficiencia. Las métricas se recopilan en todas las reglas de suceso, comunes y de flujo. Cuando guarde las actualizaciones de las reglas, las métricas se borrarán de las reglas que haya actualizado para evitar que puedan confundirse el rendimiento y las reglas personalizadas. Esta opción puede configurarla un administrador.

Puede ordenar las reglas por sus métricas de rendimiento e identificar las reglas más caras. Cuando revise las reglas, puede ajustar las pruebas para optimizar cada una de las reglas y reducir la carga del sistema.

Con la visualización del rendimiento de las reglas, podrá ver lo caras que son las reglas. Los equipos de operaciones de QRadar pueden supervisar reglas costosas y asegurarse de que no causen problemas de rendimiento futuros.

Si las reglas se ejecutan de forma eficiente, la carga de trabajo del sistema puede disminuir. Con el tiempo, esta eficiencia puede ayudar a QRadar a evitar degradaciones de rendimiento en torno a las reglas, lo que hace que las reglas omitan la correlación de reglas. El resultado es que es posible que la posible actividad sospechosa no activará una notificación, lo que puede suponer que en el futuro se pierdan problemas relacionados con la seguridad.

Para obtener más información sobre las reglas de ajuste, consulte la IBM® QRadar®.

Ver las métricas de una regla

Puede ver las métricas de una regla en la página Reglas, cuando pasa el puntero del ratón sobre las barras coloreadas en la columna Rendimiento y en el cuadro de texto Análisis de rendimiento, que está en la esquina inferior derecha de la página Reglas. También puede ver las métricas de una regla en el Asistente de reglas, cuando edita una regla. La indicación de fecha y hora del recuadro de texto Análisis de rendimiento muestra cuándo se han actualizado las métricas de la regla. Para obtener más información sobre la creación de reglas, consulte el tema Reglas .

En la pestaña Actividad de red o en la pestaña Actividad de registro, pulse Reglas para visualizar la página Reglas. Efectúe una doble pulsación en una regla para abrir el Asistente de reglas.

Colores y barras en la columna Rendimiento de la página Reglas

El número de barras que se muestra es una ayuda visual para los daltónicos.

Una barra roja

La regla es de bajo rendimiento y debe ser ajustada. El rendimiento de EPS/FPS de esta regla está por debajo del límite inferior. Abra la regla y ajuste las pruebas.

Dos barras naranjas

Es posible que la regla necesite algunos ajustes.

Tres barras verdes

La regla tiene un alto rendimiento, por encima del límite superior del umbral de EPS/FPS.

Nota: Los colores y el número de barras no se pueden cambiar. La definición de una regla que está bajo rendimiento es configurable por un administrador.

La imagen siguiente muestra los Valores de regla personalizada predeterminados en QRadar.

Para obtener más información sobre el ajuste de reglas, consulte Orden de prueba de reglas personalizadas.