Creación de un perfil de correlación histórica

Puede crear un perfil de correlación histórica para volver a ejecutar sucesos y flujos pasados a través del motor de reglas personalizadas (CRE). El perfil incluye información sobre el conjunto de datos y las reglas a utilizar durante la ejecución.

Restricción: solo puede crear perfiles históricos en IBM QRadar SIEM. No puede crear perfiles históricos en IBM QRadar Log Manager.

Antes de empezar

Las reglas comunes prueban datos en sucesos y flujos. Debe tener permiso para ver sucesos y flujos para poder añadir reglas comunes al perfil. Cuando un usuario que carece de permiso para ver sucesos y flujos edita un perfil, las reglas comunes se eliminan automáticamente del perfil.

Acerca de esta tarea

Puede configurar un perfil para correlacionar por hora de inicio u hora de dispositivo. Hora de inicio es la hora en la que los sucesos llegan al recopilador de sucesos. Hora de dispositivo es la hora en la que se ha producido el suceso en el dispositivo. Los sucesos se pueden correlacionar por hora de inicio o por hora de dispositivo. Los flujos se pueden correlacionar por hora de inicio únicamente.

Puede incluir reglas inhabilitadas en el perfil. Las reglas inhabilitadas se indican en la lista de reglas con (Inhabilitado) después del nombre de regla.

Una correlación histórica no contribuye a un delito en tiempo real ni a un delito creado a partir de una correlación histórica anterior ejecutada, incluso cuando se utiliza el mismo perfil.

Atención: Si crea demasiados perfiles de correlación histórica que tienen muchas reglas asignadas, los delitos pueden tardar en cargarse. Si los delitos son lentos de cargar, puede suprimir los perfiles innecesarios o editarlos para que tengan menos reglas.

Procedimiento

  1. Abra el cuadro de diálogo Correlación histórica.
    • En la pestaña Actividad de registro , pulse Acciones > Correlación histórica.
    • En la pestaña Actividad de red , pulse Acciones > Correlación histórica.
    • En la pestaña Delitos , pulse Reglas > Acciones > Correlación histórica.
  2. Pulse Añadir y seleccione Perfil de sucesos o Perfil de flujo.
  3. Teclee un nombre para el perfil y seleccione una búsqueda guardada.
    Solo puede utilizar búsquedas guardadas no agregadas.
  4. En la pestaña Reglas , seleccione las reglas que se van a ejecutar en los datos históricos y elija la hora de correlación.

    Si marca el recuadro de selección Utilizar todas las reglas habilitadas, no puede incluir reglas inhabilitadas en el perfil. Si desea incluir reglas habilitadas e inhabilitadas en el perfil, debe seleccionarlos individualmente de la lista de reglas y pulse Añadir seleccionado.

  5. En la pestaña Planificar , especifique el intervalo de tiempo para la búsqueda guardada y establezca los valores de planificación de perfil.
  6. En la pestaña Resumen , revise la configuración y elija si desea ejecutar el perfil inmediatamente.
  7. Pulse Guardar.

    El perfil se pone en cola para su proceso. Los perfiles en cola basados en una planificación tienen prioridad sobre las ejecuciones manuales.