Puede utilizar la función Ajuste de falsos positivos para impedir que sucesos de falso positivo generen delitos.
Antes de empezar
Puede ajustar sucesos de falso positivo en la página lista de sucesos o detalles de suceso.
Acerca de esta tarea
Puede ajustar sucesos de falso positivo en la página lista de sucesos o detalles de suceso.
Debe tener permisos adecuados para crear reglas personalizadas para ajustar falsos positivos.
Para obtener más información sobre los roles, consulte la publicación IBM
QRadar Guía de administración.
Procedimiento
- Pulse la pestaña Actividad de registro .
- Opcional. Si está viendo sucesos en modalidad continua, pulse el icono de Pausa para detener la modalidad continua.
- Seleccione el suceso que desee ajustar.
- Pulse False positivo.
- En el panel Propiedad de suceso/flujo de la ventana Falso positivo , seleccione una de las opciones siguientes:
- Suceso/flujo con un QID específico de <Event>
- Cualquier suceso/flujo con una categoría de bajo nivel de <Event>
- Cualquier suceso/flujo con una categoría de alto nivel de <Event>
- En el panel Dirección de tráfico, seleccione una de las opciones siguientes:
- <Source IP Address> a <Destination IP Address>
- <Source IP Address> a cualquier destino
- Cualquier origen a <Destination IP Address>
- Cualquier origen a cualquier destino
- Pulse Ajustar.