Buscar IOCs de forma rápida con la búsqueda perezosa

Puede utilizar la IBM QRadar búsqueda perezosa para buscar un indicador de compromiso (IOC), como por ejemplo tráfico de red de salida inusual o anomalías en la actividad de la cuenta de usuario privilegiado.

Antes de empezar

La búsqueda perezosa devuelve los primeros 1000 sucesos que están relacionados con el criterio de búsqueda. Por ejemplo, si necesita buscar un MD5 determinado como parte de una investigación de irrupción de programa malicioso, no es necesario revisar todos los sucesos relacionados. Realice una búsqueda perezosa para devolver rápidamente un conjunto de resultados limitado.

Para aprovechar la búsqueda perezosa, debe tener el perfil de seguridad Admin o un perfil de seguridad de no administrador que esté configurado de la siguiente manera:

  • Prioridad de permiso establecida en Sin restricciones.
  • Acceso a todas las redes y orígenes de registro.

La búsqueda perezosa no puede ser utilizada por usuarios con perfiles de seguridad de no administrador en redes en las que haya dominios configurados.

Procedimiento

  1. Para realizar una búsqueda perezosa para filtros rápidos, siga estos pasos:
    1. En la pestaña Actividad de registro , en el campo Filtro rápido , especifique un valor.
    2. En la lista Ver , seleccione un rango de tiempo.
  2. Para realizar una búsqueda perezosa para búsquedas básicas, siga estos pasos:
    1. En la pestaña Actividad de registro, pulse Buscar > Nueva búsqueda.
    2. Seleccione un rango de tiempo Reciente o establezca un Intervalo específico.
    3. Asegúrese de que el valor del campo Ordenar por esté establecido en Start Time y que el valor del campo Límite de resultados sea 1000 o menos. Las columnas agregadas no deben incluirse en la búsqueda.
    4. Especifique un valor para el parámetro Filtro rápido y pulse Añadir filtro.
  3. Para inhabilitar completamente la búsqueda perezosa, siga estos pasos:
    1. Pulse Valores del sistema en la pestaña Admin .
    2. En la ventana Valores del sistema , elimine los valores del campo Límite de búsqueda predeterminado .