Visualización del gráfico de relaciones

La página Gráfico de relaciones de la aplicación QRadar® Advisor with Watson muestra detalles sobre la incidencia seleccionada que está investigando. Al filtrar los observables y visualizar las relaciones, puede obtener más información sobre el delito.

1. Pulse Relaciones de gráfico para abrir la página Gráfico de relaciones.
   • En la página Investigaciones de Watson, pulse un delito y, a continuación, pulse Relaciones de gráfico.
   • En la página Delito, efectúe una doble pulsación en un delito. Pulse Relaciones de gráfico.
2. En la página Gráfico de relaciones , puede ver el gráfico resultante. El gráfico utiliza colores e iconos para ilustrar la información siguiente:

   Observable de ejemplo	Descripción
   	El resaltado amarillo indica el nodo raíz.
   	Los iconos de color rojo representan nodos tóxicos.
   	Los iconos de círculo azul indican nodos en clúster. El número especifica la cantidad de nodos en clúster.
   	Los iconos de doble círculo indican activos que tienen un gran valor según asignación del sistema QRadar. El número especifica el peso asignado al activo. Los activos con un peso asignado de 7 o superior son activos de gran valor (disponible en V1.9.0 o posterior).
   	Los iconos de usuario con círculo doble indican cuentas de servicio de usuario y máquina importantes que están consideradas de gran valor. Nota: Las cuentas de servicio o usuarios de gran valor se encuentran en los siguientes conjuntos de referencia: "UBA : Executive Users" y "UBA : Service, Machine Account".

3. Determine si está de acuerdo, en desacuerdo o no está seguro de la evaluación de Watson de la prioridad de delitos. También puede hacer clic en Cambiar evaluación para cambiar la evaluación de la prioridad del delito. Sugerencia: Cuantos más delitos evalúe, mejor será el modelo para conocer el entorno.
4. Puede filtrar las opciones siguientes para ver los datos específicos en el gráfico:

   Tabla 1. Filtrar gráfico

   Opciones de filtro	Descripción
   Relaciones	Seleccione una relación para centrarse en los enlaces locales y mejorados. Local-en delito: muestra los bordes y enlaces que se descubren en la fase de generación de gráficos local que recopila información de la instancia de QRadar . Watson Enriquecido: muestra los bordes y enlaces mejorados que se descubren durante la fase de generación de gráficos enriquecidos que recopila información de incidencias de IBM® X-Force® Exchange. Delito local-externo: muestra los límites y enlaces que están relacionados con observables que no están en el delito original que se descubren en el entorno local de QRadar durante el análisis enriquecido de Watson . El análisis de contexto local expandido proporciona más pruebas de actividad maliciosa. Nota: Si no se encuentran observables adicionales durante la investigación enriquecida de Watson , no hay nada disponible para investigar para el contexto local expandido. Bloqueado local : muestra los sucesos bloqueados y los flujos bloqueados en el gráfico de conocimientos. Nota: Los sucesos bloqueados se determinan mediante la inspección de la categoría de sucesos de nivel bajo para determinar si las conexiones se deben bloquear o no. Se informa de que la conexión está bloqueada si existen entradas de acceso denegado en la categoría de sucesos de nivel bajo. Los flujos bloqueados se determinan al examinar los bytes de destino transferidos y el protocolo. Si el protocolo es tcp_ip, los bytes se suman y si destinationBytes es igual a cero, el flujo se bloquea. Watson enriquecido bloqueado: muestra mejoras que apuntan a una entidad localmente bloqueada como una dirección IP. La entidad local se muestra como bloqueada en el gráfico.
   Escenarios	Muestra la opción en la que centrarse en Malware ejecutado si se ha configurado.
   Problema	Seleccione un nivel de riesgo para centrarse en los niveles de riesgo específicos.
   Observables	Seleccione los tipos de observables para centrarse en detalles específicos del incidente. Los observables que se muestran en el gráfico se dimensionan para representar la relevancia, según lo indicado por el nivel de riesgo. Para obtener más información, consulte Visualización de detalles para el observable o relación seleccionado.
   Técnicas y tácticas de MITRE ATT&CK	Seleccione las tácticas y cualquier técnica asociada para centrarse en sucesos específicos relacionados con el delito.
   Referencias	En función del observable que seleccione, puede filtrar en los orígenes de datos asociados siguientes: IBM X-Force Exchange Trusted Business Partner threat intelligence Nota: Debido a las restricciones de licencia, el proveedor de datos no se visualiza. Información de código abierto

5. Pulse un observable o una relación en el gráfico para abrir el panel de detalles.
6. Puede pulsar Exportar para seleccionar un tipo de exportación entre las opciones siguientes:

   Opción	Descripción
   Exportar a STIX	Pulse Exportar a STIX para descargar los resultados de análisis de la investigación en formato STIX. Para obtener más información, consulte Exportación de los resultados del análisis a STIX.
   Exportar a CSV	Pulse Exportar a CSV para descargar los resultados de análisis de la investigación en formato CSV. Para obtener más información, consulte Exportación de los resultados del análisis a CSV.
   Exportar a un conjunto de referencia	Haga clic en Exportar a conjuntos de referencia para seleccionar tipos observables y, a continuación, pulse Exportar para exportar los observables suficientemente tóxicos que se encuentran durante la investigación. Nota: No es necesario crear el conjunto de referencia antes de que se produzca una exportación. El conjunto de referencias se crea solo cuando el análisis contiene valores para exportar. Para obtener más información, consulte Exportación de conjuntos de referencia.

Ejemplo

El ejemplo siguiente muestra la interfaz de usuario de tema claro del gráfico de relaciones en QRadar Advisor with Watson 2.6.0.

El ejemplo siguiente muestra la interfaz de usuario de tema oscuro del gráfico de relaciones en QRadar Advisor with Watson 2.6.0 y QRadar Analyst Workflow 1.2.0.