Analyse de la disposition de l'infraction
L'analyse ODA (Offense Disposition Analysis) dans l'application QRadar® Advisor with Watson fournit les raisons de fermeture les plus probables qui seront utilisées pour une infraction faisant l'objet d'un examen en fonction de l'analyse des infractions similaires passées.
QRadar Advisor with Watson collecte des données à partir des infractions qui ont été fermées au cours des 6 dernières heures. Pour qu'une infraction puisse être analysée avec Offense Disposition Analysis, elle doit être fermée avec une raison de fermeture QRadar standard ou une raison de fermeture personnalisée et examinée par l'application QRadar Advisor with Watson .
Remarque: Pour que l'analyse de la disposition des infractions soit exacte, vous devez utiliser une clé d'API et un mot de passe pour chaque environnement que vous exécutez QRadar Advisor with Watson.
Infractions similaires récentes insuffisantes pour fournir une analyse du règlement
Le message peut s'afficherThere are not enough recent similar offenses to provide a
disposition analysis. Ce message n'indique pas de problème avec ODA et est normal dans les cas suivants:
- L'analyse de disposition des infractions doit collecter suffisamment de métadonnées de votre système QRadar pour pouvoir effectuer une analyse de disposition. L'analyse du règlement nécessite des informations sur la clôture d'au moins 10 infractions dont la description est identique. Si l'application n'a pas encore trouvé au moins 10 infractions clôturées dont la description est identique à celle de l'infraction affichée, ce message apparaîtra. Au fur et à mesure que des métadonnées relatives aux infractions clôturées sont collectées, ce message finit par disparaître et est remplacé par les résultats de l'analyse du règlement. Remarque : vous n'avez pas besoin de réexaminer l'infraction pour que les résultats soient mis à jour. Lorsque vous affichez l'examen ultérieurement, les résultats d'ODA sont mis à jour automatiquement si suffisamment de données ont été collectées.
- Offense Disposition Analysis a collecté des données de 10 infractions clôturées ou plus dont la description est identique à celle de l'infraction affichée, mais dont le nombre des différents motifs de clôture est également le même, si bien qu'Offense Disposition Analysis ne peut émettre de recommandation. Par exemple, si les infractions dont la description est identique ont été clôturées cinq fois avec le motif Faux positif, cinq fois avec le motif Transmise, cinq fois avec le motif Violation de politique et cinq fois avec le motif Faux problème, ODA ne peut pas émettre de recommandation quant aux trois principaux motifs de clôture et affiche ce message jusqu'à ce que davantage de données soient collectées.
- L'analyse de la disposition des infractions est prise en charge pour les infractions qui sont examinées par QRadar Advisor with Watson à l'étape 2 (enrichissementWatson ) ou à l'étape 3 (contexte local étendu). Si l'infraction est uniquement examinée automatiquement à l'étape 1 (fouille locale), ce message apparaît indépendamment de la quantité de données collectées. Vous pouvez toujours réexaminer l'infraction manuellement pour voir les résultats.
- L'analyse de la disposition des infractions n'est prise en charge que si les infractions sont fermées sur votre système QRadar avec des raisons de fermeture QRadar standard ou personnalisées. Si les infractions ne sont pas clôturées sur QRadar, alors Offense Disposition Analysis n'est pas en mesure de collecter des métadonnées et affiche toujours ce message pour l'intégralité des infractions.
- L'administrateur QRadar Advisor with Watson réinitialise le modèle de données à partir de l'onglet d'administration QRadar . La réinitialisation du modèle de données pousse Offense Disposition Analysis à afficher ce message jusqu'à ce qu'un nombre suffisant de données puisse à nouveau être collecté.
- L'administrateur QRadar Advisor with Watson a remplacé les données d'identification XFE configurées pour QRadar Advisor with Watson par un nouvel ensemble de données d'identification. Les données d'Offense Disposition Analysis sont collectées par clé d'API XFE et la modification des données d'identification de l'API XFE entraîne l'apparition de ce message jusqu'à ce qu'un nombre suffisant de données soit collecté pour les nouvelles données d'identification.
- Si vous avez examiné une infraction avec la version 1.X.X et que vous effectuez ensuite une mise à niveau vers la version 2.0.0 ou une version ultérieure, les infractions examinées par la version 1.X.X affichent toujours ce message. L'analyse de la disposition des infractions n'est prise en charge que pour les infractions examinées par QRadar Advisor with Watson 2.0.0 et versions ultérieures.
Réinitialisation du modèle d'entraînement
Vous devez réinitialiser le modèle d'entraînement d'Offense Disposition Analysis si les conditions suivantes s'appliquent :
- Vous avez apporté des modifications importantes à votre configuration QRadar, telles que l'implémentation ou l'optimisation de règles CRE ou l'ajout de nouvelles sources de journal. Les modifications majeures apportées à votre configuration QRadar peuvent invalider l'entraînement en cours.
- Vous avez modifié votre façon d'utiliser les motifs de clôture d'infraction du système QRadar. Par exemple, si vous ajoutez de nouveaux motifs de fermeture personnalisés pour remplacer les motifs actuels, si vous découvrez que tous vos utilisateurs QRadar n'utilisent pas des motifs de fermeture de manière cohérente, ou si vous avez des fermetures d'infraction avec des motifs de fermeture inexacts.
Pour réinitialiser le modèle Offense Disposition Training dans QRadar 7.3.3 ou version ultérieure, dans le menu de navigation QRadar , cliquez sur , puis cliquez sur Réinitialiser le modèle de formation.
