Examen automatique des infractions

Vous pouvez configurer l'application QRadar® Advisor with Watson pour examiner automatiquement les infractions dans QRadar .

Avant de commencer

Vous devez disposer des privilèges d'administrateur QRadar pour configurer les infractions pour l'investigation automatique.

A propos de cette tâche

Toutes les 60 minutes, l'application QRadar Advisor with Watson obtient la liste des infractions de QRadar qui répondent à vos critères spécifiés et qui n'ont pas encore été analysées. Cette application place ensuite en file d'attente jusqu'à 10 infractions à la fois, qui satisfont les critères que vous avez configurés, avant d'examiner chaque infraction.
Important: Les examens automatiques ne sont exécutés que si l'infraction n'a pas encore été analysée et que tous les critères que vous configurez correspondent à une infraction. Les infractions de plus de sept jours ne sont pas analysées. Si une infraction est mise à jour après avoir été analysée, elle n'est pas automatiquement renvoyée pour examen sauf si vous sélectionnez la case à cocher Activer un nouvel examen automatique à l'étape 10.

Depuis la version 2.5.2, si vous ne souhaitez pas spécifier de critères pour l'examen automatique des infractions, vous pouvez sélectionner Examiner les infractions suggérées par Watson. Watson prend en compte les événements et les règles ayant déclenché l'infraction, ainsi que d'autres métadonnées d'infraction, pour prédire les infractions qui bénéficieront le plus d'un examen Watson complet. Il prend également en compte le résultat des examens d'infraction précédents. Les nouvelles infractions sont pré-classées par Watson et les infractions bénéficiant d'un examen Watson complet sont sélectionnées pour un examen automatique. Si aucune de ces infractions n'est choisie, les dernières infractions sont sélectionnées pour un examen automatique.

Remarque: Si vous utilisez des domaines QRadar , vous ne devez pas activer l'investigation automatique sauf si vous souhaitez que les infractions de tous vos domaines soient examinées automatiquement.

Procédure

  1. Dans le menu de navigation ( Icône du menu Navigation ), cliquez sur Admin.
  2. Dans la section Applications, sous QRadar Advisor with Watson, cliquez sur Configuration.
  3. Cliquez sur Paramètres facultatifs pour ouvrir la page de menu Paramètres facultatifs .
  4. Cliquez sur Examen automatique.
  5. Cochez la case Activer l'investigation locale automatique .
  6. Sélectionnez l'une des options suivantes :
    • Examiner les infractions suggérées par Watson
    • Examiner les infractions correspondant aux critères configurés
  7. Si vous avez sélectionné Examiner les infractions qui correspondent aux critères configurés, configurez les critères suivants:
    Option Descriptif
    Offense status Spécifiez le type d'infraction à inclure pour l'examen automatique.
    • Ouverte : sélectionnez ce statut pour examiner toutes les infractions ouvertes actives ou inactives
    • Active : sélectionnez ce statut pour n'examiner que les infractions ouvertes et actives. Les infractions inactives et fermées ne sont pas incluses pour l'examen automatique.
    Plage de magnitude Spécifiez la plage de grandeurs d'une infraction à sélectionner pour l'examen automatique. L'ampleur d'une infraction doit être comprise dans la plage définie. Par exemple, si la plage sélectionnée est comprise entre 8 et 10, les infractions dont l'ampleur est égale à 8, 9 ou 10 satisfont les critères.
    Astuce: Si vous souhaitez limiter l'amplitude à un seul entier, joignez les curseurs pour qu'ils se chevauchent.
    Délai d'examen de l'infraction Spécifiez le délai (1 minute à 24 heures) qui doit s'écouler avant qu'une infraction ne soit examinée. Par exemple, si vous spécifiez 20 minutes, l'infraction doit remonter à au moins 20 pour pouvoir être examinée.
    Astuce: Si Watson ne découvre pas un grand nombre de données observables, envisagez d'augmenter l'heure de début afin que davantage d'événements puissent être collectés par le système QRadar . Attendre la collecte d'un plus grand nombre d'infractions peut permettre d'augmenter le nombre d'indices à analyser par Watson.
    Astuce: Pour afficher la date et l'heure de début d'une infraction, consultez la colonne Date de début dans l'onglet Infractions .
    Dernier événement/flux Spécifiez le délai (0 minute - 24 heures) qui doit s'écouler après la dernière mise à jour d'une infraction avec un nouvel événement avant que cette infraction ne soit examinée. Par exemple, si vous spécifiez 20 minutes, l'événement doit avoir été mis à jour au moins 20 minutes auparavant pour pouvoir être examiné.
    Astuce: Pour voir quand le dernier événement ou flux d'une infraction s'est produit, affichez la colonne Dernier événement / flux dans l'onglet Infractions .
    Catégories d'infraction de haut niveau Spécifiez la catégorie d'infraction de haut niveau.
    • Toutes les catégories d'infractions de haut niveau: Sélectionnez cette option pour examiner tous les types de catégories d'infractions de haut niveau.
    • Catégorie d'infraction de haut niveau sélectionnée : Sélectionnez Catégories d'infraction de haut niveau disponibles dans la liste, puis cliquez sur la flèche vers le bas pour ajouter le type à la liste Catégories d'infraction de haut niveau sélectionnées.
      Remarque: Vous devez sélectionner au moins une infraction de catégorie de niveau supérieur dans la liste.
      Astuce: Vous pouvez voir une catégorie de haut niveau d'infraction et sa catégorie de bas niveau associée en procédant comme suit.
      1. Dans la page Récapitulatif des infractions de l'onglet Infractions, cliquez sur Afficher > Catégories pour afficher les catégories de niveau inférieur de l'infraction.
      2. Dans l'onglet Infractions, cliquez sur Par catégorie. Les infractions sont regroupées par catégorie de haut niveau. Pour afficher la catégorie de bas niveau pour une catégorie de haut niveau spécifique, cliquez sur l'icône en forme de flèche à côté du nom de la catégorie de haut niveau.
      Pour plus d'informations, cliquez sur l'icône d'aide.
    Type d'infraction Spécifiez un type d'infraction.
    • Tous les types d'infraction : sélectionnez cette option pour examiner tous les types d'infraction.
    • Types d'infraction sélectionnés : sélectionnez Types d'infraction disponibles dans la liste, puis cliquez sur la flèche vers le bas pour ajouter le type à la liste Types d'infraction sélectionnés.
      Remarque: Vous devez sélectionner au moins un type d'infraction dans la liste.
  8. Cochez la case Activer l'investigation enrichie Watson pour envoyer les infractions qui répondent aux critères de configuration de l'investigation automatique à Watson.
  9. Définissez la limite quotidienne maximale pour allouer un pourcentage maximal de votre limite quotidienne à utiliser pour les examens automatiques. Une fois que ce pourcentage alloué a été utilisé, les examens enrichis par Watson s'arrêtent pour la journée, mais les examens automatiques locaux se poursuivent. Les examens enrichis par Watson reprennent le lendemain, une fois que le quota quotidien a été réinitialisé.
    Remarque: Si vous disposez d'une licence d'entreprise, cette option n'est pas affichée.
  10. Cochez la case Activer le réexamen automatique pour réexaminer automatiquement les infractions précédemment examinées.

    Lorsque le réexamen automatique est activé, l'application QRadar Advisor with Watson peut réexaminer les infractions précédemment examinées qui répondent aux critères suivants: elles ont été examinées automatiquement une fois et n'ont pas fait l'objet d'un nouvel examen et ont accumulé plus d'événements et de flux depuis l'examen précédent.

  11. Cliquez sur Soumettre.
    Ecran d'investigation automatique
  12. Cliquez sur Terminer.

Etape suivante

Votre configuration est terminée. Vous pouvez commencer à utiliser l'application QRadar Advisor with Watson .